Přehled spravovaných identit v Azure Kubernetes Service (AKS)

Tento článek obsahuje přehled spravovaných identit přiřazených systémem a přiřazených uživatelem v AKS, včetně toho, jak fungují, přiřazení rolí a funkce spravované identity specifické pro AKS.

Další informace o spravovaných identitách v Azure najdete v dokumentaci ke spravovaným identitám pro prostředky Azure.

Poznámka:

Spravované identity pokrývají scénář identifikace cluster-to-Azure v AKS – jak cluster AKS přistupuje k Azure za účelem správy prostředků vaším jménem. Další scénáře identit (ověřování a autorizace na control plane a identita úloh mezi pody a Azure) najdete v tématu Možnosti přístupu a identit pro AKS.

Poznámka:

Typy identit přiřazené systémem a uživatelem se liší od pracovní identity, která je určena pro použití aplikací běžících na podech.

Tok autorizace spravované identity AKS

Clustery AKS používají spravované identity přiřazené systémem nebo uživatelem k vyžádání tokenů z Microsoft Entra. Tyto tokeny pomáhají autorizovat přístup k dalším prostředkům běžícím v Azure. Spravované identitě přiřadíte roli řízení přístupu na základě role v Azure (Azure RBAC), abyste jí udělili oprávnění ke konkrétnímu prostředku Azure. Můžete například udělit oprávnění spravované identitě pro přístup k tajným kódům v trezoru klíčů Azure pro použití clusterem.

Chování spravované identity ve službě AKS

Když nasadíte cluster AKS, ve výchozím nastavení se pro vás vytvoří spravovaná identita přiřazená systémem. Můžete také vytvořit cluster se spravovanou identitou přiřazenou uživatelem nebo aktualizovat existující cluster na jiný typ spravované identity.

Pokud váš cluster již používá spravovanou identifikaci a změníte typ identifikace (například ze systému přiřazené na uživatelem přiřazenou), dojde ke zpoždění, když se komponenty řídicího panelu přepnou na novou identifikaci. Komponenty řídicí roviny nadále používají starou identitu, dokud nevyprší platnost tokenu staré identity. Po aktualizaci tokenu přejdou na novou identitu. Tento proces může trvat několik hodin.

Poznámka:

Můžete také vytvořit cluster pomocí aplikačního instančního objektu služby namísto spravované identity. Pro zabezpečení a snadné použití však použijte spravovanou identitu nad instančním objektem aplikace. Pokud máte existující cluster, který používá služební princip aplikace, můžete ho aktualizovat tak, aby používal spravovanou identitu.

Správa identit a přihlašovacích údajů AKS

Platforma Azure spravuje spravované identity přiřazené systémem i uživatelem a jejich přihlašovací údaje, abyste mohli autorizovat přístup z aplikací, aniž byste museli zřizovat nebo obměňovat tajné kódy.

Spravovaná identita přiřazená systémem

Následující tabulka shrnuje klíčové charakteristiky spravované identity přiřazené systémem v AKS:

Jak se to vyrobí Průběh životního cyklu Sdílení prostředků Běžné případy použití v AKS
Vytvořeno jako součást prostředku Azure, jako je cluster AKS Svázaný s životním cyklem nadřazeného prostředku, takže se odstraní při odstranění nadřazeného prostředku. Lze přidružit jen k jednomu zdroji. • Úlohy obsažené v jednom prostředku Azure
• Úlohy, které vyžadují nezávislé identity

Spravovaná identita přiřazená uživatelem

Následující tabulka shrnuje klíčové charakteristiky spravované identity přiřazené uživatelem v AKS:

Jak se to vyrobí Průběh životního cyklu Sdílení prostředků Běžné případy použití v AKS
Vytvořeno jako samostatný prostředek Azure a musí existovat před vytvořením clusteru. Nezávisle na životním cyklu jakéhokoli konkrétního prostředku, takže vyžaduje ruční odstranění, pokud už ho nepotřebujete. Je možné sdílet napříč několika prostředky. • Úlohy, které běží na více prostředcích a můžou sdílet jednu identitu
• Úlohy, které vyžadují předběžné povolení přístupu k zabezpečenému prostředku v rámci procesu zřizování
• Úlohy, ve kterých se prostředky recyklují často, ale potřebují konzistentní oprávnění

Předem vytvořená spravovaná identita kubeletu

Předem vytvořená spravovaná identita kubeletu je volitelná identita přiřazená uživatelem, kterou kubelet může použít pro přístup k dalším prostředkům v Azure. Tato funkce umožňuje scénáře, jako je připojení ke službě Azure Container Registry (ACR) během vytváření clusteru. Pokud pro kubelet nezadáte spravovanou identitu přiřazenou uživatelem, AKS vytvoří identitu kubeletu přiřazenou uživatelem ve skupině prostředků uzlu. Pro uživatelem přiřazenou identitu kubeletu mimo výchozí skupinu prostředků pracovních uzlů přiřaďte identitě řídicí roviny clusteru roli Managed Identity Operator, ať už je přiřazená systémem, nebo uživatelem, přičemž rozsah přiřazení role nastavte na identitu kubeletu.

Přiřazení rolí pro spravované identity v AKS

Roli Azure RBAC můžete přiřadit spravované identitě, abyste clusteru udělili oprávnění k jinému prostředku Azure. Azure RBAC podporuje integrované i vlastní definice rolí, které určují úrovně oprávnění. Pokud chcete přiřadit roli, přečtěte si postup přiřazení role Azure.

Když přiřadíte roli Azure RBAC spravované identitě, musíte definovat obor role. Obecně se doporučuje omezit rozsah role na minimální oprávnění požadovaná spravovanou identitou. Další informace o určení rozsahu rolí Azure RBAC najdete v tématu Vysvětlení oboru pro Azure RBAC.

Přiřazení rolí spravované identity v řídicí rovině

Když vytvoříte a použijete vlastní virtuální síť, připojené disky Azure, statickou IP adresu, směrovací tabulku nebo identitu kubeletu přiřazenou uživatelem, ve které jsou prostředky mimo skupinu prostředků pracovního uzlu, Azure CLI přidá přiřazení role automaticky. Pokud používáte šablonu ARM nebo jinou metodu, použijte ID hlavního objektu spravované identity k přiřazení role.

Pokud nepoužíváte Azure CLI, ale používáte vlastní virtuální síť, připojené Azure disky, statickou IP adresu, směrovací tabulku nebo identitu kubeletu přiřazenou uživatelem, ve které jsou tyto prostředky mimo skupinu prostředků pracovního uzlu, doporučujeme pro řídicí rovinu použít spravovanou identitu přiřazenou uživatelem a ručně provést přiřazení požadované role pomocí hlavního ID této identity.

Když řídicí rovina používá spravovanou identitu přiřazenou systémem, vytvoříte identitu současně s clusterem, takže přiřazení role nebude možné provést, dokud se cluster nevytvoří. Po vytvoření clusteru získejte hlavní ID identity a přidejte požadované přiřazení role.

Souhrn spravovaných identit používaných službou AKS

AKS používá několik spravovaných identit pro integrované služby a doplňky. Následující tabulka shrnuje spravované identity používané službou AKS, jejich případy použití, výchozí oprávnění a informace o tom, jestli můžete použít vlastní identitu:

Identita Název Případ použití Výchozí oprávnění Přinést vlastní identitu
Úroveň řízení Název clusteru AKS Používá se komponentami řídicí roviny AKS ke správě prostředků clusteru, včetně vyrovnávačů zatížení příchozího přenosu a veřejné IP adresy spravované AKS, automatické škálování clusteru, disků Azure, ovladačů CSI pro soubory a objekty blob. Role přispěvatele pro uzlovou skupinu prostředků Podporováno
Kubelet Fond názvů clusteru AKS Ověřování pomocí služby Azure Container Registry (ACR) Žádné; vyžaduje roli ACR Pull v závislosti na režimu oprávnění registru. Podporováno
doplněk AzureNPM Nevyžaduje se žádná identita. N/A Nepodporované
doplněk Monitorování sítě AzureCNI Nevyžaduje se žádná identita. N/A Nepodporované
doplněk azure-policy (správce přístupu) Nevyžaduje se žádná identita. N/A Nepodporované
doplněk Kaliko Nevyžaduje se žádná identita. N/A Nepodporované
doplněk směrování aplikací (NGINX) Spravuje certifikáty Azure DNS a Azure Key Vault. Role uživatele certifikátů služby Key Vault pro službu Key Vault, role Přispěvatel zóny DNS pro zóny DNS Nepodporované
doplněk název clusteru ingressapplicationgateway-AKS Spravuje požadované síťové prostředky pro kontroler příchozího přenosu dat služby Application Gateway (AGIC). Závisí na topologii nasazení. Nepodporované
doplněk Analýza kontejnerů Shromažďuje protokoly kontejnerů a data inventáře a odesílá je do pracovního prostoru Log Analytics. Používá spravovanou identitu clusteru; Nevyžaduje se žádná role monitorování metrik Publisher Používá identitu clusteru.
doplněk Virtual-Node (ACIConnector) Spravuje požadované síťové prostředky pro Azure Container Instances (ACI). Role přispěvatele pro uzlovou skupinu prostředků Nepodporované
doplněk identita-analýzy-nákladů Shromažďuje identifikátory Azure Resource Manager pro přidělování nákladů. Přístup pro čtení ke skupině prostředků uzlu Nepodporované
Identita úloh Uživatelsky nakonfigurovaná identita Microsoft Entra Umožňuje aplikacím bezpečně přistupovat ke cloudovým prostředkům pomocí ID úlohy Microsoft Entra. Závisí na prostředcích, ke kterým úloha přistupuje. Povinné

Poznámka:

Identita kubeletu vyžaduje roli ACR Pull. Pro registry v režimu oprávnění registru RBAC použijte AcrPull roli. Pro registry v režimu oprávnění registru RBAC + oprávnění úložiště ABAC použijte roli Container Registry Repository Reader. Roli Container Registry Repository Catalog Lister přidejte pouze pokud identita potřebuje vypsat seznam úložišť. Další informace najdete v tématu Identita mapovaná uzlem AKS.

Řádek směrování aplikace popisuje prostředí založené na NGINX. Microsoft poskytuje podporu pro kritické bezpečnostní opravy prostředků NGINX Ingress doplňku pro směrování aplikací až do listopadu 2026. Do listopadu 2026 migrujte na rozhraní API služby Application Routing Gateway nebo jinou podporovanou implementaci. Integrace DNS a TLS pro Gateway API používá ID úloh Microsoft Entra místo spravované identity doplňku. V případě rozhraní API brány vytvořte spravovanou identitu přiřazenou uživatelem, udělte jí požadované Azure DNS a Azure Key Vault role a vytvořte přihlašovací údaje federované identity pro účty služby Kubernetes.

Oprávnění AGIC závisí na způsobu nasazení služby Application Gateway. Když doplněk vytvoří novou službu Application Gateway, obvykle automaticky přiřadí požadovaná oprávnění. Pokud potřebujete oprávnění přiřadit ručně, udělte identitě doplňku roli Network Contributor v podsíti služby Application Gateway. Pro existující službu Application Gateway v jiné skupině prostředků, než je cluster AKS, přiřaďte identitě doplňku role Network Contributor a Reader pro skupinu prostředků služby Application Gateway. Další informace najdete v tématu Povolení AGIC s novou službou Application Gateway a povolení AGIC s existující službou Application Gateway.

Container Insights ve výchozím nastavení používá ověřování spravované identity a používá spravovanou identitu clusteru k odesílání dat do Azure Monitor. Starší ověřování, které vyžadovalo roli Vydavatel metrik monitorování, bude vyřazeno k 30. září 2026. Container Insights shromažďuje protokoly a data inventáře v pracovním prostoru Log Analytics; Azure Monitor spravovaná služba pro Prometheus samostatně shromažďuje metriky Prometheus v pracovním prostoru Azure Monitor. Další informace najdete v tématu Ověřování Container Insights.

AKS vytvoří cost-analysis-identity přístup pro čtení ke skupině prostředků uzlu a přiřadí ji fondům uzlů clusteru, když povolíte analýzu nákladů. Pro doplněk nemůžete zadat jinou identitu. Další informace najdete v tématu Povolení analýzy nákladů AKS.

ID úloh Microsoft Entra je model identity podu pro Azure, nikoli spravovaná identita clusteru ani doplňku. Nakonfigurujete identitu Microsoft Entra, kterou používá každé zatížení, anotujete účet služby Kubernetes klientským ID této identity a vytvoříte pověření federované identity. Další informace najdete v tématu Nasazení a konfigurace ID úloh Microsoft Entra.

Další krok

Pomocí následujících příruček povolte požadovaný typ spravované identity v novém nebo existujícím clusteru AKS:

  • Poslední aktualizace v