Para el AZ-305 no necesitas operar Kubernetes — necesitas diseñar: cuándo AKS y cuándo algo más simple, cómo se escala y asegura el cluster, y cómo encaja ACR en el pipeline.
Contenido
Microsoft gestiona
Tú gestionas
Diseño de node pools
Escalado — 3 niveles
Redes de AKS — lo que cae
| Necesidad | Solución |
|---|---|
| Autenticar usuarios al cluster | Entra ID integration + Kubernetes RBAC (o Azure RBAC for K8s) |
| Pods acceden a Key Vault/Storage sin secretos | Microsoft Entra Workload ID (federación OIDC con service accounts) |
| Secretos de Key Vault montados en pods | Secrets Store CSI Driver |
| Forzar estándares (sin contenedores privilegiados, solo registries aprobados) | Azure Policy for AKS (Gatekeeper/OPA) |
| Escaneo de vulnerabilidades de imágenes y runtime | Microsoft Defender for Containers |
| Cifrado de discos del cluster con CMK | Disk Encryption Set en los node pools |
Tiers y features
Señales de examen
📦Árbol de decisión — Contenedores en Azure
AKS · Container Apps · ACI
Pregunta 1
¿Necesitas acceso completo a la API de Kubernetes (kubectl, operators, CRDs, control total del cluster)?
💡 AKS da Kubernetes real — todos los comandos kubectl, operators del ecosistema K8s, CRDs personalizados. Si solo necesitas ejecutar contenedores sin gestionar Kubernetes, hay opciones más simples.
| Criterio | AKS | Container Apps | ACI |
|---|---|---|---|
| API de Kubernetes | Sí — completa | No (K8s oculto) | No |
| Operación | Tú gestionas el cluster | Serverless | Serverless |
| Scale to zero | Con KEDA manual | Nativo | N/A (por contenedor) |
| Caso ideal | Plataformas complejas, operators, multi-team, portabilidad | Microservicios y jobs event-driven | Contenedores puntuales, burst de AKS |
| Requisito | Diseño |
|---|---|
| SLA del API server + resiliencia zonal | AKS Standard tier + nodos en zonas |
| kubectl solo desde la red corporativa | Private cluster |
| Procesar cola con pods que escalan desde cero | KEDA |
| Burst inmediato sin esperar VMs nuevas | Virtual nodes (ACI) |
| Batch tolerante a evicción al menor costo | Node pool de Spot VMs |
| Pods leen Key Vault sin secretos almacenados | Workload Identity + Secrets Store CSI |
| Prohibir imágenes fuera del registro corporativo | Azure Policy for AKS |
| Pulls rápidos desde clusters en 3 regiones | ACR Premium geo-replicado |
| DR multi-región de AKS | Cluster por región + GitOps/IaC + ACR geo-replicado + Front Door |
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una plataforma corre en AKS en West Europe y se expandirá a East US y Southeast Asia. Requisitos: los 3 clusters deben hacer pull de imágenes desde un único registro lógico con baja latencia local, y el registro no debe ser accesible desde internet. ¿Qué diseñas?
Inicia sesión para llevar tu progreso.