AKS 部署類型 - Horizon Edge Gateway 需求

當您決定使用 AKS 類型來移轉第一代網繭以部署 Horizon Edge Gateway 時，本頁及其子章節中的資訊即適用於您。

簡介

這些章節說明在執行移轉精靈之前，您必須滿足的特定 AKS 相關需求。

此處的資訊假設您已閱讀決定部署類型並滿足其需求一節，回答了相關問題，並決定在網繭的移轉中使用 AKS 類型。

**重要：**當您計劃使用 AKS 部署類型時，除了需符合以下章節所述的先決條件外，還必須確保符合移轉第一代 Horizon Cloud Pod 的先決條件頁面各節所列的條件。

特殊案例 - 如果您已決定網繭的 VNet (包括其他已連線的網路)，則包含 AKS 限制 IP

如判斷網繭的 VNet 或已連線網路是否包含 AKS 限制的 IP 位址一節所述，當您想要使用 AKS 類型進行部署，但第一代網繭的 VNet 或與該 VNet 相連的內部部署網路中包含來自 AKS 限制 IP 範圍的 IP 位址時，若要使用 AKS 部署類型，您必須：

1. 在網繭的訂閱中設定另一個 VNet，該 VNet 不得包含來自 AKS 限制範圍的 IP 位址。
2. 在該 VNet 中建立新的管理子網路，且該子網路必須具有最小 /26 的 CIDR。
3. 確保新的 VNet 與管理子網路能依照下列頁面所述，允許與 Horizon Cloud Service 所需端點的網路通訊，以及其所需的連接埠與通訊協定：
   • 開放存取適當的連接埠和 URL 以在 Microsoft Azure 環境中部署 Horizon Edge Gateway
   • 在 Microsoft Azure 中部署 Horizon Cloud 的連接埠與通訊協定需求
4. 使該新 VNet 與網繭的現有 VNet 對等。

完成上述四個步驟後，您可以在滿足以下各節中所述的需求時，使用該新的管理子網路和 VNet。

附註：

必須避免的 AKS 限制 IP 範圍如下：

• 169.254.0.0/16
• 172.30.0.0./16
• 172.31.0.0/16
• 192.0.2.0/24

除了在新 VNet 中避免使用上述範圍外，您還應避免使用您與團隊已決定要用於部署虛擬 IP 範圍的 CIDR，如 AKS 類型 - 保留必要的虛擬 IP 範圍以避免與 AKS 衝突中所述。

AKS 類型 - 確認 Azure 資源提供者並登錄新的必要資源提供者

Horizon Edge Gateway 的 AKS 部署類型需要在 Microsoft Azure 訂閱中具備一組特定的資源提供者。

在第一代網繭的訂閱中，確認下列資源提供者均處於 Registered 狀態。

其中部分與第一代網繭部署所需的範圍相同。下表指出登錄 AKS 部署類型時的額外需求。

	資源提供者
Horizon Cloud AKS 部署類型需額外登錄的新範圍	Microsoft.ContainerService Microsoft.ManagedIdentity
Horizon Cloud 所需，這些範圍先前應已為您的第一代網繭登錄	Microsoft.Authorization Microsoft.Compute Microsoft.KeyVault Microsoft.MarketplaceOrdering Microsoft.ResourceGraph Microsoft.Network Microsoft.Resources Microsoft.Security Microsoft.Storage

若要驗證第一代網繭的 Microsoft Azure 訂閱中的資源提供者，請執行以下動作：

1. 登入 Azure 入口網站並搜尋該網繭的訂閱。

2. 按一下訂閱名稱，然後向下捲動直到您看到 (Resource providers)。

3. 在前述表格中尋找資源提供者，並確認它們的狀態皆顯示為 (Registered)。

   使用 Azure 入口網站來登錄資料表中處於 NotRegistered 狀態的任何資源提供者。

**重要：**請勿取消登錄已登錄的資源提供者。

您可能會看到網繭的訂閱中，Horizon Cloud Edge Gateway 所需的資源提供者已處於 Registered 狀態。您也可能會看到已登錄的資源提供者，例如 Microsoft.Billing，但這些與 Horizon Cloud Service 所需的資源提供者無關。此狀態上的差異可能源自於 Microsoft Azure 的標準行為，因為 Azure 通常會在所有訂閱中預設登錄一組資源提供者。

