Sdílet prostřednictvím

Řízení přístupu pomocí Microsoft Entra ID a RBAC Kubernetes pro Windows Server

  • Článek

Platí pro: AKS ve Službě Azure Stack HCI 22H2, AKS na Windows Serveru

Službu Azure Kubernetes Service (AKS) je možné nakonfigurovat tak, aby k ověřování uživatelů používala ID Microsoft Entra. V této konfiguraci se přihlásíte ke clusteru Kubernetes pomocí ověřovacího tokenu Microsoft Entra. Po ověření můžete pomocí integrovaného řízení přístupu na základě role (Kubernetes RBAC) kubernetes spravovat přístup k oborům názvů a prostředkům clusteru na základě identity uživatele nebo členství ve skupině.

Tento článek popisuje, jak řídit přístup pomocí RBAC Kubernetes v clusteru Kubernetes na základě členství ve skupině Microsoft Entra v AKS Arc. Vytvoříte ukázkovou skupinu a uživatele v Id Microsoft Entra. Potom v clusteru vytvoříte role a vazby rolí, abyste udělili příslušná oprávnění k vytváření a zobrazení prostředků.

Požadavky

Před nastavením RBAC Kubernetes pomocí Id Microsoft Entra potřebujete následující požadavky:

  • Cluster Kubernetes vytvořený v AKS Arc. Pokud potřebujete nastavit cluster, projděte si pokyny k nasazení AKS pomocí Windows Admin Center nebo PowerShellu .
  • Připojení Azure Arc. Musíte mít připojení Azure Arc ke clusteru Kubernetes. Informace o povolení služby Azure Arc najdete v tématu Připojení služby Azure Kubernetes Service v clusteru Azure Stack HCI k Kubernetes s podporou služby Azure Arc.
  • Potřebujete přístup k následujícím nástrojům příkazového řádku:
    • Azure CLI a rozšíření connectedk8s. Azure CLI je sada příkazů, které se používají k vytváření a správě prostředků Azure. Pokud chcete zkontrolovat, jestli máte Azure CLI, otevřete nástroj příkazového řádku a zadejte: az -v. Nainstalujte také rozšíření connectedk8s , abyste otevřeli kanál do clusteru Kubernetes. Pokyny k instalaci najdete v tématu Postup instalace Azure CLI.
    • Kubectl. Tento nástroj příkazového řádku Kubernetes umožňuje spouštět příkazy cílené na clustery Kubernetes. Pokud chcete zkontrolovat, jestli jste nainstalovali kubectl, otevřete příkazový řádek a zadejte: kubectl version --client. Ujistěte se, že verze klienta kubectl je alespoň verze v1.24.0. Pokyny k instalaci najdete v tématu kubectl.
    • PowerShell a modul PowerShellu AksHci. PowerShell je řešení automatizace úloh pro různé platformy, které se skládá z prostředí příkazového řádku, skriptovacího jazyka a architektury pro správu konfigurace. Pokud jste nainstalovali AKS Arc, máte přístup k modulu PowerShellU AksHci .

Volitelné první kroky

Pokud ještě nemáte skupinu Microsoft Entra, která obsahuje členy, můžete vytvořit skupinu a přidat některé členy, abyste mohli postupovat podle pokynů v tomto článku.

Pokud chcete předvést práci s Microsoft Entra ID a RBAC Kubernetes, můžete vytvořit skupinu Microsoft Entra pro vývojáře aplikací, která se dá použít k předvedení přístupu k prostředkům clusteru pomocí RBAC Kubernetes a Id Microsoft Entra. V produkčních prostředích můžete použít stávající uživatele a skupiny v rámci tenanta Microsoft Entra.

Vytvoření ukázkové skupiny v Microsoft Entra ID

Nejprve vytvořte skupinu v Id Microsoft Entra ve vašem tenantovi pro vývojáře aplikací pomocí az ad group create příkazu . Následující příklad vás vyzve k přihlášení k tenantovi Azure a pak vytvoří skupinu s názvem appdev:

az login
az ad group create --display-name appdev --mail-nickname appdev

Přidání uživatelů do skupiny

S ukázkovou skupinou vytvořenou v Id Microsoft Entra pro vývojáře aplikací přidejte uživatele do appdev skupiny. Tento uživatelský účet použijete k přihlášení ke clusteru AKS a otestování integrace Kubernetes RBAC.

