Перенос веб-приложения Amazon Web Services (AWS) в службу Azure Kubernetes (AKS)

В этой статье описаны шаги, необходимые для переноса приложения Yelb из AWS EKS в AKS. Обратите внимание, что приложение Yelb является автономным и не зависит от внешних служб, поэтому его можно перенести из AWS в Azure без изменений кода.

Миграция из AWS IAM в Azure RBAC

Если веб-приложение в AWS использует роль aws Identity and Access Management (IAM) для доступа к управляемым службам, необходимо назначить роль модулям pod EKS для предоставления доступа к ресурсам AWS. В Azure можно назначить роль пользователям, группам, ролевым учетным записям или управляемым идентификаторам в определенной области: группе управления ресурсами, подписке, группе ресурсов или ресурсу. Это позволяет назначить конкретные разрешения для идентичности рабочей нагрузки на защищенном ресурсе Microsoft Entra.

Вы можете настроить Azure RBAC, выполнив следующие действия.

  1. Создайте назначенную пользователем управляемую личность и учетную запись службы Kubernetes для рабочей нагрузки.
  2. Назначьте необходимые роли управляемому удостоверению, чтобы позволить рабочей нагрузке, размещённой в AKS, получить доступ к требуемым защищённым ресурсам Microsoft Entra.
  3. Включите издателя OpenID Connect (OIDC) и идентификатор рабочей нагрузки Microsoft Entra в вашем кластере AKS. Подробные инструкции см. в статье «Развертывание и настройка удостоверения рабочей нагрузки в кластере Службы Azure Kubernetes (AKS)».
  4. Создайте федерацию токенов для управляемого удостоверения с учетной записью служб Kubernetes, используемой в рабочей нагрузке на AKS.

Идентификатор рабочей нагрузки Microsoft Entra использует проекцию объема токена учетной записи службы, в частности, учетную запись службы, чтобы модули могли использовать удостоверение Kubernetes. Выдается токен Kubernetes, и федерация OIDC позволяет приложениям Kubernetes безопасно получать доступ к ресурсам Azure с помощью идентификатора Microsoft Entra ID на основе учетных записей службы с аннотациями.

Идентификатор рабочей нагрузки Microsoft Entra хорошо работает с клиентскими библиотеками удостоверений Azure или библиотекой проверки подлинности Майкрософт, а также регистрацией приложения. Эти библиотеки позволяют рабочей нагрузке легко проходить проверку подлинности и получать доступ к облачным ресурсам Azure. Дополнительные сведения см. в статье Об использовании идентификатора рабочей нагрузки Microsoft Entra с помощью службы Azure Kubernetes (AKS).

Следующий шаг

Подготовка к развертыванию рабочей нагрузки веб-приложения в Azure

Соавторы

Корпорация Майкрософт поддерживает эту статью. Следующие участники первоначально написали его:

Основной автор:

Другие участники:

  • Последнее обновление: