Usare un'identità gestita assegnata dall'utente in Servizio Azure Kubernetes (AKS)

• Gruppo di risorse Azure esistente. Se non è disponibile, è possibile crearne uno usando il az group create comando .

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• Terraform installato localmente. Per istruzioni di installazione, vedere Installare Terraform.

Creare un'identità gestita assegnata dall'utente

Se non si ha ancora una risorsa di identità gestita assegnata dall'utente, crearne una usando il comando az identity create.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group-name>

L'output dovrebbe essere simile all'output di esempio seguente:

{                                  
    "clientId": "<client-id>",
    "clientSecretUrl": "<clientSecretUrl>",
    "id": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
    "location": "<location>",
    "name": "<identity-name>",
    "principalId": "<principal-id>",
    "resourceGroup": "<resource-group-name>",
    "tags": {},
    "tenantId": "<tenant-id>",
    "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

Ottenere l'ID principale dell'identità gestita assegnata dall'utente

Ottenere l'ID principale dell'identità gestita assegnata dall'utente usando il comando az identity show.

CLIENT_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query principalId \
    --output tsv)

Ottenere l'ID risorsa dell'identità gestita assegnata dall'utente

Ottenere l'ID risorsa dell'identità gestita assegnata dall'utente usando il comando az identity show.

RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query id \
    --output tsv)

Abilitare un'Identità gestita assegnata dall'utente in un nuovo cluster AKS

Creare un cluster AKS con un'identità gestita assegnata dall'utente usando il comando az aks create e il parametro --assign-identity impostato sull'ID risorsa dell'identità gestita assegnata dall'utente.

az aks create \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --network-plugin azure \
    --vnet-subnet-id <vnet-subnet-id> \
    --dns-service-ip 10.2.0.10 \
    --service-cidr 10.2.0.0/24 \
    --assign-identity $RESOURCE_ID \
    --generate-ssh-keys

Aggiornare un cluster esistente per usare un'identità gestita assegnata dall'utente

Aggiornare un cluster esistente per usare un'identità gestita assegnata dall'utente usando il az aks update comando e il --assign-identity parametro impostato sull'ID risorsa dell'identità gestita assegnata dall'utente.

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

L'output per un aggiornamento corretto del cluster per l'uso di un'identità gestita assegnata dall'utente dovrebbe essere simile all'output di esempio seguente:

...
    "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
        }
    }
    },
...

Dopo aver aggiornato il cluster per usare un'identità gestita assegnata dall'utente anziché un'entità servizio, il piano di controllo e i pod usano l'identità gestita assegnata dall'utente per l'autorizzazione quando accedono ad altri servizi in Azure. Kubelet continua a usare un'entità servizio fino a quando non si aggiorna anche il pool di nodi. Un aggiornamento del pool di nodi causa tempi di inattività per il cluster AKS poiché i nodi nei pool di nodi vengono bloccati, svuotati e reimmaginati. È possibile usare il comando nei nodi per eseguire l'aggiornamento a un'identità gestita assegnata dall'utente.

az aks nodepool upgrade \
  --resource-group <resource-group-name> \
  --cluster-name <aks-cluster-name> \
  --name <node-pool-name> \
  --node-image-only

Assegnare un ruolo di Azure RBAC all'identità gestita assegnata dall'utente

Aggiungere un'assegnazione di ruolo per l'identità gestita assegnata dall'utente usando il az role assignment create comando . Nell'esempio seguente viene assegnato il ruolo Key Vault Secrets User all'identità gestita assegnata dall'utente per concedere le autorizzazioni per accedere ai segreti in un key vault. L'assegnazione di ruolo è limitata alla risorsa dell'insieme di credenziali delle chiavi.

az role assignment create \
    --assignee <client-id> \
    --role "Key Vault Secrets User" \
    --scope "<key-vault-resource-id>"

Creare il file di configurazione terraform

I file di configurazione terraform definiscono l'infrastruttura creata e gestita da Terraform.

1. Creare un file denominato main.tf e aggiungere il codice seguente per definire la versione di Terraform e specificare il provider Azure:

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. Aggiungere il codice seguente a main.tf per creare un gruppo di risorse Azure. È possibile modificare il nome e la posizione del gruppo di risorse in base alle esigenze.

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "East US"
   }
   

Creare un cluster AKS con identità gestita assegnata dall'utente usando Terraform

Aggiungere il codice seguente a main.tf per creare un'identità gestita assegnata dall'utente e un cluster AKS che usa l'identità:

resource "azurerm_user_assigned_identity" "uai" {
 name                = "aks-user-identity"
 resource_group_name = azurerm_resource_group.example.name
 location            = azurerm_resource_group.example.location
}
resource "azurerm_kubernetes_cluster" "user_assigned" {
 name                = "aks-user"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "aksuser"
 identity {
   type         = "UserAssigned"
   identity_ids = [azurerm_user_assigned_identity.uai.id]
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

Aggiungere un'assegnazione di ruolo per un'identità gestita assegnata dall'utente usando Terraform

Aggiungere il codice seguente a main.tf per creare un'assegnazione di ruolo per l'identità gestita assegnata dall'utente. In questo esempio viene assegnato il ruolo Key Vault Secrets User all'identità gestita assegnata dall'utente per concedergli le autorizzazioni per accedere ai segreti in un key vault. L'assegnazione di ruolo è limitata alla risorsa dell'insieme di credenziali delle chiavi.

resource "azurerm_role_assignment" "user_assigned_key_vault_secrets_user" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Key Vault Secrets User"
 principal_id         = azurerm_user_assigned_identity.uai.principal_id
}

Inizializzare Terraform

Inizializzare Terraform nella directory contenente il main.tf file usando il terraform init comando . Questo comando scarica il provider di Azure necessario per gestire le risorse Azure con Terraform.

terraform init

Crea un piano di esecuzione di Terraform

Creare un piano di esecuzione terraform usando il comando terraform plan. Questo comando mostra le risorse che Terraform creerà o modificherà nella sottoscrizione Azure.

terraform plan

Applicare la configurazione di Terraform

Dopo aver esaminato e confermato il piano di esecuzione, applicare la configurazione di Terraform usando il terraform apply comando . Questo comando crea o modifica le risorse definite nel file main.tf nella sottoscrizione Azure.

terraform apply

Verificare la distribuzione di Terraform

Dopo aver applicato la configurazione di Terraform, è possibile verificare la distribuzione usando il comando [az aks show][az-aks-show] con il --query parametro per filtrare l'output e visualizzare le informazioni sull'identità. Per esempio:

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv