Aktualizowanie niestandardowych ról Azure dla inicjalizacji certyfikatu węzła zewnętrznego

Począwszy od 30 listopada 2026 r. usługa Azure Kubernetes Service (AKS) wymaga dedykowanej akcji DataAction mechanizmu Azure kontroli dostępu opartej na rolach (Azure RBAC) w celu autoryzowania wystawiania certyfikatów klienta kubelet.

Important

Zaktualizuj role niestandardowe platformy Azure, których to dotyczy, przed 30 listopada 2026 r. W przeciwnym razie nowe węzły zewnętrzne mogą nie zostać przyłączone do klastra usługi AKS, a istniejącym węzłom zewnętrznym może się nie udać odnowienie certyfikatów klienta kubelet.

To wymaganie dotyczy niestandardowych ról Azure używanych na potrzeby bootstrapu węzła zewnętrznego lub odnawiania certyfikatu klienta kubelet, w tym integracji usługi AKS Stretch. Nie przewiduje się, aby miało to wpływ na węzły zarządzane przez usługę AKS.

Wcześniej szersza certificatesigningrequests/write usługa DataAction również autoryzowała wystawianie certyfikatu klienta kubelet. Usługa AKS oddziela te uprawnienia, aby zapobiec podmiotom mającym ogólny dostęp do zapisu żądań podpisania certyfikatów przed uzyskiwaniem certyfikatów, które umożliwiają im uwierzytelnianie się jako węzły Kubernetes.

Określić, czy rola niestandardowa jest objęta

Na rolę niestandardową ma to wpływ, jeśli jest używana dla jednej z następujących operacji:

  • Uruchamianie węzła zewnętrznego.
  • Odnawianie certyfikatu klienta kubelet dla węzła zewnętrznego.

Jeśli rola niestandardowa jest używana tylko w przypadku ogólnych operacji żądania podpisania certyfikatu, nie musisz dodawać nowego uprawnienia.

Przejrzyj identyfikatory ról w powiadomieniu Azure Service Health lub spisie ról i ustal, jak każda rola jest używana. Zachowaj istniejące żądanie podpisania certyfikatu i uprawnienia odnajdywania interfejsu API dla każdej roli, której to dotyczy.

Dodaj wymaganą funkcję DataAction

Dodaj funkcję DataAction odpowiadającą endpointowi zasobu używanemu przez integrację:

Endpoint zasobu Wymagane dane DataAction
Klaster zarządzany Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action
Centrum floty Microsoft.ContainerService/fleets/certificates.k8s.io/certificatesigningrequests/nodeclient/action
Członek floty Microsoft.ContainerService/fleets/members/certificates.k8s.io/certificatesigningrequests/nodeclient/action
Menedżer sztucznej inteligencji Microsoft.ContainerService/aiManagers/certificates.k8s.io/certificatesigningrequests/nodeclient/action

Na przykład rola niestandardowa używana do uruchamiania węzła zewnętrznego za pośrednictwem punktu końcowego klastra zarządzanego obejmuje następujące uprawnienia:

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

W przypadku dostępu do Fleet hub, Fleet member lub AI Manager użyj odpowiedniej ścieżki zasobu z poprzedniej tabeli.

Aby zaktualizować rolę, której to dotyczy:

  1. Pobierz bieżącą definicję roli.
  2. Dodaj odpowiednie certificatesigningrequests/nodeclient/action uprawnienie do właściwości DataActions roli.
  3. Upewnij się, że wszystkie istniejące żądania podpisania certyfikatu i uprawnienia wykrywania API pozostają niezmienione.
  4. Zaktualizuj definicję roli niestandardowej.
  5. Poczekaj, aż aktualizacja kontroli dostępu opartej na rolach Azure zacznie obowiązywać.

Zweryfikuj aktualizację roli

Po zaktualizowaniu roli niestandardowej, której dotyczy problem:

  1. Pobierz definicję roli i upewnij się, że odpowiednie certificatesigningrequests/nodeclient/action uprawnienie pojawia się w DataActions.
  2. Upewnij się, że wszystkie istniejące żądania podpisania certyfikatu i uprawnienia odnajdywania interfejsu API pozostają niezmienione.
  3. W środowisku testowym wykonaj test uruchamiania end-to-end external-node i upewnij się, że węzeł osiągnie stan Ready.
  4. W przypadku istniejącej integracji sprawdź, czy certyfikat klienta kubelet można pomyślnie odnowić za pomocą normalnego procesu walidacji.

Należy przewidzieć około jednej godziny na kompleksowy test uruchamiania węzła zewnętrznego. Łączny wymagany czas może się różnić w zależności od procesu zarządzania zmianami w organizacji i liczby aktualizowanych ról.

Następne kroki

  • Ostatnia aktualizacja o