Bu makale kapsam\u0131nda ise Azure<\/em>‘un bizlere fully managed olarak sundu\u011fu\u00a0File<\/em> shares <\/em><\/strong>hizmeti ile bir \u00e7ok container taraf\u0131ndan eri\u015filebilir persistent<\/strong> bir volume<\/strong> nas\u0131l olu\u015fturabilece\u011fimize ve container’lar\u0131m\u0131za bu volume’\u00fc nas\u0131l mount edebilece\u011fimize k\u0131saca de\u011finece\u011fiz. Ayr\u0131ca olu\u015fturacak oldu\u011fumuz persistent volume’\u00fcn, d\u0131\u015far\u0131dan gelebilecek potansiyel g\u00fcvenlik tehdit’lerine kar\u015f\u0131 nas\u0131l g\u00fcvenli bir hale getirilebilece\u011finden de k\u0131saca bahsedece\u011fiz.<\/p>\n Bu makale i\u00e7in a\u015fa\u011f\u0131daki ortam ve tool’lar gerekmektedir.<\/p>\n Kubernetes<\/em> data kayb\u0131 gibi bir \u00e7ok problemleri \u00e7\u00f6zen iyi bir volume abstraction model’ine ve farkl\u0131 volume type’lar\u0131n\u0131 kullanabilmemize olanak sa\u011flayan bir yap\u0131ya sahiptir. Bu esnek yap\u0131s\u0131 ile pod’lar i\u00e7erisinde farkl\u0131 type’lara sahip volume’leri ayn\u0131 anda kullanabilmekteyiz.<\/p>\n Volume’leri Kubernetes<\/em> i\u00e7erisinde Ephemeral<\/strong> ve Persistent<\/strong> olarak kategorize edebiliriz. Ephemeral’\u0131n ya\u015fam d\u00f6ng\u00fcs\u00fc bir pod’a ba\u011fl\u0131yken, persistent’\u0131n ya\u015fam d\u00f6ng\u00fcs\u00fc ise herhangi bir pod’a ba\u011fl\u0131 de\u011fildir. Ek olarak\u00a0Kubernetes<\/em> volume’leri olu\u015fturulurken statically<\/strong> olarak bir cluster administrator’\u0131 taraf\u0131ndan veya dynamically\u00a0<\/strong>olarak Kubernetes API<\/em>‘\u0131 taraf\u0131ndan olu\u015fturulabilmektedir.<\/p>\n Bu makale kapsam\u0131nda ise PersistentVolume<\/em> ve PersistentVolumeClaim<\/em> resource’lar\u0131n\u0131 kullanarak statically olarak olu\u015fturulmu\u015f Azure File<\/em> shares<\/em> hizmetini bir pod’a nas\u0131l mount edebilece\u011fimize bakaca\u011f\u0131z.<\/p>\n Azure Files<\/em> bizlere SMB<\/strong> veya NFS<\/strong> protokolleri \u00fczerinden eri\u015filebilen, fully managed bir file share hizmeti sunmaktad\u0131r. \u00d6zellikle bir cloud ortam\u0131na migration s\u00fcrecinde isek, Azure Files<\/em>‘\u0131n on-prem ortamlar\u0131m\u0131zda da \u00e7al\u0131\u015fabilme esnekli\u011fi veya SMB<\/strong> protokol\u00fc \u00fczerinden uygulamalar\u0131m\u0131za mount edilebilmesi sayesinde uygulamalar\u0131m\u0131z\u0131n kolay bir \u015fekilde cloud ortam\u0131na migrate olabilme s\u00fcre\u00e7lerini kolayla\u015ft\u0131rmaktad\u0131r.<\/p>\n Azure File<\/em> shares<\/em> hizmeti i\u00e7in \u00f6ncelikle bir storage account olu\u015fturmam\u0131z gerekmektedir. Ard\u0131ndan File shares<\/em>‘i olu\u015fturabilece\u011fiz. Bu i\u015flemleri Azure CLI<\/em> \u00fczerinden a\u015fa\u011f\u0131daki gibi ger\u00e7ekle\u015ftirelim.<\/p>\n \u015eimdi ise olu\u015fturmu\u015f oldu\u011fumuz File shares <\/em>hizmetini, d\u0131\u015far\u0131dan gelebilecek tehdit’lere, istenmeyen eri\u015fimlere kar\u015f\u0131 Microsoft Defender<\/em> ile nas\u0131l g\u00fcvenli bir hale getirebilece\u011fimize h\u0131zl\u0131ca bir bakal\u0131m.<\/p>\n Microsoft Defender<\/em>, hem Azure-native<\/em> hem de hybrid<\/em> ortamlar\u0131m\u0131zdaki g\u00fcvenlik tehditlerine kar\u015f\u0131 bir korumaya sahip olabilece\u011fimiz geli\u015fmi\u015f bir tehdit koruma tool’udur. Biz olu\u015fturmu\u015f oldu\u011fumuz File shares<\/em> hizmetini koruma alt\u0131na alabilmek i\u00e7in ise, Microsoft Defender’<\/em>\u0131n storage i\u00e7in olan native ak\u0131ll\u0131 g\u00fcvenlik katman\u0131ndan yararlanaca\u011f\u0131z.<\/p>\n Zararl\u0131 i\u00e7eriklere kar\u015f\u0131 koruma a\u00e7\u0131s\u0131ndan ho\u015flanmad\u0131\u011f\u0131m y\u00f6n\u00fc ise, upload edilen her bir dosyay\u0131 tek tek taramamas\u0131d\u0131r. Onun yerine Azure Blob Storage<\/em> ve Azure Files<\/em>\u00a0hizmetleri taraf\u0131ndan \u00fcretilen telemetry verilerini analyze ederek, bilinen vir\u00fcs veya trojan t\u00fcrleri i\u00e7in hash<\/strong> scanning<\/strong> yapmaktad\u0131r. Ayr\u0131ca SMB<\/em> protokol\u00fc \u00fczerinden yap\u0131lan upload i\u015flemlerini de \u015fimdilik desteklememektedir.<\/p>\n PersistentVolume<\/em>, normal bir volume’\u00fcn aksine herhangi bir pod’dan ba\u011f\u0131ms\u0131z olarak kendi lifecycle’\u0131na sahip olan bir Kubernetes<\/em> storage resource’udur. PersistentVolumeClaim<\/em> ise bir pod’a PersistentVolume<\/em>‘\u00fcn mount edilebilmesi i\u00e7in kullan\u0131lmaktad\u0131r.<\/p>\n K\u0131sacas\u0131 bir uygulaman\u0131n persistent bir storage’a ihtiyac\u0131 oldu\u011funda, ilgili kullan\u0131c\u0131 PersistentVolumeClaim<\/em>‘i kullanarak arka plandaki storage hakk\u0131nda detayl\u0131 bir bilgi sahibi olmadan ilgili uygulama i\u00e7in bir storage request edebilmektedir.<\/p>\n \u015eimdi a\u015fa\u011f\u0131daki i\u00e7eri\u011fe sahip “pv-pvc<\/em>” ad\u0131nda bir yaml<\/em> dosyas\u0131 haz\u0131rlayal\u0131m.<\/p>\n Yukar\u0131da k\u0131saca neler yapt\u0131\u011f\u0131m\u0131za bir bakal\u0131m.<\/p>\n K\u0131sacas\u0131 PersistentVolume<\/em> ile cluster i\u00e7erisinde 5Gi<\/strong> l\u0131k kapasiteye sahip bir storage resource’u olu\u015fturmu\u015f olaca\u011f\u0131z.<\/p>\n PersistentVolumeClaim<\/em>‘i ise bir developer olarak istedi\u011fimiz bir pod spec’inde referans olarak g\u00f6stererek, 5Gi<\/strong> kapasiteye sahip bir persistent storage request etmek i\u00e7in kullanaca\u011f\u0131z. Ayr\u0131ca “storageClassName<\/em>” sat\u0131r\u0131n\u0131 bo\u015f set ederek, storage’\u0131n dynamically olarak olu\u015fturulmamas\u0131n\u0131 da sa\u011flam\u0131\u015f olduk.<\/p>\n E\u011fer storage account’un static olarak de\u011filde Kubernetes<\/em> taraf\u0131ndan dynamically olarak olu\u015fturulmas\u0131n\u0131 isteseydik, PersistentVolume<\/em> resource’u yerine istedi\u011fimiz kriterlere sahip bir StorageClass<\/em> resource’u olu\u015fturmam\u0131z ve bu resource’u kullanacak bir PersistentVolumeClaim<\/em> tan\u0131mlamam\u0131z gerekecekti.<\/p>\n NOT<\/strong><\/em>: E\u011fer PersistentVolumeClaim<\/em>‘in \u00f6nceden olu\u015fturmu\u015f oldu\u011fumuz specific bir PersistentVolume<\/em>\u00a0ile bind olmas\u0131n\u0131 istiyorsak, “volumeName<\/em>” attribute’\u00fcn\u00fc set ederek bu i\u015flemi ger\u00e7ekle\u015ftirebiliriz. \u00d6rne\u011fin farkl\u0131 scalability ve performance tier’lar\u0131na sahip olan hizmetlere\u00a0sahip olabiliriz.