Tutoriel : Déployer des applications à l’aide de GitOps avec Flux v2

Pour les clusters Kubernetes avec Azure Arc

• Un cluster Kubernetes connecté à Azure Arc qui est en cours d’exécution. Les clusters ARM64 sont pris en charge à compter de microsoft.flux version 1.7.0.

  Découvrez comment connecter un cluster Kubernetes à Azure Arc. Si vous devez vous connecter via un proxy sortant, veillez à installer les agents Arc avec les paramètres de proxy.

• Autorisations de lecture et d’écriture sur le groupe de ressources Microsoft.Kubernetes/connectedClusters.

Pour les clusters Azure Kubernetes Service (AKS)

• Un cluster AKS basé sur une identité de service managée (MSI) qui est en cours d’exécution.

  Important

  Assurez-vous que le cluster AKS est créé avec MSI (et non SPN), car l'extensionmicrosoft.flux ne fonctionne pas avec les clusters AKS basés sur SPN. Pour les nouveaux clusters AKS créés avec az aks create, le cluster est basé sur MSI par défaut. Pour les clusters SPN déjà créés qui doivent être convertis en MSI, exécutez az aks update -g $RESOURCE_GROUP -n $CLUSTER_NAME --enable-managed-identity. Pour plus d’informations, consultez Utiliser une identité managée dans AKS.

• Autorisations de lecture et d’écriture sur le groupe de ressources Microsoft.ContainerService/managedClusters.

Commun aux deux types de cluster

• Autorisations de lecture et d’écriture sur ces types de ressources :

  • Microsoft.KubernetesConfiguration/extensions
  • Microsoft.KubernetesConfiguration/fluxConfigurations

• Azure CLI, version 2.15 ou ultérieure. Installez Azure CLI ou utilisez les commandes suivantes pour effectuer une mise à jour vers la dernière version :

  az version
  az upgrade
  

• Le client de ligne de commande Kubernetes, kubectl. Si vous utilisez Azure Cloud Shell, kubectl est déjà installé.

  Installez kubectl en local avec la commande az aks install-cli :

  az aks install-cli
  

• Inscription des fournisseurs de ressources Azure suivants :

  az provider register --namespace Microsoft.Kubernetes
  az provider register --namespace Microsoft.ContainerService
  az provider register --namespace Microsoft.KubernetesConfiguration
  

  L’inscription est un processus asynchrone qui doit se terminer dans un délai de 10 minutes. Pour superviser le processus d’inscription, utilisez la commande suivante :

  az provider show -n Microsoft.KubernetesConfiguration -o table
  
  Namespace                          RegistrationPolicy    RegistrationState
  ---------------------------------  --------------------  -------------------
  Microsoft.KubernetesConfiguration  RegistrationRequired  Registered
  

Prise en charge des versions et des régions

GitOps est actuellement pris en charge dans toutes les régions prises en charge par Kubernetes avec Azure Arc. GitOps est actuellement pris en charge dans un sous-ensemble des régions prises en charge par AKS. Le service GitOps ajoute de nouvelles régions prises en charge sur une cadence régulière.

La version la plus récente de l’extension Flux v2 et les deux versions précédentes (N-2) sont prises en charge. Nous recommandons généralement d’utiliser la version la plus récente de l’extension.

Configuration requise pour le réseau

Les agents GitOps nécessitent le protocole TCP sortant (sortie) vers la source du référentiel sur le port 22 (SSH) ou le port 443 (HTTPS) pour fonctionner. Les agents requièrent également accès aux URL sortantes suivantes :

Activer les extensions CLI

Installez les derniers packages d’extension CLI k8s-configuration et k8s-extension :

az extension add -n k8s-configuration
az extension add -n k8s-extension

Pour mettre à jour ces packages vers les dernières versions :

az extension update -n k8s-configuration
az extension update -n k8s-extension

Pour afficher une liste des extensions Azure CLI installées et leurs versions, utilisez la commande suivante :

az extension list -o table

Experimental   ExtensionType   Name                   Path                                                       Preview   Version
-------------  --------------  -----------------      -----------------------------------------------------      --------  --------
False          whl             connectedk8s           C:\Users\somename\.azure\cliextensions\connectedk8s         False     1.2.7
False          whl             k8s-configuration      C:\Users\somename\.azure\cliextensions\k8s-configuration    False     1.5.0
False          whl             k8s-extension          C:\Users\somename\.azure\cliextensions\k8s-extension        False     1.1.0

Pour les clusters Kubernetes avec Azure Arc

• Un cluster Kubernetes connecté à Azure Arc qui est en cours d’exécution. Les clusters ARM64 sont pris en charge à compter de microsoft.flux version 1.7.0.

  Découvrez comment connecter un cluster Kubernetes à Azure Arc. Si vous devez vous connecter via un proxy sortant, veillez à installer les agents Arc avec les paramètres de proxy.

• Autorisations de lecture et d’écriture sur le groupe de ressources Microsoft.Kubernetes/connectedClusters.

Pour les clusters Azure Kubernetes Service (AKS)

• Un cluster AKS basé sur une identité de service managée (MSI) qui est en cours d’exécution.

  Important

  Assurez-vous que le cluster AKS est créé avec MSI (et non SPN), car l'extensionmicrosoft.flux ne fonctionne pas avec les clusters AKS basés sur SPN. Pour les nouveaux clusters AKS créés avec az aks create, le cluster est basé sur MSI par défaut. Pour les clusters SPN déjà créés qui doivent être convertis en MSI, exécutez az aks update -g $RESOURCE_GROUP -n $CLUSTER_NAME --enable-managed-identity. Pour plus d’informations, consultez Utiliser une identité managée dans AKS.

• Autorisations de lecture et d’écriture sur le groupe de ressources Microsoft.ContainerService/managedClusters.

Commun aux deux types de cluster

• Autorisations de lecture et d’écriture sur ces types de ressources :

  • Microsoft.KubernetesConfiguration/extensions
  • Microsoft.KubernetesConfiguration/fluxConfigurations

• Inscription des fournisseurs de ressources Azure suivants :

  • Microsoft.ContainerService
  • Microsoft.Kubernetes
  • Microsoft.KubernetesConfiguration

Prise en charge des versions et des régions

GitOps est actuellement pris en charge dans toutes les régions prises en charge par Kubernetes avec Azure Arc. GitOps est actuellement pris en charge dans un sous-ensemble des régions prises en charge par AKS. Le service GitOps ajoute de nouvelles régions prises en charge sur une cadence régulière.

La version la plus récente de l’extension Flux v2 et les deux versions précédentes (N-2) sont prises en charge. Nous recommandons généralement d’utiliser la version la plus récente de l’extension.

Configuration requise pour le réseau

Les agents GitOps nécessitent le protocole TCP sortant (sortie) vers la source du référentiel sur le port 22 (SSH) ou le port 443 (HTTPS) pour fonctionner. Les agents requièrent également accès aux URL sortantes suivantes :

L’exemple suivant utilise la commande az k8s-configuration flux create pour appliquer une configuration Flux à un cluster, à l’aide des valeurs et paramètres suivants :

• Le groupe de ressources qui contient le cluster est flux-demo-rg :
• Le nom du cluster Azure Arc est flux-demo-arc.
• Le type de cluster est Azure Arc (-t connectedClusters), mais cet exemple fonctionne également avec AKS (-t managedClusters).
• Le nom de la configuration du Flux estcluster-config.
• L’espace de noms pour l’installation de la configuration est cluster-config.
• L’URL du référentiel Git public esthttps://github.com/Azure/gitops-flux2-kustomize-helm-mt.
• La branche du référentiel Git est main.
• La portée de la configuration est cluster. Cette étendue donne aux opérateurs les autorisations nécessaires pour apporter des modifications à l’ensemble du cluster. Pour utiliser l’étendue namespace avec ce didacticiel, consultez les modifications nécessaires.
• Deux kustomizations sont spécifiées avec des nomsinfra et apps. Chacune est associée à un chemin d’accès dans le référentiel.
• La kustomization apps dépend de la kustomization infra. (La kustomization infra doit se terminer avant l'exécution de la kustomization apps.)
• Définir prune=true sur les deux kustomizations. Ce paramètre garantit que les objets déployés par Flux sur le cluster sont nettoyés s’ils sont supprimés du référentiel, ou si la configuration de Flux ou les kustomizations sont supprimés.

az k8s-configuration flux create -g flux-demo-rg \
-c flux-demo-arc \
-n cluster-config \
--namespace cluster-config \
-t connectedClusters \
--scope cluster \
-u https://github.com/Azure/gitops-flux2-kustomize-helm-mt \
--branch main  \
--kustomization name=infra path=./infrastructure prune=true \
--kustomization name=apps path=./apps/staging prune=true dependsOn=\["infra"\]

L’extension microsoft.flux est installée sur le cluster (si elle n’était pas déjà installée dans un déploiement GitOps précédent).

Lorsque la configuration du flux est installée d’abord, l’état de conformité initial peut être Pending ou Non-compliant, car le rapprochement est toujours en cours. Au bout d’une minute environ, vous pouvez interroger à nouveau la configuration pour voir l’état de conformité final.

az k8s-configuration flux show -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters

Pour vérifier que le déploiement a réussi, exécutez la commande suivante :

az k8s-configuration flux show -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters

Un déploiement réussi crée les espaces de noms suivants :

• flux-system : Contient les contrôleurs d’extension de Flux.
• cluster-config : Contient les objets de configuration de Flux.
• nginx, podinfo, redis : Espaces de noms pour les charges de travail décrites dans manifestes dans le référentiel Git.

Pour confirmer les espaces de noms, exécutez la commande suivante :

kubectl get namespaces

L'espace de noms flux-system contient les objets d’extension de Flux :

• Contrôleurs Azure Flux : fluxconfig-agent, fluxconfig-controller
• Contrôleurs OSS Flux : source-controller, kustomize-controller, helm-controller, notification-controller

L'agent Flux et les pods du contrôleur doivent être en état de fonctionnement. Confirmez cela à l’aide de la commande suivante :

kubectl get pods -n flux-system

NAME                                      READY   STATUS    RESTARTS   AGE
fluxconfig-agent-9554ffb65-jqm8g          2/2     Running   0          21m
fluxconfig-controller-9d99c54c8-nztg8     2/2     Running   0          21m
helm-controller-59cc74dbc5-77772          1/1     Running   0          21m
kustomize-controller-5fb7d7b9d5-cjdhx     1/1     Running   0          21m
notification-controller-7d45678bc-fvlvr   1/1     Running   0          21m
source-controller-df7dc97cd-4drh2         1/1     Running   0          21m

L’espace de nomscluster-config contient les objets de configuration de Flux.

kubectl get crds

NAME                                                   CREATED AT
alerts.notification.toolkit.fluxcd.io                  2022-04-06T17:15:48Z
arccertificates.clusterconfig.azure.com                2022-03-28T21:45:19Z
azureclusteridentityrequests.clusterconfig.azure.com   2022-03-28T21:45:19Z
azureextensionidentities.clusterconfig.azure.com       2022-03-28T21:45:19Z
buckets.source.toolkit.fluxcd.io                       2022-04-06T17:15:48Z
connectedclusters.arc.azure.com                        2022-03-28T21:45:19Z
customlocationsettings.clusterconfig.azure.com         2022-03-28T21:45:19Z
extensionconfigs.clusterconfig.azure.com               2022-03-28T21:45:19Z
fluxconfigs.clusterconfig.azure.com                    2022-04-06T17:15:48Z
gitconfigs.clusterconfig.azure.com                     2022-03-28T21:45:19Z
gitrepositories.source.toolkit.fluxcd.io               2022-04-06T17:15:48Z
helmcharts.source.toolkit.fluxcd.io                    2022-04-06T17:15:48Z
helmreleases.helm.toolkit.fluxcd.io                    2022-04-06T17:15:48Z
helmrepositories.source.toolkit.fluxcd.io              2022-04-06T17:15:48Z
imagepolicies.image.toolkit.fluxcd.io                  2022-04-06T17:15:48Z
imagerepositories.image.toolkit.fluxcd.io              2022-04-06T17:15:48Z
imageupdateautomations.image.toolkit.fluxcd.io         2022-04-06T17:15:48Z
kustomizations.kustomize.toolkit.fluxcd.io             2022-04-06T17:15:48Z
providers.notification.toolkit.fluxcd.io               2022-04-06T17:15:48Z
receivers.notification.toolkit.fluxcd.io               2022-04-06T17:15:48Z
volumesnapshotclasses.snapshot.storage.k8s.io          2022-03-28T21:06:12Z
volumesnapshotcontents.snapshot.storage.k8s.io         2022-03-28T21:06:12Z
volumesnapshots.snapshot.storage.k8s.io                2022-03-28T21:06:12Z
websites.extensions.example.com                        2022-03-30T23:42:32Z