AKS 類型 - 設定 NAT 閘道或路由表並關聯至管理子網路

在 Horizon Edge Gateway 使用 AKS 類型部署時，為了與雲端控制平台進行輸出通訊，必須在其管理子網路上關聯下列其中一項：NAT 閘道或路由表。

在網繭的 Microsoft Azure 訂閱中，建立要使用的訂閱，並將其與網繭的管理子網路建立關聯。

• NAT 閘道
• 路由表 (這是更進階的選項，通常僅在網繭的 VNet 已將路由表用於您的第一代網繭時使用)

**重要：**無論您建立哪一項，都必須確保將其關聯至正確的管理子網路 - 可以是網繭現有的管理子網路，或是因 VNet 包含 AKS 限制 IP 位址而必須建立的新管理子網路。

使用 NAT 閘道 - 建立該閘道並將其關聯至管理子網路

根據 Microsoft Azure 說明文件，建立 NAT 閘道需要有一個公用 IP 位址和/或公用 IP 首碼，即您選擇要在其上使用的首碼。

Azure 入口網站的 [建立 NAT 閘道] 精靈會要求您進行選擇。在下列步驟中，我們選擇建立新的公用 IP 以用於 NAT 閘道。

1. 登入 Azure 入口網站，並使用搜尋列來搜尋 NAT 閘道，然後選取該類別。

   

2. 按一下 + 建立，以啟動 [建立 NAT 閘道] 精靈。

3. 在 [建立 NAT 閘道] 精靈的第一個步驟中，請確定已選取網繭的訂閱，並選擇 NAT 閘道所在的資源群組。

4. 為 NAT 閘道命名，並確保所選的區域為該網繭的 Azure 區域。填寫後，按一下輸出 IP 步驟。

   下列螢幕擷取畫面為範例，我們將 NAT 閘道命名為 first-pod-migration。其所在的 Azure 區域為 West US 2。

   

5. 在輸出 IP 步驟中遵循畫面上的指示，以選擇要對此 NAT 閘道使用公用 IP 位址還是公用 IP 首碼。

   下列螢幕擷取畫面說明了此步驟，我們選擇建立新的公用 IP 供此 NAT 閘道使用，並將其命名為 first-pod-NAT-gtway。

   完成此步驟後，按一下進入精靈的下一個步驟：子網路。

   

6. 在精靈的子網路步驟中：

   • 如果您未在 VNet 中使用 AKS 限制 IP 位址，請選取網繭的 VNet 及其管理子網路。
   • 否則，如果您已建立新的 VNet 和管理子網路來解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，請選取新的 VNet 和新的管理子網路。 下列螢幕擷取畫面說明這個步驟，即選取網繭的 VNet 及其管理子網路，以將子網路與此 NAT 閘道相關聯。

   

7. 按一下檢閱 + 建立。

   如果驗證通過，請按一下建立，最終建立此 NAT 閘道。

現在，NAT 閘道已與管理子網路相關聯，且可供您在移轉精靈中選取。

如果您選擇路由表 - 建立路由表並將其關聯至管理子網路

將此路由表設定為使用預設路由 0.0.0.0/0，其下一個躍點類型設為 Virtual appliance 或 Virtual network gateway。

1. 登入 Azure 入口網站，並使用搜尋列來搜尋路由表，然後選取該類別。

   

2. 按一下 + 建立，以啟動 [建立路由表] 精靈。

3. 在 [建立路由表] 精靈的第一個步驟中，請確定已選取網繭的訂閱，並選擇路由表所在的資源群組。

   **附註：**請注意，如果您決定將路由表放在與 VNet 資源群組不同的資源群組中，且您的第一代網繭服務主體使用自訂角色，則該自訂角色必須對此路由表的資源群組具有 Network Contributor 權限。在第一代部署中使用自訂角色並不常見。需要此路由表資源群組權限的原因，是因為 AKS 部署類型需要將項目新增至與管理子網路關聯的路由表中。這些項目用於 AKS 類型 Horizon Edge Gateway 部署中 Kubernetes 網繭的內部路由。

