AKS Automatic: de nieuwe standaard voor AKS?

De 3 pilaren van AKS Automatic

1. Standaard productieklaar 

• Optimale settings voor productie zijn al ingesteld en werken voor de meeste apps.
• Node autoscaling werkt automatisch via KEDA en de Cluster Autoscaler. Je hoeft daar zelf niks voor te regelen.
• Pods worden slim verdeeld over nodes (bin packing), zodat resources efficiënt gebruikt worden. Je hoeft zelf niet na te denken over de verdeling.

2. Best practices en safeguards zitten er al in

• Security is standaard versterkt volgens de richtlijnen van Microsoft.
• AKS zorgt automatisch voor patching van nodes en componenten, volgens je ingestelde onderhoudsschema. 

3. Van code naar Kubernetes in een paar minuten

• Je kunt een container image in een paar minuten deployen naar een live app.
• Je hebt gewoon toegang tot de volledige Kubernetes API als je die nodig hebt.

Standaard ingestelde configuraties

AKS Automatic komt met een aantal features die al voor je zijn ingesteld. Microsoft heeft dit gebaseerd op wat zij zien als best practices op verschillende gebieden:

• Security
• Networking
• (Auto) Scaling
• Observability (Monitoring en Logging)

Daardoor kun je je workloads vanaf dag één veilig en efficiënt draaien op AKS.

Security

Op het gebied van security kun je het opsplitsen in cluster security en workload security.

Cluster security gaat over toegang tot je cluster en de hele supply chain beveiligen. Dit is wat AKS Automatic standaard voor je regelt:

• Azure Linux OS images
• Automatische upgrades*
• Azure Role-Based Access Control (RBAC) staat aan (bijv. voor toegang tot de Kubernetes API)
• Lokale toegang tot het cluster is uitgeschakeld
• SSH-toegang tot nodes is uitgeschakeld
• Image Cleaner add-on is geïnstalleerd
• Network Resource Lockdown (NRG) past strikte netwerkrules toe om je cluster af te schermen. Alleen outbound verkeer naar goedgekeurde internet resources is toegestaan. Verkeer tussen tenants wordt ook geblokkeerd — handig als je meerdere klanten op hetzelfde cluster host.

Workload security gaat over het beveiligen van je workloads:

• Workload identity staat aan (voor authenticatie richting Azure resources via Microsoft Entra ID).
• Deployment safeguards helpen bij het afdwingen van best practices, zodat alleen vertrouwde containers en veilige images worden gebruikt.
• Azure Key Vault provider is geactiveerd om secrets veilig te koppelen aan je workloads.
• Azure Policy add-on staat aan.

Networking

Bij networking kijk je naar hoe pods met elkaar communiceren binnen het Virtual Network (VNet), en hoe verkeer naar en van het cluster gaat.

Networking in AKS Automatic omvat:

• Pod networking via Azure CNI overlay met Cilium als dataplane.
• Ingress via AKS App Routing (een managed NGINX Ingress Controller), die integreert met Azure DNS en Azure Key Vault voor end-to-end toegang tot je app.
• Egress via AKS NAT Gateway voor schaalbare outbound connecties.

Scaling

AKS Automatic gebruikt verschillende scaling-opties. Je kunt ze opdelen in cluster autoscaling en workload autoscaling:

Voor Cluster Autoscaling schakelt AKS Automatic automatisch dit in:

• Node Autoprovisioning (NAP): Gebaseerd op het open-source project Karpenter. Dit schaalt nodes op of af afhankelijk van de workload. De Cluster Autoscaler checkt onderbenutte nodes en verplaatst workloads slim (binpacking) om efficiëntie te verhogen en kosten te besparen.

Voor Workload Autoscaling gebruikt AKS Automatic:

• KEDA: Kubernetes Event-Driven Autoscaler. Hiermee schaal je workloads op basis van events of metrics.
• Vertical Pod Autoscaler (VPA): Deze add-on past automatisch de resource requests van je workloads aan.

Observability

Vanaf het begin krijg je observability direct in je systeem:

• Azure Managed Prometheus voor metrics
• Container Insights voor logs
• Azure Managed Grafana voor dashboards

De managed Grafana-instantie bevat standaard dashboards voor Kubernetes en Azure. Je kunt dus meteen de status van je cluster bekijken in het Azure portal.

Beperkingen van AKS Automatic

AKS Automatic maakt het instellen van AKS simpeler, omdat je veel niet meer zelf hoeft te configureren.

Daar staat tegenover dat je minder flexibiliteit hebt. De standaardinstellingen passen niet bij elke situatie. De huidige beperkingen zijn onder andere:

• Beperkte controle over network plugins of custom CNI settings
• Geen ondersteuning voor custom node pools (deze zijn vooraf gedefinieerd)
• Niet alle add-ons worden ondersteund
• Scaling werkt zoals Microsoft het bedoeld heeft: KEDA en VPA staan standaard aan
• Vooraf ingestelde features kun je niet uitschakelen of aanpassen

Conclusie

AKS Automatic is dus meer geautomatiseerd en opinionated. Je kunt nog wel wat tweaks doen op het gebied van security, maar minder dan bij AKS Standard. En je hebt nog steeds kennis nodig, bijvoorbeeld van hoe een cluster zich gedraagt.

Als je controle overdraagt aan Azure, kan dat een probleem zijn voor teams met strikte compliance- of security-eisen. Je verliest namelijk zicht en verfijnde configuratie.

Denk dus goed na of dit past bij jouw organisatie.

Terug naar de vraag: is AKS Automatic het waard? Dat hangt ervan af.

• AKS Automatic is geschikt als je snel een werkend, standaard geconfigureerd cluster nodig hebt.
• AKS Standard past beter als je volledige controle wilt, flexibiliteit nodig hebt of met afwijkende workloads werkt.

Past AKS Automatic niet bij je organisatie? Dat betekent niet dat je dan maar alles zelf moet regelen in AKS.

Intercept biedt een volledig beheerde oplossing: AKS Control.