Verwenden einer vom Benutzer zugewiesenen verwalteten Identität in Azure Kubernetes Service (AKS)

• Eine vorhandene Azure Ressourcengruppe. Wenn Sie keins haben, können Sie einen mit dem az group create Befehl erstellen.

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• Terraform lokal installiert. Installationsanweisungen finden Sie unter Install Terraform.

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität

Wenn Sie noch nicht über eine Ressource der benutzerseitig zugewiesenen verwalteten Identität verfügen, erstellen Sie eine mithilfe des Befehls az identity create.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group-name>

Ihre Ausgabe sollte in etwa wie die folgende Beispielausgabe aussehen:

{                                  
    "clientId": "<client-id>",
    "clientSecretUrl": "<clientSecretUrl>",
    "id": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
    "location": "<location>",
    "name": "<identity-name>",
    "principalId": "<principal-id>",
    "resourceGroup": "<resource-group-name>",
    "tags": {},
    "tenantId": "<tenant-id>",
    "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

Abrufen der Prinzipal-ID der benutzerseitig zugewiesenen verwalteten Identität

Rufen Sie die Principal-ID der vom Benutzer zugewiesenen verwalteten Identität mithilfe des az identity show Befehls ab.

CLIENT_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query principalId \
    --output tsv)

Abrufen der Ressourcen-ID der benutzerseitig zugewiesenen verwalteten Identität

Rufen Sie die Ressourcen-ID der vom Benutzer zugewiesenen verwalteten Identität mithilfe des az identity show Befehls ab.

RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query id \
    --output tsv)

Aktivieren einer vom Benutzer zugewiesenen verwalteten Identität in einem neuen AKS-Cluster

Erstellen Sie einen AKS-Cluster mit einer vom Benutzer zugewiesenen verwalteten Identität mithilfe des az aks create Befehls und des Parameters, der --assign-identity auf die Ressourcen-ID der vom Benutzer zugewiesenen verwalteten Identität festgelegt ist.

az aks create \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --network-plugin azure \
    --vnet-subnet-id <vnet-subnet-id> \
    --dns-service-ip 10.2.0.10 \
    --service-cidr 10.2.0.0/24 \
    --assign-identity $RESOURCE_ID \
    --generate-ssh-keys

Aktualisieren eines vorhandenen Clusters zur Verwendung einer benutzerseitig zugewiesenen verwalteten Identität

Um einen vorhandenen Cluster zu aktualisieren, sodass eine vom Benutzer zugewiesene verwaltete Identität verwendet wird, nutzen Sie den az aks update-Befehl und setzen Sie den Parameter --assign-identity auf die Ressourcen-ID der vom Benutzer zugewiesenen verwalteten Identität fest.

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

Die Ausgabe bei einer erfolgreichen Clusteraktualisierung zur Verwendung einer benutzerseitig zugewiesenen verwalteten Identität sollte der folgenden Beispielausgabe ähneln:

...
    "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
        }
    }
    },
...

Nachdem Sie den Cluster so aktualisiert haben, dass eine vom Benutzer zugewiesene verwaltete Identität anstelle eines Dienstprinzipals verwendet wird, verwenden die Steuerungsebene und die Pods die vom Benutzer zugewiesene verwaltete Identität für die Autorisierung, wenn sie auf andere Dienste in Azure zugreifen. Kubelet verwendet weiterhin einen Dienstprinzipal, bis Sie auch den Knotenpool aktualisieren. Ein Upgrade des Knotenpools verursacht Ausfallzeiten für Ihren AKS-Cluster, da die Knoten in den Knotenpools abgeriegelt, entleert und neu abgebildet werden. Sie können den Befehl in Ihren Knoten verwenden, um auf eine vom Benutzer zugewiesene verwaltete Identität zu aktualisieren.

az aks nodepool upgrade \
  --resource-group <resource-group-name> \
  --cluster-name <aks-cluster-name> \
  --name <node-pool-name> \
  --node-image-only

Zuweisen einer Azure RBAC-Rolle an die verwaltete Identität, die vom Benutzer zugewiesen wurde

Fügen Sie mithilfe des az role assignment create Befehls eine Rollenzuweisung für die vom Benutzer zugewiesene verwaltete Identität hinzu. Im folgenden Beispiel wird der Rolle Key Vault Secrets User der vom Benutzer zugewiesenen verwalteten Identität zugewiesen, um ihm Berechtigungen für den Zugriff auf geheime Schlüssel in einem key vault zu gewähren. Die Rollenzuweisung ist auf die Key Vault-Resource beschränkt.

az role assignment create \
    --assignee <client-id> \
    --role "Key Vault Secrets User" \
    --scope "<key-vault-resource-id>"

Erstellen der Terraform-Konfigurationsdatei

Terraform-Konfigurationsdateien definieren die Infrastruktur, die Terraform erstellt und verwaltet.

1. Erstellen Sie eine Datei mit dem Namen main.tf, und fügen Sie den folgenden Code hinzu, um die Terraform-Version zu definieren und den Azure Anbieter anzugeben:

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. Fügen Sie dem main.tf den folgenden Code hinzu, um eine Azure Ressourcengruppe zu erstellen. Sie können den Namen und den Speicherort der Ressourcengruppe nach Bedarf ändern.

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "East US"
   }
   

Erstellen eines AKS-Clusters mit einer vom Benutzer zugewiesenen verwalteten Identität mithilfe von Terraform

Fügen Sie den folgenden Code hinzu, um eine vom Benutzer zugewiesene verwaltete Identität und einen AKS-Cluster zu main.tf erstellen, der die Identität verwendet:

resource "azurerm_user_assigned_identity" "uai" {
 name                = "aks-user-identity"
 resource_group_name = azurerm_resource_group.example.name
 location            = azurerm_resource_group.example.location
}
resource "azurerm_kubernetes_cluster" "user_assigned" {
 name                = "aks-user"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "aksuser"
 identity {
   type         = "UserAssigned"
   identity_ids = [azurerm_user_assigned_identity.uai.id]
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

Hinzufügen einer Rollenzuweisung für eine vom Benutzer zugewiesene verwaltete Identität mithilfe von Terraform

Fügen Sie den folgenden Code zu main.tf hinzu, um eine Rollenzuweisung für die benutzerdefinierte verwaltete Identität zu erstellen. In diesem Beispiel wird die Rolle Key Vault Secrets User der vom Benutzer zugewiesenen verwalteten Identität zugewiesen, um ihm Berechtigungen für den Zugriff auf geheime Schlüssel in einem key vault zu gewähren. Die Rollenzuweisung ist auf die Key Vault-Resource beschränkt.

resource "azurerm_role_assignment" "user_assigned_key_vault_secrets_user" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Key Vault Secrets User"
 principal_id         = azurerm_user_assigned_identity.uai.principal_id
}

Initialisieren Sie Terraform

Initialisieren Sie Terraform im Verzeichnis, das Ihre main.tf Datei enthält, mithilfe des terraform init Befehls. Dieser Befehl lädt den Azure Anbieter herunter, der zum Verwalten von Azure Ressourcen mit Terraform erforderlich ist.

terraform init

Terraform-Ausführungsplan erstellen

Erstellen Sie mit dem Befehl „terraform plan“ einen Terraform-Ausführungsplan. Dieser Befehl zeigt Ihnen die Ressourcen, die Terraform in Ihrem Azure-Abonnement erstellen oder ändern wird.

terraform plan

Terraform-Konfiguration anwenden

Wenden Sie nach der Überprüfung und Bestätigung des Ausführungsplans die Terraform-Konfiguration mit dem terraform apply Befehl an. Dieser Befehl erstellt oder ändert die ressourcen, die in Ihrer main.tf-Datei in Ihrem Azure-Abonnement definiert sind.

terraform apply

Überprüfen Sie die Terraform-Bereitstellung

Nachdem Sie die Terraform-Konfiguration angewendet haben, können Sie die Bereitstellung mithilfe des Befehls [az aks show][az-aks-show] mit dem Parameter --query überprüfen, um die Ausgabe zu filtern und die Identitätsinformationen anzuzeigen. Beispiel:

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv