チュートリアル: GitOps with Flux v2 を使ってアプリケーションをデプロイする

Azure Arc 対応 Kubernetes クラスター

• 稼働している Azure Arc 対応 Kubernetes に接続されたクラスター。 arm64 ベースのクラスターは、 microsoft.flux バージョン 1.7.0 以降でサポートされています。

  Kubernetes クラスターを Azure Arc に接続する方法について説明します。送信プロキシ経由で接続する必要がある場合は、プロキシ 設定を使用して Arc エージェントをインストールしてください。

• Microsoft.Kubernetes/connectedClusters リソースの種類に対する読み取りおよび書き込みアクセス許可。

Azure Kubernetes Service クラスター

• 稼働している MSI ベースの AKS クラスター。

  重要

  microsoft.flux拡張機能は SPN ベースの AKS クラスターでは機能しないため、AKS クラスターが MSI (SPN ではなく) で作成されていることを確認します。 az aks create で作成された新しい AKS クラスターの場合、クラスターは既定で MSI ベースです。 SPN ベースのクラスターを MSI に変換するには、 az aks update -g $RESOURCE_GROUP -n $CLUSTER_NAME --enable-managed-identityを実行します。 詳細については、「 AKS でのマネージド ID の使用」を参照してください。

• Microsoft.ContainerService/managedClusters リソースの種類に対する読み取りおよび書き込みアクセス許可。

両方のクラスターの種類に共通

• 次のリソースの種類に対する読み取りと書き込みのアクセス許可。

  • Microsoft.KubernetesConfiguration/extensions
  • Microsoft.KubernetesConfiguration/fluxConfigurations

• Azure CLI バージョン 2.15 以降。 Azure CLI をインストール するか、次のコマンドを使用して最新バージョンに更新します。

  az version
  az upgrade
  

• Kubernetes コマンド ライン クライアント kubectl。 Azure Cloud Shell を使用している場合、kubectl は既にインストールされています。

  kubectl コマンドを使用して、az aks install-cli をローカルにインストールします。

  az aks install-cli
  

• 次の Azure リソース プロバイダーの登録。

  az provider register --namespace Microsoft.Kubernetes
  az provider register --namespace Microsoft.ContainerService
  az provider register --namespace Microsoft.KubernetesConfiguration
  

  登録は非同期プロセスであり、10 分以内に終了するはずです。 登録プロセスを監視するには、次のコマンドを使用します。

  az provider show -n Microsoft.KubernetesConfiguration -o table
  
  Namespace                          RegistrationPolicy    RegistrationState
  ---------------------------------  --------------------  -------------------
  Microsoft.KubernetesConfiguration  RegistrationRequired  Registered
  

バージョンとリージョンのサポート

GitOps は現在、 Azure Arc 対応 Kubernetes がサポートするすべてのリージョンでサポートされています。 GitOps は現在、AKS でサポートされるリージョンのサブセットでサポートされています。 GitOps サービスでは、サポートされる新しいリージョンが定期的に追加されています。

Flux v2 拡張機能の最新バージョンと、前の 2 つのバージョン (N-2) がサポートされています。 一般的に、拡張機能の最新バージョンを使用することをお勧めします。

ネットワークの要件

GitOps エージェントが機能するには、ポート 22 (SSH) またはポート 443 (HTTPS) のリポジトリ ソースへの送信 (エグレス) TCP が必要です。 エージェントには、次の送信 URL へのアクセス権も必要です。

CLI 拡張機能を有効にする

最新の CLI 拡張機能パッケージ k8s-configuration および k8s-extension をインストールします。

az extension add -n k8s-configuration
az extension add -n k8s-extension

これらのパッケージを最新バージョンに更新するには:

az extension update -n k8s-configuration
az extension update -n k8s-extension

インストールされているすべての Azure CLI 拡張機能とそのバージョンの一覧を表示するには、次のコマンドを使います。

az extension list -o table

Experimental   ExtensionType   Name                   Path                                                       Preview   Version
-------------  --------------  -----------------      -----------------------------------------------------      --------  --------
False          whl             connectedk8s           C:\Users\somename\.azure\cliextensions\connectedk8s         False     1.2.7
False          whl             k8s-configuration      C:\Users\somename\.azure\cliextensions\k8s-configuration    False     1.5.0
False          whl             k8s-extension          C:\Users\somename\.azure\cliextensions\k8s-extension        False     1.1.0