Confirmez d’autres détails de la configuration à l’aide des commandes suivantes.

kubectl get fluxconfigs -A

NAMESPACE        NAME             SCOPE     URL                                                       PROVISION   AGE
cluster-config   cluster-config   cluster   https://github.com/Azure/gitops-flux2-kustomize-helm-mt   Succeeded   44m

kubectl get gitrepositories -A

NAMESPACE        NAME             URL                                                       READY   STATUS                                                            AGE
cluster-config   cluster-config   https://github.com/Azure/gitops-flux2-kustomize-helm-mt   True    Fetched revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   45m

kubectl get helmreleases -A

NAMESPACE        NAME      READY   STATUS                             AGE
cluster-config   nginx     True    Release reconciliation succeeded   66m
cluster-config   podinfo   True    Release reconciliation succeeded   66m
cluster-config   redis     True    Release reconciliation succeeded   66m

kubectl get kustomizations -A


NAMESPACE        NAME                   READY   STATUS                                                            AGE
cluster-config   cluster-config-apps    True    Applied revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   65m
cluster-config   cluster-config-infra   True    Applied revision: main/4f1bdad4d0a54b939a5e3d52c51464f67e474fcf   65m

Les charges de travail sont déployées à partir de manifestes dans le référentiel Git.

kubectl get deploy -n nginx

NAME                                       READY   UP-TO-DATE   AVAILABLE   AGE
nginx-ingress-controller                   1/1     1            1           67m
nginx-ingress-controller-default-backend   1/1     1            1           67m

kubectl get deploy -n podinfo

NAME      READY   UP-TO-DATE   AVAILABLE   AGE
podinfo   1/1     1            1           68m

kubectl get all -n redis

NAME                 READY   STATUS    RESTARTS   AGE
pod/redis-master-0   1/1     Running   0          68m

NAME                     TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)    AGE
service/redis-headless   ClusterIP   None          <none>        6379/TCP   68m
service/redis-master     ClusterIP   10.0.13.182   <none>        6379/TCP   68m

NAME                            READY   AGE
statefulset.apps/redis-master   1/1     68m

Contrôler les contrôleurs déployés avec l’extension de cluster Flux

Pour certains scénarios, vous souhaiterez peut-être modifier les contrôleurs Flux qui sont installés avec l’extension de cluster Flux.

Les contrôleurs de Flux source, helm, kustomize et notificationsont installés par défaut. Les contrôleurs image-automation etimage-reflector, utilisés pour mettre à jour un référentiel Git lorsque de nouvelles images conteneur sont disponibles, doivent être activés explicitement.

Vous pouvez utiliser la commande k8s-extension pour modifier les options par défaut :

• --config source-controller.enabled=<true/false> (par défauttrue)
• --config helm-controller.enabled=<true/false> (par défauttrue)
• --config kustomize-controller.enabled=<true/false> (par défauttrue)
• --config notification-controller.enabled=<true/false> (par défauttrue)
• --config image-automation-controller.enabled=<true/false> (par défautfalse)
• --config image-reflector-controller.enabled=<true/false> (par défautfalse)

Par exemple, pour désactiver les notifications, vous pouvez définir notification-controller.enabled sur false.

Cet exemple de commande installe les contrôleurs image-reflector et image-automation. Si l’extension Flux a été créée automatiquement lorsqu’une configuration flux a été créée pour la première fois, le nom de l’extension est flux.

az k8s-extension create -g <cluster_resource_group> -c <cluster_name> -t <connectedClusters or managedClusters or provisionedClusters> --name flux --extension-type microsoft.flux --config image-automation-controller.enabled=true image-reflector-controller.enabled=true

Utilisation d’une identité Kubelet comme méthode d’authentification pour les clusters AKS

Pour des clusters AKS, l’une des options d’authentification à utiliser est l’identité kubelet. Par défaut, AKS crée sa propre identité kubelet dans le groupe de ressources managé. Si vous préférez, vous pouvez utiliser une identité managée kubelet précréée. Pour ce faire, ajoutez le paramètre --config useKubeletIdentity=true au moment de l’installation de l’extension Flux.

az k8s-extension create --resource-group <resource-group> --cluster-name <cluster-name> --cluster-type managedClusters --name flux --extension-type microsoft.flux --config useKubeletIdentity=true

Conseils d’intégration Red Hat OpenShift

Les contrôleurs de flux nécessitent une contrainte de contexte de sécurité non racine pour approvisionner correctement les pods sur le cluster. Ces contraintes doivent être ajoutées au cluster avant le déploiement de l’extension microsoft.flux.

NS="flux-system"
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:kustomize-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:helm-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:source-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:notification-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:image-automation-controller
oc adm policy add-scc-to-user nonroot system:serviceaccount:$NS:image-reflector-controller

Pour plus d’informations sur les conseils d’OpenShift pour l’intégration de Flux, consultez la documentation Flux.

Le Portail Azure est utile pour gérer les configurations de GitOps et l’extension de Flux dans les clusters Kubernetes ou AKS compatibles avec Azure Arc. Dans le Portail Azure, vous pouvez voir toutes les configurations flux associées à chaque cluster et obtenir des informations détaillées, notamment l’état de conformité globale de chaque cluster.

Suivez ces étapes pour appliquer un exemple de configuration Flux à un cluster. Dans le cadre de ce processus, Azure installe l’extension microsoft.flux sur le cluster, si elle n’a pas déjà été installée dans un déploiement précédent.

1. Accédez à votre cluster sur le Portail Azure.

2. Dans le menu de service, sous Paramètres, sélectionnez GitOps>Créer.

3. Dans la section Bases :

   1. Entrez un nom pour la configuration.
   2. Entrez l’espace de noms dans lequel les ressources personnalisées Flux seront installées. Il peut s’agir d’un espace de noms existant ou d’un nouvel espace de noms qui sera créé lors du déploiement de la configuration.
   3. Sous Étendue, sélectionnez Cluster afin que l’opérateur Flux ait accès pour appliquer la configuration à tous les espaces de noms du cluster. Pour utiliser l’étendue namespace avec ce didacticiel, consultez les modifications nécessaires.
   4. Sélectionnez Suivant pour passer à la section Source.

   

4. Dans la section Source :

   1. Dans Type de source, sélectionnez Référentiel Git.
   2. Entrez l’URL du référentiel où se trouvent les manifestes Kubernetes : https://github.com/Azure/gitops-flux2-kustomize-helm-mt.
   3. Pour le type de référence, sélectionnez Branche. Laissez Branche définie sur principale.
   4. Pour le Type de référentiel, sélectionnez Public.
   5. Laissez les autres options définies par défaut, puis sélectionnez Suivant.

   

5. Dans la section Kustomizations, vous créez deux kustomizations : infrastructure et staging. Ces kustomizations sont des ressources Flux, chacune associée à un chemin dans le référentiel représentant l’ensemble des manifestes que Flux doit rapprocher du cluster.

   1. Sélectionnez Create (Créer).

   2. Dans l’écran Créer une Kustomization :

      1. Pour le Nom de l’instance, entrez infrastructure.

      2. Pour Chemin d’accès, entrez ./infrastructure.

      3. Cochez la case Élaguer. Ce paramètre garantit que les objets déployés par Flux sur le cluster sont nettoyés s’ils sont supprimés du référentiel, ou si la configuration de Flux ou les kustomizations sont supprimés.

