Azure Kubernetes Service (AKS) のアーキテクチャのベスト プラクティス

(クラスター) 冗長性を構築して回復性を向上させます。 単一のリージョンにデプロイするときに可用性を向上させるために、回復性戦略の一部として AKS クラスターの可用性ゾーンを使用します。 多くの Azure リージョンには、可用性ゾーンがあります。 ゾーン間の接続の待機時間が短くなるほど近いですが、ローカルの停止が複数のゾーンに影響を与える可能性を減らすには十分に離れています。

重要なワークロードの場合は、異なる Azure リージョンに複数のクラスターをデプロイします。 AKS クラスターを地理的に分散することで、より高い回復性を実現し、リージョンの障害の影響を最小限に抑えることができます。 マルチリージョン戦略は、可用性を最大化し、ビジネス継続性を提供するのに役立ちます。 インターネットに接続するワークロードでは、 Azure Front Door または Azure Traffic Manager を使用して、AKS クラスター間でトラフィックをグローバルにルーティングする必要があります。 詳細については、「 マルチリージョン戦略」を参照してください。

クラスターが複数クラスター トポロジのフェールオーバー トラフィックを確実にスケーリングして処理できるように、IP アドレス空間を計画します。

(クラスターとワークロード) クラスターとワークロードの信頼性と全体的な正常性インジケーターを監視します。 ログとメトリックを収集してワークロードの正常性を監視し、パフォーマンスと信頼性の傾向を特定し、問題のトラブルシューティングを行います。 Azure Monitor を使用して Kubernetes を監視するためのベスト プラクティスと、ワークロード用の Well-Architected Health モデリング ガイドを確認して、AKS ソリューションの信頼性と正常性監視ソリューションの設計に役立ててください。

水平スケーリングをサポートし、アプリケーションの準備と正常性をレポートするようにワークロードが構築されていることを確認します。

(クラスターとワークロード) ユーザー ノード プールでアプリケーション ポッドをホストします。 システム ポッドをアプリケーション ワークロードから分離することで、AKS の重要なサービスが、リソースの需要や、ユーザー ノード プールを実行するワークロードによって引き起こされる潜在的な問題の影響を受けないようにすることができます。

ワークロードがユーザー ノード プールで実行されていることを確認し、適切なサイズの SKU を選択します。 少なくとも、ユーザー ノード プール用に 2 つのノード、システム ノード プール用に 3 つのノードを含めます。

(クラスターとワークロード) 可用性と復旧のターゲットに AKS アップタイム サービス レベル アグリーメント (SLA) を考慮します。 クラスターとワークロードの信頼性と復旧のターゲットを定義するには、「信頼性ターゲットを 定義するための推奨事項」のガイダンスに従ってください。 その後、それらの目標を満たす設計を作成します。

(クラスターとワークロード)Azure Backup を使用して AKS クラスター サービスを保護するには、バックアップ コンテナーに復旧ポイントを格納し、障害シナリオの間に復元を実行します。 AKS クラスターで実行されているコンテナー化されたアプリケーションとデータをバックアップおよび復元するには、保護を構成するための AKS バックアップの概要のガイダンスに従います。

(クラスター)ID とアクセス管理のために Microsoft Entra ID と統合します。Microsoft Entra ID を使用してクラスターの ID 管理を一元化します。 ユーザー アカウントまたはグループの状態が変わると、AKS クラスターにアクセスしたとき、その変更内容が自動的に更新されます。 プライマリ セキュリティ境界として ID を確立します。 お使いの Kubernetes クラスターの開発者とアプリケーション所有者はさまざまなリソースへのアクセスを必要とします。

最小限の特権アクセスには、Microsoft Entra ID で Kubernetes ロールベースのアクセス制御 (RBAC) を使用します。 管理者特権の割り当てを最小限に抑えることで、構成とシークレットを保護します。

(クラスター)セキュリティ監視およびセキュリティ情報およびイベント管理ツールと統合します。Microsoft Sentinel で Microsoft Defender for Containers を使用して、クラスターとその上で実行されるワークロード全体の脅威を検出して迅速に対応します。 Microsoft Sentinel の AKS コネクタを有効にして、AKS 診断ログを Microsoft Sentinel にストリーミングします。

(クラスターとワークロード) セグメント化とネットワーク制御を実装します。 データ流出を防ぐには、承認された安全なトラフィックのみが許可され、セキュリティ侵害の爆発半径が含まれていることを確認します。

プライベート AKS クラスターを使用して、API サーバーへのクラスター管理トラフィックがプライベート ネットワーク上に残っていることを確認することを検討してください。 または、パブリック クラスターに対して API サーバーの許可リストを使用します。

(ワークロード) Web アプリケーション ファイアウォール (WAF) を使用して、潜在的な攻撃の受信トラフィックをスキャンします。 WAF は、アプリケーションに到達する前に悪意のあるトラフィックをブロックするのに役立つ脅威をリアルタイムで検出して軽減できます。 SQL インジェクション、クロスサイト スクリプティング、その他の Open Web アプリケーション セキュリティ プロジェクトの脆弱性など、一般的な Web ベースの攻撃に対する堅牢な保護を提供します。 Azure Application Gateway や Azure Front Door などの一部のロード バランサーには、統合された WAF があります。

(ワークロード) 強化されたワークロードのソフトウェア サプライ チェーンを維持します。 コンテナー対応のスキャンを使用して、継続的インテグレーションと継続的デリバリー パイプラインが強化されていることを確認します。

(クラスターとワークロード) 特殊なセキュリティで保護されたワークロードに対して追加の保護を実装します。 クラスターで機密性の高いワークロードを実行する必要がある場合は、プライベート クラスターのデプロイが必要になる場合があります。 いくつかの例を次に示します。

• Payment Card Industry Data Security Standard (PCI-DSS 3.2.1): PCI-DSS 3.2.1 用の AKS 規制クラスター
• AKS での DoD 影響レベル 5 (IL5) のサポートと要件: Azure Government IL5 の分離要件。

(クラスター) コスト モデルに AKS の価格レベル を含めます。 コストを見積もるために、 Azure 料金計算ツール を使用し、計算ツールでさまざまな構成と支払いプランをテストします。

(クラスター) ワークロードに最適な料金を取得します。 ワークロードの実行コストに直接影響するため、ノード プールごとに適切な VM SKU を使用します。 適切な使用率なしで高パフォーマンスの VM を選択すると、無駄な支出につながる可能性があります。 あまり強力でない VM を選択すると、パフォーマンスの問題が発生し、ダウンタイムが増加する可能性があります。

容量を適切に計画していて、ワークロードが予測可能で、長期間存在する場合は、 Azure の予約 または 節約計画 にサインアップして、リソース コストを削減します。

Azure Spot Virtual Machines を選択して、使用率の低い Azure 容量を大幅な割引で使用します。 これらの割引は、従量課金制の価格の最大 90% に達する場合があります。 容量が Azure で再び必要になると、Azure インフラストラクチャはスポット ノードを削除します。

オンプレミスまたはエッジで AKS を実行する場合は、 Azure ハイブリッド特典 を使用して、これらのシナリオでコンテナー化されたアプリケーションを実行するときのコストを削減することもできます。

(クラスターとワークロード) ワークロード コンポーネントのコストを最適化します。 ワークロードに最もコスト効率の高いリージョンを選択します。 コスト、待機時間、コンプライアンスの要件を評価して、ワークロードをコスト効率の高い方法で実行し、顧客に影響を与えたり、追加のネットワーク料金を作成したりしないようにします。 Azure にワークロードをデプロイするリージョンは、コストに大きな影響を与える可能性があります。 多くの要因により、リソースのコストは Azure のリージョンごとに異なります。

新しいノードではそれらのイメージをダウンロードする必要があるため、コストを削減するために、小さく最適化されたイメージを維持します。 アプリケーションの起動時にユーザー要求のエラーまたはタイムアウトが発生すると、オーバープロビジョニングが発生する可能性があります。 障害やタイムアウトを回避するために、コンテナーをできるだけ早く起動できるようにイメージをビルドします。

Azure Monitor で Kubernetes を監視するためのベスト プラクティスのコスト最適化に関する推奨事項を確認して、ワークロードに最適な監視戦略を決定します。 CPU、メモリ、ストレージ、ネットワークから始まるパフォーマンス メトリックを分析して、クラスター、ノード、名前空間ごとにコスト最適化の機会を特定します。

(クラスターとワークロード) ワークロードのスケーリング コストを最適化します。 すべてのワークロード要件を満たしながら、スケーリング コストを削減するために、垂直方向と水平方向の別のスケーリング構成を検討してください。 ワークロードのアクティブが低い場合は、自動スケーラーを使用してスケールインします。

(クラスターとワークロード) コスト データを収集して分析します。 コストの最適化を有効にする基礎は、コスト削減クラスターの分散です。 コスト削減目標の調整を推進し、クラウド コストに透明性をもたらすために、財務チーム、運用チーム、エンジニアリング チーム間のコラボレーションを含むコスト効率の考え方を開発します。

(クラスター) コードとしてのインフラストラクチャ (IaC) デプロイ アプローチを実装します。 Bicep、Terraform、または同様のツールを使用して、宣言型のテンプレート ベースのデプロイ アプローチを使用します。 すべてのデプロイが反復可能でトレース可能であり、ソース コードのリポジトリに保存されている必要があります。 詳細については、AKS 製品ドキュメントの クイックスタート を参照してください。

(クラスターとワークロード) インフラストラクチャとワークロードのデプロイを自動化します。 標準的なソフトウェア ソリューションを使用して、クラスターとワークロードのデプロイを管理、統合、自動化します。 デプロイ パイプラインをソース管理システムと統合し、自動テストを組み込みます。

必要なクラスター全体の構成とデプロイでクラスターがブートストラップされるように、自動化されたプロセスを構築します。 通常、このプロセスは GitOps を使用して実行されます。

ソフトウェア開発ライフサイクル内で、ワークロードに対して反復可能で自動化されたデプロイ プロセスを使用します。

(クラスターとワークロード) 包括的な監視戦略を実装します。 ログとメトリックを収集してワークロードの正常性を監視し、パフォーマンスと信頼性の傾向を特定し、問題のトラブルシューティングを行います。 Azure Monitor を使用して Kubernetes を監視するためのベスト プラクティスと、監視システムを設計および作成するための Well-Architected 推奨事項を確認して、ワークロードに最適な監視戦略を決定します。

診断設定を有効にして、コントロール プレーンまたはコア API サーバーの対話がログに記録されるようにします。

ワークロードは、収集可能なテレメトリを出力するよう設計する必要があり、それにはライブネス状態と準備完了状態も含める必要があります。

(クラスターとワークロード) 運用戦略でテストを実装する。 運用環境でのテストでは、実際のデプロイを使用して、運用環境でのアプリケーションの動作とパフォーマンスを検証および測定します。 Kubernetes を対象とするカオス エンジニアリング プラクティスを使用して、アプリケーションまたはプラットフォームの信頼性の問題を特定します。

Azure Chaos Studio は、障害をシミュレートし、ディザスター リカバリーの状況をトリガーするのに役立ちます。

(クラスターとワークロード) ワークロード ガバナンスを適用する。 Azure Policy は、組織の標準に一貫したコンプライアンスを確保し、ポリシーの適用を自動化し、クラスター リソースの一元的な可視性と制御を提供します。

AKS で使用可能な組み込みポリシーの詳細については、「 Azure ポリシー」セクションを参照してください。

(クラスターとワークロード) ミッション クリティカルなワークロードには 、スタンプレベルのブルーグリーンデプロイ を使用します。 スタンプ レベルの青緑色のデプロイ アプローチでは、変更のリリースに対する信頼性が高くなり、ダウンタイムなしのアップグレードが可能になります。これは、Azure プラットフォーム、リソース プロバイダー、IaC モジュールなどのダウンストリーム依存関係との互換性を検証できるためです。

Kubernetes とイングレス コントローラーは、リリース エンジニアリング プロセスに組み込むための多くの高度なデプロイ パターンをサポートしています。 ブルー/グリーン デプロイやカナリア リリースなどのパターンを検討してください。

(クラスターとワークロード) ワークロードをより持続可能なものにします。 ワークロードの 持続性とクラウド効率を高 めるためには、 コストの最適化、 炭素排出量の削減、 エネルギー消費の最適化に関する取り組みを組み合わせる必要があります。 アプリケーションのコストを最適化することは、ワークロードをより持続可能にするための第一歩です。

持続可能で効率的な AKS ワークロードを構築する方法については、 AKS の持続可能なソフトウェア エンジニアリングの原則 を参照してください。

(クラスターとワークロード) 容量計画を実施する。 SKU、自動スケール設定、IP アドレス指定、フェールオーバーに関する考慮事項を含む詳細な容量計画の演習を実行して反復処理します。

容量プランを正式に作成した後、クラスターのリソース使用率を継続的に監視することで、プランを頻繁に更新します。

(クラスター) スケーリング戦略を定義します。 リソースが過剰使用や無駄なくワークロードの需要を満たすように効率的に調整されるようにスケーリングを構成します。 クラスターの自動スケーリングや HorizontalPodAutoscaler などの AKS 機能を使用して、ワークロードのニーズを動的に満たし、運用に対する負担を軽減します。 ワークロードを最適化して、コンテナー内で効率的に運用およびデプロイします。

スケーリングとパーティション分割のガイドを確認して、スケーリング構成のさまざまな側面を理解します。

(クラスターとワークロード) パフォーマンス テストを実施する。 ポッドとクラスターオートスケーラーの両方を実行する継続的なロード テスト アクティビティを実行します。 パフォーマンス目標と確立されたベースラインと結果を比較します。

(クラスターとワークロード) ワークロードとフローを個別にスケーリングします。 ワークロードを分離し、異なるノード プールに流れ込んで、独立したスケーリングを可能にします。 フローを使用したワークロード設計の最適化に関する記事のガイダンスに従って、フローを特定し、優先順位を付けます。