Azure Arc 対応 Kubernetes クラスター

• 稼働している Azure Arc 対応 Kubernetes に接続されたクラスター。 arm64 ベースのクラスターは、 microsoft.flux バージョン 1.7.0 以降でサポートされています。

  Kubernetes クラスターを Azure Arc に接続する方法について説明します。送信プロキシ経由で接続する必要がある場合は、プロキシ 設定を使用して Arc エージェントをインストールしてください。

• Microsoft.Kubernetes/connectedClusters リソースの種類に対する読み取りおよび書き込みアクセス許可。

Azure Kubernetes Service クラスター

• 稼働している MSI ベースの AKS クラスター。

  重要

  microsoft.flux拡張機能は SPN ベースの AKS クラスターでは機能しないため、AKS クラスターが MSI (SPN ではなく) で作成されていることを確認します。 az aks create で作成された新しい AKS クラスターの場合、クラスターは既定で MSI ベースです。 MSI に変換する必要がある既に作成された SPN ベースのクラスターの場合は、az aks update -g $RESOURCE_GROUP -n $CLUSTER_NAME --enable-managed-identity を実行します。 詳細については、「 AKS でのマネージド ID の使用」を参照してください。

• Microsoft.ContainerService/managedClusters リソースの種類に対する読み取りおよび書き込みアクセス許可。

両方のクラスターの種類に共通

• 次のリソースの種類に対する読み取りと書き込みのアクセス許可。

  • Microsoft.KubernetesConfiguration/extensions
  • Microsoft.KubernetesConfiguration/fluxConfigurations

• 次の Azure リソース プロバイダーの登録:

  • Microsoft.ContainerService
  • Microsoft.Kubernetes
  • Microsoft.KubernetesConfiguration

バージョンとリージョンのサポート

GitOps は現在、 Azure Arc 対応 Kubernetes がサポートするすべてのリージョンでサポートされています。 GitOps は現在、AKS でサポートされるリージョンのサブセットでサポートされています。 GitOps サービスでは、サポートされる新しいリージョンが定期的に追加されています。

Flux v2 拡張機能の最新バージョンと、前の 2 つのバージョン (N-2) がサポートされています。 一般的に、拡張機能の最新バージョンを使用することをお勧めします。

ネットワークの要件

GitOps エージェントが機能するには、ポート 22 (SSH) またはポート 443 (HTTPS) のリポジトリ ソースへの送信 (エグレス) TCP が必要です。 エージェントには、次の送信 URL へのアクセス権も必要です。

次の例では、示された値と設定を使用し、az k8s-configuration flux create コマンドを使用して Flux 構成をクラスターに適用しています。

• クラスターが含まれているリソース グループは flux-demo-rg です。
• Azure Arc クラスターの名前は flux-demo-arc です。
• クラスターの種類は Azure Arc (-t connectedClusters) ですが、この例は AKS (-t managedClusters) でも動作します。
• Flux 構成の名前は cluster-config です。
• 構成インストールの名前空間は cluster-config です。
• パブリック Git リポジトリの URL は https://github.com/Azure/gitops-flux2-kustomize-helm-mt です。
• Git リポジトリ ブランチは main です。
• 構成のスコープは cluster です。 このスコープは、オペレーターにクラスター全体で変更を行う権限を付与します。 このチュートリアル namespace スコープを使用するには、 必要な変更を参照してください。
• 2 つの kustomization は、infra と apps という名前で指定されます。 それぞれがリポジトリ内のパスに関連付けられています。
• apps kustomization は infra kustomization に依存します。 (infra kustomization は apps kustomization の実行前に終了する必要があります。)
• 両方の kustomization で prune=true を設定します。 この設定により、Flux がクラスターにデプロイしたオブジェクトが、それらがリポジトリから削除されたり、Flux の構成や kustomization が削除されたりした場合に、確実にクリーンアップされることが保証されます。

az k8s-configuration flux create -g flux-demo-rg \
-c flux-demo-arc \
-n cluster-config \
--namespace cluster-config \
-t connectedClusters \
--scope cluster \
-u https://github.com/Azure/gitops-flux2-kustomize-helm-mt \
--branch main  \
--kustomization name=infra path=./infrastructure prune=true \
--kustomization name=apps path=./apps/staging prune=true dependsOn=\["infra"\]

microsoft.flux 拡張機能はクラスターにインストールされます (以前の GitOps デプロイにまだインストールされていない場合)。

flux 構成が事前にインストールされている場合、調整がまだ進行中であるため、初期コンプライアンス状態は Pending または Non-compliant である可能性があります。 約 1 分後に、構成に対して再度クエリを実行し、最終的なコンプライアンスの状態を確認します。

az k8s-configuration flux show -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters

デプロイが成功したことを確認するには、次のコマンドを実行します。

az k8s-configuration flux show -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters

デプロイに成功すると、以下の名前空間が作成されます。

• flux-system: Flux 拡張機能コントローラーを保持します。
• cluster-config: Flux 構成オブジェクトを保持します。
• nginx、podinfo、redis: Git リポジトリのマニフェストで説明されているワークロードの名前空間。

名前空間を確認するには、次のコマンドを実行します。

kubectl get namespaces

flux-system 名前空間には Flux 拡張オブジェクトが含まれています。

• Azure Flux コントローラー: fluxconfig-agent、fluxconfig-controller
• OSS Flux コントローラー: source-controller、kustomize-controller、helm-controller、notification-controller

Flux エージェントおよびコントローラー ポッドは実行中状態である必要があります。 次のコマンドを使ってこれを確認します。

kubectl get pods -n flux-system

NAME                                      READY   STATUS    RESTARTS   AGE
fluxconfig-agent-9554ffb65-jqm8g          2/2     Running   0          21m
fluxconfig-controller-9d99c54c8-nztg8     2/2     Running   0          21m
helm-controller-59cc74dbc5-77772          1/1     Running   0          21m
kustomize-controller-5fb7d7b9d5-cjdhx     1/1     Running   0          21m
notification-controller-7d45678bc-fvlvr   1/1     Running   0          21m
source-controller-df7dc97cd-4drh2         1/1     Running   0          21m

名前空間 cluster-config には Flux 構成オブジェクトがあります。

kubectl get crds

NAME                                                   CREATED AT
alerts.notification.toolkit.fluxcd.io                  2022-04-06T17:15:48Z
arccertificates.clusterconfig.azure.com                2022-03-28T21:45:19Z
azureclusteridentityrequests.clusterconfig.azure.com   2022-03-28T21:45:19Z
azureextensionidentities.clusterconfig.azure.com       2022-03-28T21:45:19Z
buckets.source.toolkit.fluxcd.io                       2022-04-06T17:15:48Z
connectedclusters.arc.azure.com                        2022-03-28T21:45:19Z
customlocationsettings.clusterconfig.azure.com         2022-03-28T21:45:19Z
extensionconfigs.clusterconfig.azure.com               2022-03-28T21:45:19Z
fluxconfigs.clusterconfig.azure.com                    2022-04-06T17:15:48Z
gitconfigs.clusterconfig.azure.com                     2022-03-28T21:45:19Z
gitrepositories.source.toolkit.fluxcd.io               2022-04-06T17:15:48Z
helmcharts.source.toolkit.fluxcd.io                    2022-04-06T17:15:48Z
helmreleases.helm.toolkit.fluxcd.io                    2022-04-06T17:15:48Z
helmrepositories.source.toolkit.fluxcd.io              2022-04-06T17:15:48Z
imagepolicies.image.toolkit.fluxcd.io                  2022-04-06T17:15:48Z
imagerepositories.image.toolkit.fluxcd.io              2022-04-06T17:15:48Z
imageupdateautomations.image.toolkit.fluxcd.io         2022-04-06T17:15:48Z
kustomizations.kustomize.toolkit.fluxcd.io             2022-04-06T17:15:48Z
providers.notification.toolkit.fluxcd.io               2022-04-06T17:15:48Z
receivers.notification.toolkit.fluxcd.io               2022-04-06T17:15:48Z
volumesnapshotclasses.snapshot.storage.k8s.io          2022-03-28T21:06:12Z
volumesnapshotcontents.snapshot.storage.k8s.io         2022-03-28T21:06:12Z
volumesnapshots.snapshot.storage.k8s.io                2022-03-28T21:06:12Z
websites.extensions.example.com                        2022-03-30T23:42:32Z

他の構成の詳細は、次のコマンドを使って確認します。

kubectl get fluxconfigs -A

NAMESPACE        NAME             SCOPE     URL                                                       PROVISION   AGE
cluster-config   cluster-config   cluster   https://github.com/Azure/gitops-flux2-kustomize-helm-mt   Succeeded   44m

kubectl get gitrepositories -A

NAMESPACE        NAME             URL                                                       READY   STATUS                                                            AGE
cluster-config   cluster-config   https://github.com/Azure/gitops-flux2-kustomize-helm-mt   True    Fetched revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   45m

kubectl get helmreleases -A

NAMESPACE        NAME      READY   STATUS                             AGE
cluster-config   nginx     True    Release reconciliation succeeded   66m
cluster-config   podinfo   True    Release reconciliation succeeded   66m
cluster-config   redis     True    Release reconciliation succeeded   66m

kubectl get kustomizations -A


NAMESPACE        NAME                   READY   STATUS                                                            AGE
cluster-config   cluster-config-apps    True    Applied revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   65m
cluster-config   cluster-config-infra   True    Applied revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   65m

ワークロードは、Git リポジトリのマニフェストからデプロイされます。

kubectl get deploy -n nginx

NAME                                       READY   UP-TO-DATE   AVAILABLE   AGE
nginx-ingress-controller                   1/1     1            1           67m
nginx-ingress-controller-default-backend   1/1     1            1           67m

kubectl get deploy -n podinfo

NAME      READY   UP-TO-DATE   AVAILABLE   AGE
podinfo   1/1     1            1           68m

kubectl get all -n redis

NAME                 READY   STATUS    RESTARTS   AGE
pod/redis-master-0   1/1     Running   0          68m

NAME                     TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)    AGE
service/redis-headless   ClusterIP   None          <none>        6379/TCP   68m
service/redis-master     ClusterIP   10.0.13.182   <none>        6379/TCP   68m

NAME                            READY   AGE
statefulset.apps/redis-master   1/1     68m

Flux クラスター拡張機能を使用してデプロイするコントローラーを制御する

シナリオによっては、Flux クラスター拡張機能と一緒にインストールされる Flux コントローラーを変更したい場合もあるでしょう。

source、helm、kustomize、notification の Flux コントローラーが既定でインストールされます。 新しいコンテナー イメージが使用可能になったときに Git リポジトリを更新するために使用されるimage-automationコントローラーとimage-reflector コントローラーは、明示的に有効にする必要があります。

k8s-extension コマンドを使用して、既定のオプションを変更できます。

• --config source-controller.enabled=<true/false> (既定値: true)
• --config helm-controller.enabled=<true/false> (既定値: true)
• --config kustomize-controller.enabled=<true/false> (既定値: true)
• --config notification-controller.enabled=<true/false> (既定値: true)
• --config image-automation-controller.enabled=<true/false> (既定値: false)
• --config image-reflector-controller.enabled=<true/false> (既定値: false)