<\/p><\/blockquote>\n \u015eimdi a\u015fa\u011f\u0131daki komutlar\u0131 terminal \u00fczerinden execute edelim ve olu\u015fturulan resource’lara bir g\u00f6z atal\u0131m.<\/p>\n Yukar\u0131da da g\u00f6rd\u00fc\u011f\u00fcm\u00fcz gibi azurefile<\/strong> PersistentVolumeClaim<\/em>‘i, azurefile<\/strong> PersistentVolume<\/em>‘\u00fcne ba\u015far\u0131l\u0131 bir \u015fekilde “bound<\/em>” oldu. E\u011fer “Used By<\/em>” k\u0131sm\u0131na dikkat edersek, hen\u00fcz herhangi bir pod taraf\u0131ndan referans edilmedi\u011fi i\u00e7in “none<\/em>” oldu\u011funu g\u00f6rebiliriz.<\/p>\n \u015eimdi \u00f6rnek uygulamam\u0131z\u0131 deploy etme a\u015famas\u0131na ge\u00e7ebiliriz.<\/p>\n Ben \u00f6rnek olmas\u0131 a\u00e7\u0131s\u0131ndan .NET 6<\/strong><\/em> ile olu\u015fturmu\u015f oldu\u011fum a\u015fa\u011f\u0131daki basit console uygulamas\u0131n\u0131 Kubernetes<\/em> \u00fczerine deploy edece\u011fim.<\/p>\n Top-level statements ile h\u0131zl\u0131 bir \u015fekilde k\u00fc\u00e7\u00fck ve basitle\u015ftirilmi\u015f uygulamalar geli\u015ftirebilmek, ne kadar g\u00fczel de\u011fil mi? Bu basit uygulama ile, “\/mnt\/azure\/” path’i alt\u0131nda basit bir txt dosyas\u0131 olu\u015fturaca\u011f\u0131z. Bu path’e ise birazdan File shares<\/em> hizmeti mount edece\u011fiz.<\/p>\n Dockerfile<\/em> dosyas\u0131 ise a\u015fa\u011f\u0131daki gibidir.<\/p>\n \u00d6ncelikle a\u015fa\u011f\u0131daki gibi basit bir deployment spec’i tan\u0131mlayal\u0131m.<\/p>\n \u00d6rnek uygulamam\u0131z\u0131 deploy edebilmek i\u00e7in tan\u0131mlam\u0131\u015f oldu\u011fumuz bu basit spec’de, “volumes<\/em>” b\u00f6l\u00fcm\u00fc alt\u0131nda daha \u00f6nce olu\u015fturmu\u015f oldu\u011fumuz “azurefile<\/em>” isimli PersistentVolumeClaim<\/em>‘i kullanarak bir volume request ediyoruz. Ayr\u0131ca bu volume’\u00fc container i\u00e7erisinde mount etmek istedi\u011fimiz path’i de belirtiyoruz.<\/p>\n B\u00f6ylece Kubernetes<\/em> control plane, bu pod i\u00e7in PersistentVolumeClaim<\/em> i\u00e7erisinde tan\u0131mlam\u0131\u015f oldu\u011fumuz kriterlere\u00a0sahip bir PersistentVolume<\/em> bulmaya \u00e7al\u0131\u015facakt\u0131r. Ba\u015far\u0131yla uygun bir PersistentVolume<\/em> buldu\u011funda ise, PersistentVolumeClaim<\/em>‘i ilgili volume’a bind edecektir. Aksi bir durumda ise uygun bir PersistentVolume<\/em> bulunamayaca\u011f\u0131\u00a0i\u00e7in ilgili pod schedule edilemeyecektir.<\/p>\n \u015eimdi a\u015fa\u011f\u0131daki gibi uygulamay\u0131 deploy edelim ve container i\u00e7erisindeki “\/mnt\/azure\/mytext.txt<\/em>” dosyan\u0131n i\u00e7eri\u011fini kontrol edelim.<\/p>\nBa\u015flamadan<\/h2>\n
\n
Kubernetes Volumes<\/h2>\n
Azure File Share’i Olu\u015ftural\u0131m<\/h2>\n
az storage account create -n STORAGE_ACCOUNT_NAME -g RESOURCE_GROUP -l LOCATION --sku Standard_LRS<\/pre>\n<\/div>\n
export AZURE_STORAGE_CONNECTION_STRING=$(az storage account show-connection-string -n STORAGE_ACCOUNT_NAME -g RESOURCE_GROUP -o tsv)\r\n\r\naz storage share create -n STORAGE_ACCOUNT_NAME --connection-string $AZURE_STORAGE_CONNECTION_STRING<\/pre>\n
![\"\"](\"\/wp-content\/uploads\/2022\/01\/fileshare-azure-portal.jpg\")
<\/a><\/div>\n<\/div>\nMicrosoft Defender for Storage<\/h2>\n
az security atp storage update --resource-group RESOURCE_GROUP --storage-account STORAGE_ACCOUNT_NAME --is-enabled true<\/pre>\n<\/div>\n<\/div>\n
<\/a><\/div>\n<\/div>\nPersistentVolume ve PersistentVolumeClaim ile \u00c7al\u0131\u015fmak<\/h2>\n
STORAGE_KEY=$(az storage account keys list --resource-group RESOURCE_GROUP --account-name mydocumentstrg --query \"[0].value\" -o tsv)\r\n\r\nkubectl create secret generic storage-account --from-literal=azurestorageaccountname=mydocumentstrg --from-literal=azurestorageaccountkey=$STORAGE_KEY<\/pre>\n<\/div>\n<\/div>\n
apiVersion: v1\r\nkind: PersistentVolume\r\nmetadata:\r\n name: azurefile\r\nspec:\r\n capacity:\r\n storage: 5Gi\r\n accessModes:\r\n - ReadWriteMany\r\n azureFile:\r\n secretName: storage-account\r\n shareName: mydocumentstrg\r\n readOnly: false\r\n persistentVolumeReclaimPolicy: Retain\r\n---\r\napiVersion: v1\r\nkind: PersistentVolumeClaim\r\nmetadata:\r\n name: azurefile\r\nspec:\r\n accessModes:\r\n - ReadWriteMany\r\n storageClassName: \"\"\r\n resources:\r\n requests:\r\n storage: 5Gi\r\n<\/pre>\n<\/div>\n
\n
kubectl apply -f pv-pvc.yaml<\/pre>\n
kubectl get pv azurefile\r\nkubectl get pvc azurefile\r\nkubectl describe pvc azurefile<\/pre>\n
<\/a><\/p>\nusing (StreamWriter writer = File.CreateText(\"\/mnt\/azure\/mytext.txt\"))\r\n{\r\nawait writer.WriteLineAsync(\"hello\");\r\n} \r\nawait Task.Delay(TimeSpan.FromHours(1));\r\n\r\n<\/pre>\nFROM mcr.microsoft.com\/dotnet\/runtime:6.0 AS base\r\nWORKDIR \/app\r\n\r\nFROM mcr.microsoft.com\/dotnet\/sdk:6.0 AS build\r\nWORKDIR \/src\r\nCOPY [\"MyDocumentConsoleApp\/MyDocumentConsoleApp.csproj\", \"MyDocumentConsoleApp\/\"]\r\nRUN dotnet restore \"MyDocumentConsoleApp\/MyDocumentConsoleApp.csproj\"\r\nCOPY . .\r\nWORKDIR \"\/src\/MyDocumentConsoleApp\"\r\nRUN dotnet build \"MyDocumentConsoleApp.csproj\" -c Release -o \/app\/build\r\n\r\nFROM build AS publish\r\nRUN dotnet publish \"MyDocumentConsoleApp.csproj\" -c Release -o \/app\/publish\r\n\r\nFROM base AS final\r\nWORKDIR \/app\r\nCOPY --from=publish \/app\/publish .\r\nENTRYPOINT [\"dotnet\", \"MyDocumentConsoleApp.dll\"]\r\n<\/pre>\n
apiVersion: apps\/v1\r\nkind: Deployment\r\nmetadata:\r\n name: mydocumentapp-deployment\r\n labels:\r\n app: mydocumentapp\r\nspec:\r\n replicas: 1\r\n selector:\r\n matchLabels:\r\n app: mydocumentapp\r\n template:\r\n metadata:\r\n labels:\r\n app: mydocumentapp\r\n spec:\r\n containers:\r\n - name: mydocumentapp\r\n image: YOUR_ACR.azurecr.io\/mydocumentapp:v1\r\n volumeMounts:\r\n - name: azurefileshare\r\n mountPath: \/mnt\/azure\r\n volumes:\r\n - name: azurefileshare\r\n persistentVolumeClaim:\r\n claimName: azurefile<\/pre>\n
<\/a><\/p>\nkubectl apply -f .\/mydocumentapp-deployment.yaml\r\n\r\nkubectl exec -it $(kubectl get pods -l=app=mydocumentapp --output=jsonpath={.items..metadata.name}) -- cat \/mnt\/azure\/mytext.txt\r\n<\/pre>\n