4. 為路由表指定名稱，並確定選取的區域是網繭的 Azure 區域。

   對於傳播閘道路由，選取否。

   下列螢幕擷取畫面為範例，我們將路由表命名為 first-pod-migration。其所在的 Azure 區域為 West US 2。

   

5. 填寫 [建立路由表] 表單時，按一下檢閱 + 建立。

   如果驗證通過，請按一下建立，最終建立此路由表。

6. 現在導覽至新建立的路由表，並將其設定為使用預設路由 0.0.0.0/0，其下一個躍點類型設為 Virtual network gateway 或 Virtual appliance。

   由於 AKS 僅支援這兩個下一個躍點類型，因此，AKS 類型的 Horizon Edge Gateway 部署會特別支援這兩個類型。

   當您使用 Azure 網路虛擬應用裝置 (NVA) 控制網繭 VNet 與公用網際網路之間的輸出流量時，通常會使用 Virtual Appliance。

   在 [新增路由] 表單中，您需要提供該 NVA 的 IP 位址，以提供輸出網際網路連線。

   您必須確保該 IP 位址能從管理子網路 (Horizon Edge Gateway 部署所在的子網路) 存取。此外，該 NVA 必須允許流量傳送至 Horizon Cloud 環境在 AKS 部署類型下所需的端點。

7. 按一下路由，然後按一下 + 新增，以新增該預設路由。

   以下螢幕擷取畫面說明此步驟。此範例中已展開下一個躍點類型功能表，以顯示支援的選項 Virtual network gateway 和 Virtual appliance 的位置。此外，我們已輸入路由名稱以及目的地 IP 位址 0.0.0.0/0。

   

   下列螢幕擷取畫面說明 [新增路由] 表單，其中已填入Virtual Network Gateway的下一個躍點。

   

8. 按一下新增，將此路由新增至路由表。

9. 現在，藉由按一下子網路和 + 關聯，使新的路由表與管理子網路相關聯。

   以下螢幕擷取畫面說明此步驟。根據下列內容選取適當的 VNet 和管理子網路：

   • 如果您未在 VNet 中使用 AKS 限制 IP 位址，請選取網繭的 VNet 及其管理子網路。
   • 否則，如果您已建立新的 VNet 和管理子網路來解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，請選取新的 VNet 和新的管理子網路。

10. 選取子網路後，按一下確定。

現在，路由表已與管理子網路相關聯，且可供您在移轉精靈中選取。

AKS 類型 - 建立使用者指派的受管理身分識別並指派所需的角色權限

如果 Horizon Edge Gateway 部署使用的是 AKS 類型，則網繭的 Microsoft Azure 訂閱必須具有使用者指派的受管理身分識別。

您或 IT 團隊可以使用 Azure 入口網站，來建立及設定此身分識別。

必須為該使用者指派的受管理身分識別，設定以下特性：

• Network Contributor 角色，範圍限定於 VNet 的資源群組。適用的 VNet 為：
  • 如果您還未解決 VNet 中存在 AKS 限制 IP 位址的問題，則為網繭的 VNet。
  • 否則，如果您已建立新的 VNet，以解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，則為該 VNet。
• 網繭 Microsoft Azure 訂閱範圍的Managed Identity Operator角色。

在 AKS 部署類型中需要此受管理身分識別的原因，是因為已部署閘道中的 Azure Kubernetes 服務 (AKS) 叢集需要一個身分識別來存取 Azure 資源。因此，移轉工作流程在部署此類型時需要使用此身分識別。

建立使用者指派的受管理身分識別

1. 登入 Azure 入口網站，並使用搜尋列來搜尋指派的使用者，然後選取使用者指派的受管理身分識別結果。

   下列螢幕擷取畫面說明這個步驟 (亦即，在入口網站中搜尋)。

   

2. 當您按一下使用者指派的受管理身分識別搜尋結果時，[建立使用者指派的受管理身分識別] 精靈將啟動。

   選擇網繭的訂閱，並選擇一個資源群組，以便在建立此身分識別資源後儲存於此。

   選擇網繭的 Azure 區域，並輸入此使用者指派的受管理身分識別的名稱。

   下列螢幕擷取畫面說明了此步驟，部分內容已遮蔽以保護隱私。在這裡，我們將使用者指派的受管理身分識別命名為 AKS-Edge-identity。

   

3. 按一下檢閱 + 建立，移至精靈的最後一個步驟。

4. 檢閱資訊，然後按一下建立，以完成精靈，並建立使用者指派的受管理身分識別。

   此螢幕擷取畫面說明在按一下建立之前的最後一個步驟。

   

5. 然後，將角色權限新增至新建立的身分識別，如下一節中所述。

指派所需的角色權限 - Azure 預覽方法

本節中的步驟說明如何使用 Azure 預覽步驟將角色指派給受管理身分識別。如果您遵循下列步驟，但在查看使用者指派的受管理身分識別的 Azure 角色指派區域時，看不到 + 新增角色指派 (預覽) 按鈕，則可以改用本節中的替代方法來指派角色權限。

可新增至使用者指派的受管理身分識別的權限如下：

角色權限	範圍
受管理身分識別操作員角色	網繭的 Microsoft Azure 訂閱
網路參與者角色	VNet 的資源群組。適用的 VNet 為： 如果您還未解決 VNet 中存在 AKS 限制 IP 位址的問題，則為網繭的 VNet 資源群組。 否則，如果您已建立新的 VNet，來解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，則為該 VNet 的資源群組。

**附註：**根據 Microsoft RBAC 說明文件，您必須具有 Microsoft.Authorization/roleAssignments/write 權限，才能指派 Azure 角色。

1. 在 Azure 入口網站中，導覽至您新建立的使用者指派受管理身分識別，然後按一下 Azure 角色指派和新增角色指派 (預覽)，直到您看到新增角色指派 (預覽) 表單。

   下列螢幕擷取畫面說明該步驟。

   

2. 在新增角色指派 (預覽) 表單中，在範圍方面，選取訂閱，選取網繭的訂閱，並選取Managed Identity Operator作為角色。

   

3. 按一下儲存，將該 Managed Identity Operator 角色指派儲存至該身分識別。

4. 按一下重新整理，以查看所列出的新增角色。

   

5. 按一下新增角色指派 (預覽)，以重新開啟新增角色指派 (預覽) 表單。

6. 這一次，在範圍方面，請選取資源群組，並選取適用的 VNet 資源群組，然後選取Network Contributor作為角色。

   

7. 按一下儲存，將該 Network Contributor 角色指派儲存至該身分識別。

8. 按一下重新整理，以查看新增的角色。現在應會列出這兩個角色。

   

現在，必要的使用者指派受管理身分識別已存在，並且具有 AKS 部署類型所需的角色權限。

指派所需角色權限的替代方法

在您查看使用者指派的受管理身分識別 Azure 角色指派區域時，如果沒有看到 + 新增角色指派 (預覽) 按鈕，您可以改用此替代方法來指派角色權限。

可新增至使用者指派的受管理身分識別的權限如下：

角色權限	範圍
受管理身分識別操作員角色	網繭的 Microsoft Azure 訂閱
網路參與者角色	VNet 的資源群組。適用的 VNet 為： 如果您還未解決 VNet 中存在 AKS 限制 IP 位址的問題，則為網繭的 VNet 資源群組。 否則，如果您已建立新的 VNet，來解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，則為該 VNet 的資源群組。

**附註：**根據 Microsoft RBAC 說明文件，您在 Azure 中的使用者識別碼必須具有 Microsoft.Authorization/roleAssignments/write 權限，才能指派 Azure 角色。

1. 首先將 Managed Identity Operator 權限新增至網繭的訂閱範圍：

   1. 在 Azure 入口網站中，導覽至訂閱。

   2. 在該訂閱的頁面中，按一下存取控制 (IAM)，然後按一下角色指派索引標籤。

      

   3. 按一下 + 新增 > 新增角色指派。

      

      新增角色指派精靈隨即顯示。

   4. 在該精靈的角色索引標籤上，搜尋並選取 Managed Identity Operator 角色。請先確定已選取其資料列，再按下一步。

      

   5. 按下一步，移至成員索引標籤。

   6. 在成員索引標籤上，選取受管理身分識別，然後選取 + 選取成員，這會顯示選取受管理的身分識別表單。

      此處的下一步包含範例螢幕擷取畫面。

   7. 在選取受管理身分識別表單中，在受管理身分識別功能表中，選取使用者指派的受管理身分識別。

      

   8. 然後，選取您建立的使用者指派的受管理身分識別，然後按一下選取按鈕，將其新增至成員索引標籤。

      

   9. 現在，按一下檢閱 + 指派，以移至精靈的檢閱 + 指派索引標籤。

      

   10. 在檢閱 + 指派索引標籤上，按一下最後的檢閱 + 指派按鈕，以完成將此角色指派至訂閱範圍中的該身分識別。

       

2. 現在，將Network Contributor權限新增至 VNet 資源群組的範圍：

   1. 在 Azure 入口網站中，導覽至適用的 VNet 所屬的資源群組。適用的 VNet 為：

      • 如果您還未解決 VNet 中存在 AKS 限制 IP 位址的問題，則為網繭的 VNet 資源群組。
      • 否則，如果您已建立新的 VNet，來解決網繭 VNet 中存在 AKS 限制 IP 位址的問題，則為該 VNet 的資源群組。

   2. 在該資源群組的頁面中，使用與上述訂閱權限類似的步驟。

      按一下存取控制 (IAM)，然後按一下角色指派索引標籤。

      此螢幕擷取畫面顯示此步驟，針對我們名為 hcsvnet-RG 的 VNet 資源群組。

      

   3. 按一下 + 新增 > 新增角色指派。新增角色指派精靈隨即顯示。

   4. 在該精靈的角色索引標籤上，搜尋並選取 Network Contributor 角色。請先確定已選取其資料列，再按下一步。

      

   5. 接著，與先前的權限設定相同，按下一步以移至成員索引標籤，選取受管理身分識別，然後按一下 + 選取成員，此時會顯示選取受管理身分識別表單。

      

   6. 在選取受管理身分識別表單中，在受管理身分識別功能表中，選取使用者指派的受管理身分識別。

   7. 然後，選取您建立的使用者指派的受管理身分識別，然後按一下選取按鈕，將其新增至成員索引標籤。

      

   8. 現在，移至精靈的檢閱 + 指派索引標籤，然後按一下檢閱 + 指派按鈕，以完成將此角色指派給 VNet 資源群組範圍內的身分識別。

      此螢幕擷取畫面顯示此步驟，針對我們名為 hcsvnet-RG 的 VNet 資源群組。

      

現在，必要的使用者指派受管理身分識別已存在，並且具有 AKS 部署類型所需的角色權限。

若要確認使用者指派的受管理身分識別具有兩個角色，請導覽至 Azure 入口網站中的身分識別，並顯示其 Azure 角色指派頁面。

下列螢幕擷取畫面說明使用者指派的受管理身分識別，其 Azure 角色指派中列出了兩個角色。

AKS 類型 - 保留所需的虛擬 IP 範圍以避免與 AKS 發生衝突

當您決定使用 AKS 類型來移轉 Horizon Edge Gateway 部署的網繭時，這些資訊即適用。AKS 部署類型要求在您選擇的 IP 管理方法 IPAM 系統 (IP 位址管理系統) 中保留某些虛擬 IP 範圍。

簡介

這些範圍是虛擬 IP 範圍，僅保留供 Horizon Edge Gateway 的 AKS 類型使用

根據設計，Kubernetes 會在 Horizon Edge Gateway 內的 Kubernetes 叢集內建立虛擬網路。

這些虛擬網路裝載在叢集內執行的容器。

如果這些範圍位於 Edge 內部，為何必須保留這些範圍？

保留這些範圍的目的是防止網路空間中的任何其他機器取得指派給這些 IP 位址並使用這些 IP 位址。

即使 Edge 的 Kubernetes 叢集的虛擬網路位於 Horizon Edge Gateway 內部，而且實際上不在管理網路上，叢集的虛擬網路仍會連線至 Azure VNet 中的管理子網路。

在 AKS 叢集外部執行的服務會將流量路由至 AKS 叢集內部網路。例如，VDI 桌面中的 Horizon Agent 需要將資料傳送到在該 AKS 叢集內執行的服務。

因此，如果未保留範圍，且您網路上的另一台機器碰巧從範圍中獲指派 IP 位址，則可能會影響路由，並導致必要的服務流量衝突至 AKS 叢集內部網路。

藉由在網繭移轉之前保留 IP 位址管理系統中的 IP 範圍，可避免此類潛在的衝突。

是否需要建立這些範圍的子網路？

否，您不需要建立這些範圍的子網路。

在移轉過程中部署 Horizon Edge 時，這些虛擬 IP 範圍將位於 Horizon Edge Gateway 的 AKS 叢集虛擬網路內。

對於網繭移轉，我需要知道我的保留範圍為何？

是。當您計劃選擇 AKS 部署類型時，您需要知道您和您的團隊為該部署保留的範圍。

移轉精靈 UI 會要求您在名為服務 CIDR 和網繭 CIDR 的欄位中，輸入兩個 IP 範圍 (CIDR)。

因此，在執行移轉精靈之前，您必須決定您和您的團隊選擇保留的範圍。

我必須保留哪種類型的範圍？

Horizon Edge Gateway 的 AKS 類型需要保留兩個虛擬 IP 範圍以供使用。

• 最小為 /27 的 CIDR 範圍，稱為服務 CIDR
• 最小為 /21 的 CIDR 範圍，稱為網繭 CIDR

這兩個 IP 範圍不得重疊或互相衝突。

**重要：**根據 Azure 說明文件，這些 CIDR 不得使用以下 AKS 限制的範圍：

• 169.254.0.0/16
• 172.30.0.0./16
• 172.31.0.0/16
• 192.0.2.0/24

要保留的 IP 範圍	詳細資料
服務 CIDR	決定服務 CIDR 的 IP 範圍，並在您的 IPAM 中保留該 IP 空間，以確保沒有其他機器使用該範圍內的 IP 位址。最小需要 /27 的範圍。記住：如上所述，這是一個虛擬 IP 範圍，您不需要使用此範圍來建立子網路。您只需確保網路中的其他機器未獲指派這些位址。 決定 IP 範圍時，請記住以下幾點： 確保您為此範圍決定使用的 IP 位址尚未由其他機器或項目在該網路中使用。 由於 AKS 叢集的虛擬網路將連線至管理網路，如果其他機器正在使用這些位址，則可能會導致衝突。 確保此 CIDR 範圍內的位址不會與您在網路中擁有的其他重要 IP 位址衝突，例如 DNS 伺服器 IP、AD 伺服器 IP 或第一代部署的 Unified Access Gateway 執行個體連線至管理子網路的 IP。 此 CIDR 對於 AKS 類型的 Horizon Edge 的用途，會將此虛擬 IP 範圍內的位址指派給在 Edge 的 AKS 叢集內執行的服務。
網繭 CIDR	決定網繭 CIDR 的 IP 範圍，並在 IPAM 中保留該 IP 空間，以便其他機器都無法使用該範圍內的 IP 位址。最小需要 /21 的範圍。記住：如上所述，這是一個虛擬 IP 範圍，您不需要使用此範圍來建立子網路。您只需確保網路中的其他機器未獲指派這些位址。 決定 IP 範圍時，請記住以下幾點： 確保您為此範圍決定使用的 IP 位址尚未由其他機器或項目在該網路中使用。 由於 AKS 叢集的虛擬網路將連線至管理網路，如果其他機器正在使用這些位址，則可能會導致衝突。 確保此 CIDR 範圍內的位址不會與您在網路中擁有的其他重要 IP 位址衝突，例如 DNS 伺服器 IP、AD 伺服器 IP 或第一代部署的 Unified Access Gateway 執行個體連線至管理子網路的 IP。 此 CIDR 在 Horizon Edge 的 AKS 類型中的目的是，此虛擬 IP 範圍內的位址將指派給在 Edge 的 AKS 叢集內執行的服務。 需要使用 /21 範圍大小，因為它與 AKS 叢集將要有的節點數目相關。每個 AKS 叢集節點會預先配置此範圍內的 256 個 IP 位址。