たとえば、通知を無効にするには、notification-controller.enabled をfalse に設定します。

このコマンド例では、image-reflector コントローラーと image-automation コントローラーをインストールします。 Flux 構成を最初に作成したときに Flux 拡張機能が自動的に作成された場合、拡張機能名は flux です。

az k8s-extension create -g <cluster_resource_group> -c <cluster_name> -t <connectedClusters or managedClusters or provisionedClusters> --name flux --extension-type microsoft.flux --config image-automation-controller.enabled=true image-reflector-controller.enabled=true

AKS クラスターの認証方法として Kubelet ID を使用する

AKS クラスターの場合、使用するべき認証の選択肢の 1 つは kubelet ID です。 既定では、AKS はマネージド リソース グループに独自の kubelet ID を作成します。 必要に応じて、 事前に作成された kubelet マネージド ID を使用できます。 そのためには、Flux 拡張機能のインストール時にパラメーター --config useKubeletIdentity=true を追加してください。

az k8s-extension create --resource-group <resource-group> --cluster-name <cluster-name> --cluster-type managedClusters --name flux --extension-type microsoft.flux --config useKubeletIdentity=true

Red Hat OpenShift のオンボード ガイダンス

Flux コントローラーでは、クラスター上でポッドを適切にプロビジョニングするために 、非ルートセキュリティ コンテキスト制約 が必要です。 これらの制約は、microsoft.flux 拡張機能をデプロイする前にクラスターに追加する必要があります。

NS="flux-system"
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:kustomize-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:helm-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:source-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:notification-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:image-automation-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:image-reflector-controller

Flux のオンボードに関する OpenShift ガイダンスの詳細については、 Flux のドキュメントを参照してください。

Azure portal は、Azure Arc 対応 Kubernetes または AKS クラスターで GitOps 構成と Flux 拡張機能を管理する場合に便利です。 Azure portal では、各クラスターに関連付けられたすべての Flux 構成を確認し、各クラスターの全体的なコンプライアンス状態などの詳細情報を取得できます。

以下の手順に従って、サンプルの Flux 構成をクラスターに適用してください。 このプロセスの一環として、Azure によって microsoft.flux 拡張機能がクラスターにインストールされます。これが以前のデプロイでまだインストールされていなかった場合だけです。

1. Azure portal でお使いのクラスターに移動します。

2. サービス メニューの [設定] で、 GitOps を選択します。

3. 作成を選択します。

4. [ 基本 ] セクションで、次の操作を行います。

   1. 構成の名前を入力します。
   2. Flux カスタム リソースをインストールする名前空間を入力します。 既存の名前空間を使用することも、構成のデプロイ時に作成する新しい名前空間を指定することもできます。
   3. [ スコープ] で [ クラスター ] を選択し、Flux オペレーターがクラスター内のすべての名前空間に構成を適用するアクセス権を持ちます。 このチュートリアル namespace スコープを使用するには、 必要な変更を参照してください。
   4. [ 次へ ] を選択して、[ ソース ] セクションに進みます。

   

5. [ ソース ] セクションで、次の手順を実行します。

   1. [ソースの種類] で、[Git リポジトリ] を選択します。
   2. Kubernetes マニフェストが配置されているリポジトリの URL を入力します。 https://github.com/Azure/gitops-flux2-kustomize-helm-mt
   3. 参照の種類として、[ ブランチ] を選択します。 ブランチを main に設定したままにしておきます。
   4. [リポジトリの種類] で、[パブリック] を選択します。
   5. その他のオプションは既定値のままにして、[ 次へ] を選択します。

   

6. Kustomizations セクションで、とinfrastructureの 2 つの staging作成します。 これらの kustomization は Flux リソースであり、それぞれがリポジトリ内のパスに関連付けられていて、Flux がクラスターに反映するべき一連のマニフェストを表しています。

   1. 作成を選択します。

   2. [Kustomization の作成] 画面で、次の手順を行います。

      1. [ インスタンス名] に「 インフラストラクチャ」と入力します。

      2. パス に「./infrastructure」を入力します。

      3. プルーンのチェックボックスをオンにします。 この設定により、Flux がクラスターにデプロイしたオブジェクトが、それらがリポジトリから削除されたり、Flux の構成や kustomization が削除されたりした場合に、確実にクリーンアップされることが保証されます。