      4. Laissez les autres options telles qu’elles sont, puis sélectionnez Enregistrer pour créer la kustomisation infrastructure.

         

   3. Vous verrez la kustomisation infrastructure dans la section Kustomizations. Pour créer la kustomisation suivante, sélectionnez Créer.

   4. Dans l’écran Créer une Kustomization :

      1. Pour le Nom de l’instance, entrez mise en lots.

      2. Pour le Chemin d'accès, entrez ./apps/staging.

      3. Cochez la case Élaguer.

      4. Dans la zone Dépend de, sélectionnez Infrastructure.

      5. Laissez les autres options telles qu’elles sont, puis sélectionnez Enregistrer pour créer la kustomisation staging.

         

   5. Vous devez maintenant voir les deux kustomizations affichées dans la section Kustomizations. Sélectionnez Suivant pour continuer.

6. Passez en revue les options que vous avez sélectionnées dans les étapes précédentes. Sélectionnez ensuite Créer pour terminer la création de votre configuration GitOps.

Affichez les configurations et les objets

Pour afficher toutes les configurations d’un cluster, accédez au cluster et sélectionnez GitOps dans le menu du service.

Sélectionnez le nom d’une configuration pour afficher plus de détails tels que l’état, les propriétés et la source de la configuration. Vous pouvez ensuite sélectionner Objets de configuration pour afficher tous les objets qui ont été créés pour activer la configuration GitOps. Cela vous permet de voir rapidement l’état de conformité et d’autres détails sur chaque objet.

Pour voir les autres ressources Kubernetes déployées sur le cluster, revenez à la page de vue d’ensemble du cluster et sélectionnez Ressources Kubernetes dans le volet du service.

Pour afficher les conditions détaillées d’un objet de configuration, sélectionnez son nom.

Pour plus d’informations, consultez Surveiller l’état et l’activité GitOps (Flux v2).

Supprimer la configuration Flux

La commande suivante supprime à la fois la ressource fluxConfigurations dans Azure et les objets de configuration Flux dans le cluster. Étant donné que la configuration de Flux a été créée à l’origine avec le paramètre prune=true pour kustomization, tous les objets créés dans le cluster en fonction des manifestes dans le référentiel git seront supprimés lors de la suppression de la configuration de Flux. Toutefois, cette commande ne supprime pas l’extension Flux elle-même.

az k8s-configuration flux delete -g flux-demo-rg -c flux-demo-arc -n cluster-config -t connectedClusters --yes

Supprimer l’extension de cluster de Flux

Lorsque vous supprimez l’extension Flux, la ressource d’extension microsoft.flux dans Azure et les objets d’extension Flux dans le cluster sont supprimés.

Si l’extension de Flux a été créée automatiquement lors de la création de la configuration de Flux, le nom de l’extension sera flux .

az k8s-extension delete -g flux-demo-rg -c flux-demo-arc -n flux -t connectedClusters --yes

Supprimer la configuration Flux

Pour supprimer une configuration Flux, accédez au cluster où la configuration a été créée et sélectionnez GitOps dans le menu du service. Sélectionnez la configuration que vous souhaitez supprimer. En haut de la page, sélectionnez Supprimer, puis sélectionnez à nouveau Supprimer lorsque vous êtes invité(e) à confirmer.

Lorsque vous supprimez une configuration Flux, tous les objets de configuration Flux du cluster sont supprimés. Néanmoins, cette action ne supprime pas l'extension microsoft.flux elle-même.

Supprimer l’extension de cluster de Flux

Lorsque vous supprimez l’extension Flux, la ressource d’extension microsoft.flux dans Azure et les objets d’extension Flux dans le cluster sont supprimés.

Pour un cluster Kubernetes avec Azure Arc, accédez au cluster et sélectionnez Extensions. Sélectionnez l’extension flux, sélectionnez Désinstaller, puis confirmez la suppression.

Pour les clusters AKS, vous ne pouvez pas utiliser le Portail Azure pour supprimer l’extension. Utilisez plutôt la commande Azure CLI suivante :

az k8s-extension delete -g <resource-group> -c <cluster-name> -n flux -t managedClusters --yes