Přidejte uživatele do skupiny appdev vytvořené v předchozí části pomocí az ad group member add příkazu . Pokud ukončíte relaci, znovu se připojte k Azure pomocí az login.

$AKSDEV_ID = az ad user create --display-name <name> --password <strongpassword> --user-principal-name <name>@contoso.onmicrosoft.com
az ad group member add --group appdev --member-id $AKSDEV_ID

Vytvoření vlastní vazby role RBAC Kubernetes na prostředku clusteru AKS pro skupinu Microsoft Entra

Nakonfigurujte cluster AKS tak, aby skupině Microsoft Entra umožňoval přístup ke clusteru. Pokud chcete přidat skupinu a uživatele, přečtěte si téma Vytvoření ukázkových skupin v ID Microsoft Entra.

  1. Pomocí příkazu získejte přihlašovací údaje správce clusteru Get-AksHciCredential :

    Get-AksHciCredential -name <name-of-your-cluster>

  2. Vytvořte obor názvů v clusteru Kubernetes pomocí kubectl create namespace příkazu . Následující příklad vytvoří obor názvů s názvem dev:

    kubectl create namespace dev

    V Kubernetes role definují oprávnění k udělení a RoleBindings oprávnění aplikují na požadované uživatele nebo skupiny. Tato přiřazení je možné použít pro daný obor názvů nebo v celém clusteru. Další informace najdete v tématu Použití autorizace RBAC Kubernetes.

    Vytvořte roli pro obor názvů vývojářů . Tato role uděluje úplná oprávnění k oboru názvů. V produkčních prostředích můžete chtít zadat podrobnější oprávnění pro různé uživatele nebo skupiny.

  3. Vytvořte soubor s názvem role-dev-namespace.yaml a zkopírujte nebo vložte následující manifest YAML:

    kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev-user-full-access
  namespace: dev
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]
- apiGroups: ["batch"]
  resources:
  - jobs
  - cronjobs
  verbs: ["*"]

  4. Vytvořte roli pomocí kubectl apply příkazu a zadejte název souboru manifestu YAML:

    kubectl apply -f role-dev-namespace.yaml

  5. Pomocí příkazu získejte ID prostředku pro skupinu az ad group showappdev. Tato skupina se nastaví jako předmět vazby rolí v dalším kroku:

    az ad group show --group appdev --query objectId -o tsv

    Příkaz az ad group show vrátí hodnotu, kterou použijete jako groupObjectId:

    38E5FA30-XXXX-4895-9A00-050712E3673A

  6. Vytvořte soubor s názvem rolebinding-dev-namespace.yaml a zkopírujte a vložte následující manifest YAML. Vytvoříte vazbu role, která skupině appdev umožní používat role-dev-namespace roli pro přístup k oboru názvů. Na posledním řádku nahraďte groupObjectId ID objektu skupiny vytvořené příkazem az ad group show :

    kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev-user-access
  namespace: dev
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: dev-user-full-access
subjects:
- kind: Group
  namespace: dev
  name: groupObjectId

    Tip

    Pokud chcete vytvořit binding role pro jednoho uživatele, zadejte kind: User a nahraďte groupObjectId hlavním názvem uživatele (UPN) v ukázce.

  7. Vytvořte kubectl applypomocí příkazu RoleBinding a zadejte název souboru manifestu YAML:

    kubectl apply -f rolebinding-dev-namespace.yaml

    rolebinding.rbac.authorization.k8s.io/dev-user-access created

Použití předdefinovaných rolí RBAC Kubernetes pro prostředek clusteru AKS

Kubernetes také poskytuje integrované role pro uživatele. Mezi tyto předdefinované role patří:

  • Role superuživatele (správce clusteru)
  • Role, které mají být uděleny v rámci clusteru pomocí ClusterRoleBindings
  • Role, které mají být uděleny v rámci konkrétních oborů názvů pomocí vazby rolí (správce, úpravy, zobrazení)

Další informace o předdefinovaných rolích RBAC Kubernetes najdete v tématu Role RBAC kubernetes RBAC pro uživatele.

