Partilhar via

Orquestre contêineres com um gMSA

Aplica-se a: Windows Server 2025, Windows Server 2022, Windows Server 2019

Em ambientes de produção, você geralmente usará um orquestrador de contêineres, como o serviço Kubernetes hospedado, o Serviço Kubernetes do Azure (AKS), para implantar e gerenciar seus aplicativos e serviços de cluster. Cada orquestrador tem seus próprios paradigmas de gerenciamento e é responsável por aceitar especificações de credenciais para fornecer à plataforma de contêiner do Windows.

Ao orquestrar contêineres com Contas de Serviço Gerenciado de Grupo (gMSAs), certifique-se de que:

  • Todos os hosts de contêiner que podem ser agendados para executar contêineres com gMSAs são associados ao domínio
  • Os anfitriões dos contentores têm acesso para obter as palavras-passe de todos os gMSAs usados pelos contentores
  • Os arquivos de especificação de credenciais são criados e carregados para o orquestrador ou copiados para cada host de contêiner, dependendo de como o orquestrador prefere manipulá-los.
  • As redes de contêineres permitem que os contêineres se comuniquem com os Controladores de Domínio do Ative Directory para recuperar tíquetes gMSA

Use o gMSA com o Kubernetes

Você pode usar o gMSA com o AKS e também com o AKS no Azure Stack HCI, que é a implementação local do orquestrador do AKS. Para obter mais informações sobre como usar o gMSA com o Kubernetes, consulte Usar o gMSA no Serviço Kubernetes do Azure no Windows Containers e Configurar a Conta de Serviço Gerenciado de grupo com AKS no Azure Stack HCI.

Para ler sobre as informações mais recentes do setor sobre esse recurso, consulte Configurar o gMSA para pods e contêineres do Windows.

Utilizar o gMSA com o Service Fabric

O Service Fabric oferece suporte à execução de contêineres do Windows com um gMSA quando você especifica o local de especificação de credenciais no manifesto do aplicativo. Você precisará criar o arquivo de especificação de credenciais e colocar no subdiretório CredentialSpecs do diretório de dados do Docker em cada host para que o Service Fabric possa localizá-lo. Você pode executar o cmdlet Get-CredentialSpec, parte do módulo CredentialSpec PowerShell, para verificar se a especificação de credenciais está no local correto.

Consulte Guia de início rápido: implantar contêineres do Windows no Service Fabric e Configurar o gMSA para contêineres do Windows em execução no Service Fabric para obter mais informações sobre como configurar seu aplicativo.

Como usar o gMSA com o Docker Swarm

Para usar um gMSA com contêineres gerenciados pelo Docker Swarm, execute o comando docker service create com o parâmetro --credential-spec:

docker service create --credential-spec "file://contoso_webapp01.json" --hostname "WebApp01" <image name>

Consulte o exemplo Docker Swarm para obter mais informações sobre como usar especificações de credenciais com os serviços do Docker.

Conteúdo relacionado

Além de orquestrar contêineres, você também pode usar gMSAs para:

Se tiver algum problema durante a configuração, consulte o nosso guia de resolução de problemas para obter possíveis soluções.

  • Last updated on