Поделиться через

Использование управления доступом на основе ролей Azure для определения доступа к файлу конфигурации Kubernetes в службе Azure Kubernetes (AKS)

Вы можете взаимодействовать с кластерами Kubernetes с помощью kubectl средства. Azure CLI предоставляет простой способ получить учетные данные доступа и файл конфигурации kubeconfig для подключения к кластерам AKS с помощью kubectl. Вы можете использовать управление доступом на основе ролей Azure (Azure RBAC), чтобы ограничить доступ к файлу kubeconfig и разрешениям, которые у них есть.

В этой статье показано, как назначить роли Azure, которые ограничивают получение сведений о конфигурации кластера AKS.

Перед тем как начать

  • В этой статье предполагается, что у вас есть кластер AKS. Если вам нужен кластер AKS, создайте его с помощью Azure CLI, Azure PowerShell или портала Azure.
  • В этой статье также требуется, чтобы вы работали с Azure CLI версии 2.0.65 или более поздней. Чтобы узнать версию, выполните команду az --version. Если вам нужно установить или обновить, см. статью "Установка Azure CLI".

Доступные разрешения для ролей кластера

При взаимодействии с кластером AKS с помощью kubectl средства файл конфигурации, называемый kubeconfig, определяет сведения о подключении кластера. Этот файл конфигурации обычно хранится в ~/.kube/config. В этом файле kubeconfig можно определить несколько кластеров. Вы можете переключаться между кластерами с помощью kubectl config use-context команды.

Команда az aks get-credentials позволяет получить учетные данные доступа для кластера AKS и объединить эти учетные данные в файл kubeconfig . Azure RBAC можно использовать для управления доступом к этим учетным данным. Эти роли Azure позволяют определить, кто может получить файл kubeconfig и какие разрешения они имеют в кластере.

Существует две роли Azure, которые можно применить к пользователю или группе Microsoft Entra:

Note

В кластерах, использующих идентификатор Microsoft Entra, пользователи с ролью clusterUser имеют пустой файл kubeconfig , который запрашивает имя входа. После входа пользователи получают доступ на основе параметров пользователя или группы Microsoft Entra. Пользователи с ролью clusterAdmin имеют доступ администратора.

В кластерах, не использующих идентификатор Microsoft Entra, роль clusterUser имеет тот же эффект роли clusterAdmin .

Назначение разрешений роли пользователю или группе

Чтобы назначить одну из доступных ролей, необходимо получить идентификатор ресурса кластера AKS и идентификатор учетной записи пользователя Или группы Microsoft Entra, выполнив следующие действия:

  1. Получите идентификатор ресурса кластера с помощью команды az aks show для кластера myAKSCluster в группе ресурсов myResourceGroup. При необходимости укажите собственное имя кластера и группы ресурсов.
  2. Используйте команды az account show и az ad user show, чтобы получить идентификатор пользователя.
  3. Назначьте роль с помощью az role assignment create команды.

В следующем примере роль администратора кластера службы Azure Kubernetes назначается отдельной учетной записи пользователя:

# Get the resource ID of your AKS cluster
AKS_CLUSTER=$(az aks show --resource-group myResourceGroup --name myAKSCluster --query id -o tsv)

# Get the account credentials for the logged in user
ACCOUNT_UPN=$(az account show --query user.name -o tsv)
ACCOUNT_ID=$(az ad user show --id $ACCOUNT_UPN --query objectId -o tsv)

# Assign the 'Cluster Admin' role to the user
az role assignment create \
    --assignee $ACCOUNT_ID \
    --scope $AKS_CLUSTER \
    --role "Azure Kubernetes Service Cluster Admin Role"

Если вы хотите назначить разрешения группе Microsoft Entra, обновите параметр --assignee, показанный в предыдущем примере, с идентификатором объекта для группы вместо пользователя.

Чтобы получить идентификатор объекта для группы, используйте az ad group show команду. Следующая команда получает идентификатор объекта для группы Microsoft Entra с именем appdev:

az ad group show --group appdev --query objectId -o tsv

Important

В некоторых случаях, например гостевых пользователей Microsoft Entra, user.name в учетной записи отличается от userPrincipalName.

$ az account show --query user.name -o tsv
user@contoso.com

$ az ad user list --query "[?contains(otherMails,'user@contoso.com')].{UPN:userPrincipalName}" -o tsv
user_contoso.com#EXT#@contoso.onmicrosoft.com

В этом случае установите значение ACCOUNT_UPN на userPrincipalName из информации о пользователе Microsoft Entra. Например, если ваша учетная запись user.name , user@contoso.comэто действие будет выглядеть следующим образом:

ACCOUNT_UPN=$(az ad user list --query "[?contains(otherMails,'user@contoso.com')].{UPN:userPrincipalName}" -o tsv)

Получение и проверка сведений о конфигурации

После назначения ролей используйте az aks get-credentials команду, чтобы получить определение kubeconfig для кластера AKS. В следующем примере получаются учетные данные --admin , которые работают правильно, если пользователю предоставлена роль администратора кластера:

az aks get-credentials --resource-group myResourceGroup --name myAKSCluster --admin

Затем можно использовать kubectl config view команду, чтобы убедиться, что контекст кластера показывает, что применены сведения о конфигурации администратора.

$ kubectl config view

Ваш результат должен быть похож на следующий пример результата:

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: DATA+OMITTED
    server: https://myaksclust-myresourcegroup-19da35-4839be06.hcp.eastus.azmk8s.io:443
  name: myAKSCluster
contexts:
- context:
    cluster: myAKSCluster
    user: clusterAdmin_myResourceGroup_myAKSCluster
  name: myAKSCluster-admin
current-context: myAKSCluster-admin
kind: Config
preferences: {}
users:
- name: clusterAdmin_myResourceGroup_myAKSCluster
  user:
    client-certificate-data: REDACTED
    client-key-data: REDACTED
    token: e9f2f819a4496538b02cefff94e61d35

Удаление разрешений роли

Чтобы удалить назначения ролей, используйте az role assignment delete команду. Укажите идентификатор учетной записи и идентификатор ресурса кластера, полученный на предыдущих шагах. Если роль назначена группе, а не пользователю, укажите соответствующий идентификатор объекта группы, а не идентификатор объекта учетной записи для --assignee параметра.

az role assignment delete --assignee $ACCOUNT_ID --scope $AKS_CLUSTER

Дальнейшие шаги

Для повышения безопасности доступа к кластерам AKS интегрируйте проверку подлинности Microsoft Entra.

  • Last updated on