      4. その他のオプションはそのままにし、[ 保存] を選択して、 infrastructure kustomization を作成します。

         

   3. infrastructure kustomization が Kustomizations セクションに表示されるようになりました。 次の kustomization を作成するには、もう一度 [作成 ] を選択します。

   4. [Kustomization の作成] 画面で、次の手順を行います。

      1. [ インスタンス名] に「 ステージング」と入力します。

      2. パスに./apps/stagingと入力します。

      3. プルーンのチェックボックスをオンにします。

      4. [依存する] ボックスで、[インフラストラクチャ] を選択します。

      5. その他のオプションはそのままにし、[ 保存] を選択して、 staging kustomization を作成します。

         

   5. これで、両方の kustomization が Kustomizations セクションに表示されます。 [次へ] を選択して続行します。

7. 前の手順で選択したオプションを確認します。 次に、[ 作成 ] を選択して GitOps 構成の作成を完了します。

構成とオブジェクトを表示する

クラスターのすべての構成を表示するには、クラスターに移動し、サービス メニューから GitOps を選択します。

構成の名前を選択すると、構成の状態、プロパティ、ソースなどの詳細が表示されます。 その後、 構成オブジェクト を選択して、GitOps 構成を有効にするために作成されたすべてのオブジェクト (コンプライアンス状態や各オブジェクトに関するその他の詳細を含む) を表示できます。

クラスターにデプロイされている他の Kubernetes リソースを表示するには、クラスターの概要ページに戻り、サービス メニューから Kubernetes リソース (プレビュー) を選択します。

構成オブジェクトの詳細な条件を表示するには、その名前を選択します。

詳細については、「 GitOps (Flux v2) の状態とアクティビティの監視」を参照してください。

Flux 構成を削除する

次のコマンドは、Azure 内の fluxConfigurations リソースとクラスター内の Flux 構成オブジェクトの両方を削除します。 Flux 構成はもともと kustomization の prune=true パラメーターを使用して作成されたため、Flux 構成が削除されると、Git リポジトリのマニフェストに基づいてクラスター内に作成されたオブジェクトはすべて削除されます。 しかし、このコマンドは Flux 拡張機能自体は削除しません。

az k8s-configuration flux delete -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters --yes

Flux クラスター拡張機能を削除する

Flux 拡張機能を削除すると、Azure 内の microsoft.flux 拡張機能リソースとクラスター内の Flux 拡張機能オブジェクトの両方が削除されます。

Flux 構成を最初に作成したときに Flux 拡張機能が自動的に作成された場合、拡張機能名は flux になります。

az k8s-extension delete -g flux-demo-rg -c flux-demo-arc -n flux -t connectedClusters --yes

Flux 構成を削除する

Flux 構成を削除するには、構成が作成されたクラスターに移動します。 サービス メニューの [設定] で、 GitOps を選択します。 削除する構成を選択します。 ページの上部にある [ 削除] を選択し、確認を求められたらもう一度 [削除 ] を選択します。

Flux 構成を削除すると、クラスター内のすべての Flux 構成オブジェクトが削除されます。 しかし、この操作は microsoft.flux 拡張機能自体は削除しません。

Flux クラスター拡張機能を削除する

Flux 拡張機能を削除すると、Azure 内の microsoft.flux 拡張機能リソースとクラスター内の Flux 拡張機能オブジェクトの両方が削除されます。

Azure Arc 対応 Kubernetes クラスターの場合は、クラスターに移動します。 サービス メニューの [設定] で、[ 拡張機能] を選択します。 flux拡張機能を選択し、[アンインストール] を選択し、削除を確認します。

AKS クラスターの場合、Azure portal を使用して拡張機能を削除することはできません。 代わりに、以下の Azure CLI コマンドを使用します。

az k8s-extension delete -g <resource-group> -c <cluster-name> -n flux -t managedClusters --yes