Role pro uživatele

Výchozí role clusteru Výchozí clusterRoleBinding Description
správce clusteru system:master group Umožňuje přístup superuživatele k provedení jakékoli akce s libovolným prostředkem. Při použití v ClusterRoleBinding, tato role poskytuje úplnou kontrolu nad všemi prostředky v clusteru a ve všech oborech názvů. Při použití v objektu RoleBinding poskytuje úplnou kontrolu nad každým prostředkem v oboru názvů vazby role, včetně samotného oboru názvů.
správce Žádné Umožňuje přístup správce, který má být udělen v rámci oboru názvů pomocí vazby role. Pokud se používá ve vazbě role, umožňuje přístup pro čtení a zápis k většině prostředků v oboru názvů, včetně možnosti vytvářet role a vazby rolí v rámci oboru názvů. Tato role neumožňuje přístup k zápisu do kvóty prostředků ani k samotnému oboru názvů. Tato role také neumožňuje přístup pro zápis ke koncovým bodům v clusterech vytvořených pomocí Kubernetes verze 1.22 nebo novější. Další informace najdete v tématu Přístup k zápisu pro koncové body.
upravit Žádné Umožňuje přístup pro čtení a zápis k většině objektů v oboru názvů. Tato role neumožňuje zobrazení nebo úpravu rolí nebo vazeb rolí. Tato role ale umožňuje přístup k tajným kódům a spouštění podů jako jakýkoliv ServiceAccount v oboru názvů, takže ji můžete použít k získání úrovní přístupu rozhraní API libovolného účtu ServiceAccount v oboru názvů. Tato role také neumožňuje přístup pro zápis ke koncovým bodům v clusterech vytvořených pomocí Kubernetes verze 1.22 nebo novější. Další informace najdete v tématu Přístup k zápisu pro koncové body.
Prohlédni Žádné Umožňuje přístup jen pro čtení k zobrazení většiny objektů v oboru názvů. Neumožňuje zobrazit role nebo vazby rolí. Tato role neumožňuje zobrazení tajných kódů, protože čtení obsahu tajných kódů umožňuje přístup k přihlašovacím údajům ServiceAccount v oboru názvů, což by umožnilo přístup rozhraní API jako k jakémukoliv účtu ServiceAccount v oboru názvů (forma eskalace oprávnění).

Použití integrované role Kubernetes RBAC s Id Microsoft Entra

Pokud chcete použít integrovanou roli Kubernetes RBAC s Microsoft Entra ID, postupujte takto:

  1. Použijte integrovanou view roli RBAC Kubernetes na skupinu Microsoft Entra:

    kubectl create clusterrolebinding <name of your cluster role binding> --clusterrole=view --group=<Azure AD group object ID>

  2. U každého uživatele Microsoft Entra použijte integrovanou view roli RBAC Kubernetes:

    kubectl create clusterrolebinding <name of your cluster role binding> --clusterrole=view --user=<Azure AD user object ID>

Práce s prostředky clusteru pomocí ID Microsoft Entra

Teď při vytváření a správě prostředků v clusteru Kubernetes otestujte očekávaná oprávnění. V těchto příkladech naplánujete a zobrazíte pody v oboru názvů přiřazeného uživatelem. Pak se pokusíte naplánovat a zobrazit pody mimo přiřazený obor názvů.

  1. Přihlaste se k Azure pomocí $AKSDEV_ID uživatelského účtu, který jste zadali az ad group member add jako vstup příkazu. Spuštěním az connectedk8s proxy příkazu otevřete kanál do clusteru:

    az connectedk8s proxy -n <cluster-name> -g <resource-group>

  2. Po vytvoření kanálu proxy otevřete další relaci a naplánujte pod NGINX pomocí kubectl run příkazu v oboru názvů dev :

    kubectl run nginx-dev --image=mcr.microsoft.com/oss/nginx/nginx:1.15.5-alpine --namespace dev

    Po úspěšném naplánování serveru NGINX by se měl zobrazit následující výstup:

    pod/nginx-dev created

  3. Teď pomocí příkazu kubectl get pods zobrazte pody v dev oboru názvů:

    kubectl get pods --namespace dev

    Po úspěšném spuštění serveru NGINX by se měl zobrazit následující výstup:

    NAME        READY   STATUS    RESTARTS   AGE
nginx-dev   1/1     Running   0          4m

Vytvoření a zobrazení prostředků clusteru mimo přiřazený obor názvů

Pokud se chcete pokusit zobrazit pody mimo obor názvů dev , použijte kubectl get pods příkaz s příznakem --all-namespaces :

kubectl get pods --all-namespaces

Členství uživatele ve skupině nemá roli Kubernetes, která tuto akci umožňuje. Bez oprávnění příkaz vygeneruje chybu:

Error from server (Forbidden): pods is forbidden: User cannot list resource "pods" in API group "" at the cluster scope

Další kroky