Использование служебного принципала с Azure Kubernetes Service (AKS)

• Вам потребуется Azure CLI версии 2.0.59 или более поздней. Найдите версию с помощью az --version команды. Если вам необходимо выполнить установку или обновление, см. статью Установка Azure CLI 2.0.

• Если вы используете Azure PowerShell, вам потребуется Azure PowerShell версии 5.0.0 или более поздней. Найдите вашу версию при помощи командлета Get-InstalledModule -Name Az. Если вам необходимо выполнить установку или обновление, см. статью об установке модуля Azure Az PowerShell.

1. Создайте служебный принципал с помощью команды az ad sp create-for-rbac.

   # Set environment variable
   SERVICE_PRINCIPAL_NAME=<your-service-principal-name>
   
   # Create the service principal
   az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME
   

   Выходные данные должны совпадать со следующим примером выходных данных:

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "myAKSClusterServicePrincipal",
     "name": "http://myAKSClusterServicePrincipal",
     "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. Скопируйте значения для appId и password из выходных данных, чтобы использовать их при создании кластера AKS.

1. Создайте служебный принципал с помощью команды New-AzADServicePrincipal.

   # Set environment variable
   $SpName = <your-service-principal-name>
   
   # Create the service principal
   New-AzADServicePrincipal -DisplayName $SpName -OutVariable sp
   

   Выходные данные должны совпадать со следующим примером выходных данных:

   Secret                : System.Security.SecureString
   ServicePrincipalNames : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, http://myAKSClusterServicePrincipal}
   ApplicationId         : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   ObjectType            : ServicePrincipal
   DisplayName           : myAKSClusterServicePrincipal
   Id                    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   Type                  :
   

   Значения хранятся в переменной, используемой при создании кластера AKS.

2. Расшифровка значения, хранящегося в защищенной строке секрета, с помощью следующей команды.

   $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($sp.Secret)
   [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR)
   

• Создайте кластер AKS с существующей учетной записью службы, используя команду az aks create с параметрами --service-principal и --client-secret, чтобы задать значения appId и password.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  APP_ID=<app-id>
  CLIENT_SECRET=<password-value>
  
  # Create the AKS cluster
  az aks create \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --service-principal $APP_ID \
      --client-secret $CLIENT_SECRET \
      --generate-ssh-keys
  

1. Преобразуйте субъект-службу ApplicationId и Secret в объект PSCredential с помощью следующей команды.

   $Cred = New-Object -TypeName System.Management.Automation.PSCredential ($sp.ApplicationId, $sp.Secret)
   

2. Создайте кластер AKS с существующим субъектом-службой с помощью командлета New-AzAksCluster и укажите ServicePrincipalIdAndSecret параметр с объектом PSCredential в качестве значения.

   # Set environment variables
   $ResourceGroupName = <your-resource-group-name>
   $ClusterName = <your-aks-cluster-name>
   
   # Create the AKS cluster
   New-AzAksCluster -ResourceGroupName $ResourceGroupName -Name $ClusterName -ServicePrincipalIdAndSecret $Cred
   

• Создайте назначение роли с помощью az role assignment create команды. Укажите значение идентификатора приложения принципала службы для --assignee параметра и область действия назначения роли для --scope параметра. В следующем примере назначаются разрешения принципала службы для доступа к секретам в хранилище ключей.

  az role assignment create \
      --assignee <app-id> \
      --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" \
      --role "Key Vault Secrets User"
  

• Создайте назначение роли с помощью командлета New-AzRoleAssignment . Укажите значение идентификатора приложения сервисного принципала для параметра -ApplicationId и область действия для назначения роли для параметра -Scope. В примере ниже назначаются разрешения служебного принципала для доступа к секретам в хранилище ключей.

  New-AzRoleAssignment -ApplicationId <app-id> `
      -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" `
      -RoleDefinitionName "Key Vault Secrets User"
  

• Запросите идентификатор клиента субъекта-службы (servicePrincipalProfile.clientId) и удалите субъект-службу с помощью az ad sp delete команды с параметром --id . Команда [][az aks showaz-aks-show] извлекает идентификатор клиента для указанного кластера AKS.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  
  # Delete the service principal
  az ad sp delete --id $(az aks show \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --query servicePrincipalProfile.clientId \
      --output tsv)
  

• Запросите идентификатор клиента сервисного принципала (ServicePrincipalProfile.ClientId) и удалите сервисного принципала с помощью командлета Remove-AzADServicePrincipal с параметром -ApplicationId. Командлет [][Get-AzAksClusterget-azakscluster] извлекает идентификатор клиента для указанного кластера AKS.

  # Set environment variables
  $ResourceGroupName = <your-resource-group-name>
  $ClusterName = <your-aks-cluster-name>
  $ClientId = (Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster ).ServicePrincipalProfile.ClientId
  
  # Delete the service principal
  Remove-AzADServicePrincipal -ApplicationId $ClientId
  

Azure CLI кэширует учетные данные служебного субъекта для кластеров AKS.

Azure PowerShell кэширует учетные данные служебного принципала для кластеров AKS.

Вы можете проверить дату окончания срока действия учетных данных сервисного принципала с помощью команды az ad app credential list с параметром "[].endDateTime". В выходных данных отображается endDateTime ваших учетных данных.

az ad app credential list \
    --id <app-id> \
    --query "[].endDateTime" \
    --output tsv

• Проверьте дату истечения срока действия учетных данных служебного принципала с помощью командлета Get-AzADAppCredential. В выходных данных отображается EndDate ваших учетных данных.

Get-AzADAppCredential -ApplicationId <app-id>