Проверка подлинности Terraform с помощью управляемого удостоверения для служб Azure

Terraform поддерживает определение, предварительный просмотр и развертывание облачной инфраструктуры. С помощью Terraform можно создавать файлы конфигурации с применением синтаксиса HCL. Синтаксис HCL позволяет указать поставщика облачных служб, например Azure, и элементы, составляющие облачную инфраструктуру. После создания файлов конфигурации создается план выполнения, который позволяет предварительно просматривать изменения инфраструктуры до их развертывания. После проверки изменений примените план выполнения для развертывания инфраструктуры.

Управляемые удостоверения для ресурсов Azure используются для проверки подлинности в Azure Active Directory. HashiCorp рекомендует использовать субъект-службу или управляемое удостоверение, если вы используете Terraform в неинтерактивном режиме. Существует два типа управляемых удостоверений: назначаемые системой и назначаемые пользователем. Из этой статьи вы узнаете, как использовать удостоверения, назначенные системой.

Определение управляемого удостоверения, назначаемого системой

Чтобы использовать управляемое удостоверение, назначаемое системой, выполните следующие действия.

1. identity Укажите блок и задайте для SystemAssignedtype параметра .

   resource "azurerm_linux_virtual_machine" "example" {
     # ...
   
     identity {
       type = "SystemAssigned"
     }
   }
   

2. Предоставьте Contributor роль удостоверению.

   data "azurerm_subscription" "current" {}
   
   data "azurerm_role_definition" "contributor" {
     name = "Contributor"
   }
   
   resource "azurerm_role_assignment" "example" {
     scope              = data.azurerm_subscription.current.id
     role_definition_name = "Contributor"
     principal_id       = azurerm_linux_virtual_machine.example.identity[0].principal_id
   }
   

3. Настройте переменные среды, указав учетные данные Azure.

   export ARM_USE_MSI=true
   export ARM_SUBSCRIPTION_ID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   export ARM_TENANT_ID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   

Пример. Создание виртуальной машины с управляемым удостоверением

1. Создайте каталог для тестирования примера кода Terraform и сделайте его текущим каталогом.

2. Создайте файл с именем providers.tf и вставьте приведенный ниже код.

   terraform {
     required_version = ">=0.12"
   
     required_providers {
       azapi = {
         source  = "azure/azapi"
         version = "~>1.5"
       }
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~>2.0"
       }
       random = {
         source  = "hashicorp/random"
         version = "~>3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   

3. Создайте файл с именем main.tf и вставьте следующий код:

   resource "random_pet" "rg_name" {
     prefix = var.resource_group_name_prefix
   }
   
   resource "azurerm_resource_group" "rg" {
     location = var.resource_group_location
     name     = random_pet.rg_name.id
   }
   
   data "azurerm_subscription" "current" {}
   
   resource "azurerm_virtual_network" "example" {
     name                = "myVnet"
     address_space       = ["10.0.0.0/16"]
     location            = azurerm_resource_group.rg.location
     resource_group_name = azurerm_resource_group.rg.name
   }
   
   resource "azurerm_subnet" "example" {
     name                 = "mySubnet"
     resource_group_name  = azurerm_resource_group.rg.name
     virtual_network_name = azurerm_virtual_network.example.name
     address_prefixes     = ["10.0.2.0/24"]
   }
   
   resource "azurerm_network_interface" "example" {
     name                = "myNic"
     location            = azurerm_resource_group.rg.location
     resource_group_name = azurerm_resource_group.rg.name
   
     ip_configuration {
       name                          = "internal"
       subnet_id                     = azurerm_subnet.example.id
       private_ip_address_allocation = "Dynamic"
     }
   }
   
   resource "azurerm_linux_virtual_machine" "example" {
     name                = "myVm"
     resource_group_name = azurerm_resource_group.rg.name
     location            = azurerm_resource_group.rg.location
     size                = "Standard_F2"
     network_interface_ids = [
       azurerm_network_interface.example.id,
     ]
   
     computer_name  = "hostname"
     admin_username = var.username
   
     admin_ssh_key {
       username   = var.username
       public_key = azapi_resource_action.ssh_public_key_gen.output.publicKey
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     os_disk {
       caching              = "ReadWrite"
       storage_account_type = "Standard_LRS"
     }
   
     source_image_reference {
       publisher = "Canonical"
       offer     = "0001-com-ubuntu-server-jammy"
       sku       = "22_04-lts"
       version   = "latest"
     }
   }
   
   data "azurerm_role_definition" "contributor" {
     name = "Contributor"
   }
   
   resource "azurerm_role_assignment" "example" {
     scope              = data.azurerm_subscription.current.id
     role_definition_name = "Contributor"
     principal_id       = azurerm_linux_virtual_machine.example.identity[0].principal_id
   }
   

4. Создайте файл с именем ssh.tf и вставьте приведенный ниже код.

   resource "random_pet" "ssh_key_name" {
     prefix    = "ssh"
     separator = ""
   }
   
   resource "azapi_resource_action" "ssh_public_key_gen" {
     type        = "Microsoft.Compute/sshPublicKeys@2022-11-01"
     resource_id = azapi_resource.ssh_public_key.id
     action      = "generateKeyPair"
     method      = "POST"
   
     response_export_values = ["publicKey", "privateKey"]
   }
   
   resource "azapi_resource" "ssh_public_key" {
     type      = "Microsoft.Compute/sshPublicKeys@2022-11-01"
     name      = random_pet.ssh_key_name.id
     location  = azurerm_resource_group.rg.location
     parent_id = azurerm_resource_group.rg.id
   }
   
   output "key_data" {
     value = azapi_resource_action.ssh_public_key_gen.output.publicKey
   }
       ```
   
   

5. Создайте файл с именем variables.tf и вставьте следующий код:

   variable "resource_group_location" {
     type        = string
     description = "Location of the resource group."
     default     = "eastus"
   }
   
   variable "resource_group_name_prefix" {
     type        = string
     description = "Prefix of the resource group name that's combined with a random ID so name is unique in your Azure subscription."
     default     = "rg"
   }
   
   variable "username" {
     type        = string
     description = "The username for the local account that will be created on the new VM."
     default     = "azureadmin"
   }
   

6. Создайте файл с именем outputs.tf и вставьте следующий код:

   output "resource_group_name" {
     value = azurerm_resource_group.rg.name
   }
   
   output "azurerm_linux_virtual_machine_name" {
     value = azurerm_linux_virtual_machine.example.name
   }
   

Следующие шаги