It's Automatic〜7回目のベルでアラートを取った君へ〜/ignite-aks-automate

第57回 Tokyo Jazug Night Microsoft Ignite Local Edition 年末恒例大LT大会！！
での LT資料です。
タイトルに意味はありません。
インシデント対応っぽいタイトルですが、AKS Automaticについての資料です。

https://jazug.connpass.com/event/375673/

Transcript

1. It’s Automatic 〜7回⽬のベルでアラートを取った君へ〜 イオンスマートテクノロジー株式会社 DevSecOps Div. 齋藤光 第57回 Tokyo Jazug Night 2025年12⽉22⽇
2. ⾃⼰紹介
3. ⾃⼰紹介 齋藤 光( @hikkie13 ) イオンスマートテクノロジー株式会社(2022/5⼊社） DevSecOps Div ディレクター ⼊社以来、SREを組織にインストールすることに従事 SRE NEXT 2025に登壇しました
4. Microsoft Ignite 2025に参加しました！
5. そんなIgniteから、AKS Automaticのお話をします
6. AKSとは？ • AKSに限らず、Kubernetesの運⽤には⾊々な課題がつきまとう • そのための学習コストも⾼い o 適切な設定(manifest file) o スケール、安全な停⽌ o アップグレード運⽤ o セキュリティ設定 Azure Kubernetes Serviceの略で、AzureのマネージドKubernetesサービス
7. そこでAKS Automaticですよ • 2025/9にGA • Microsoft社の考えるベストプラクティスが事前設定済みのAKSクラスターを提供 Microso' Ignite 2025のまとめ〜AKS編〜
8. そこでAKS Automaticですよ 参考: クラスター作成時の画⾯の違い Standard Automatic 選択肢がほぼないUpgradeの設定 認証認可の選択肢はない
9. そこでAKS Automaticですよ ⾊々な機能が発表されているが、ここでは語りきれないので‧‧‧ Microsoft Ignite 2025のまとめ〜AKS編〜 Microso' Ignite 2025のまとめ〜AKS編2〜
10. 具体的な設定やポリシーをちょっとだけ覗いてみよう🫣
11. AKS Automaticのアップグレード stableで固定 none: 何もしない patch: 最新patchバージョンの⾃動適⽤ stable: 最新-1 minorバージョンの⾃動適⽤ rapid: 最新 minorバージョンの⾃動適⽤ node-images: 最新Node Imageの⾃動適⽤ クラスターの自動アップグレードチャネル
12. Deployment Safeguards • 個々のノード編集不可 • CPU/memoryのlimits設定必須 o 設定がない場合はCPU: 500m、memory: 500Mi に⾃動修正 • anti-affinity / topologySpreadConstraints の必須 • AKS固有ラベル禁⽌ • 許可されたイメージのみpull可能に • System Pool Taintの保護(CriticalAddonsOnly ) o ユーザーノードプールから特定のtaintを削除することで、ワークロードとAKSのコンポーネントを分離 • Readiness probe/ Liveness probe必須 • CSI Driver Storage Classの利⽤ • Service Selectorの⼀意性 • latest タグの禁⽌ 展開セーフガードを使用して Azure Kubernetes Service (AKS) にベスト プラクティスを強制する ※warnかenforceの⼆択。個別設定は不可
13. これがあったら‧‧‧ • 個々のノード編集不可 • CPU/memoryのlimits設定必須 o 設定がない場合はCPU: 500m、memory: 500Mi に⾃動修正 • anti-affinity / topologySpreadConstraints の必須 • AKS固有ラベル禁⽌ • 許可されたイメージのみpull可能に • System Pool Taintの保護(CriticalAddonsOnly ) o ユーザーノードプールから特定のtaintを削除することで、ワークロードとAKSのコンポーネントを分離 • Readiness probe/ Liveness probe必須 • CSI Driver Storage Classの利⽤ • Service Selectorの⼀意性 • latest タグの禁⽌ [CNDT2023]イオンがKubernetesを採用してどうなった? 初期構築の設定不備を⾊々回避できた!!
14. Baseline Pod Security Standards（PSS） AKS AutomaticではOFFにすることができない Baseline PSSの代表例: • 特権コンテナの禁⽌ o ノード、クラスター全体の侵害を防⽌ • 禁⽌CAPABILITYの付与 o NET_ADMIN、SYS_ADMINなど • hostPathボリュームの禁⽌ o コンテナからノード上のファイルへのアクセスを防⽌ • hostNetwork / hostPID / hostIPC o ノードを分離して守る デプロイセーフガードのポッドセキュリティ標準 Pod Security Standards
15. Enjoy AKS Automatic!
16. • AKS Engineering Blog • AKS Roadmap • AKS Youtube • Microsoft Ignite 2025のまとめ〜AKS編〜 • Microsoft Ignite 2025のまとめ〜AKS編2〜 参考資料
17. 告知
18. 告知: 初のカンファレンススポンサーをやります！ https://2026.srekaigi.net/session/hall-1420
19. 募集しています！