Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
30 Kasım 2026'dan itibaren Azure Kubernetes Service (AKS), kubelet istemci sertifikası verilmesine yetki vermek için ayrılmış Azure rol tabanlı erişim denetimi (Azure RBAC) DataAction gerektirir.
Important
Etkilenen özel Azure rollerini 30 Kasım 2026'den önce güncelleştirin. Aksi takdirde, yeni dış düğümler AKS kümesine katılamayabilir ve mevcut dış düğümler kubelet istemci sertifikalarını yenileyemeyebilir.
Bu gereksinim, AKS Stretch tümleştirmeleri de dahil olmak üzere dış düğüm önyüklemesi veya kubelet istemci sertifikası yenilemesi için kullanılan özel Azure rolleri için geçerlidir. AKS tarafından yönetilen düğümlerin etkilenmesi beklenmiyor.
Daha önce, certificatesigningrequests/write daha kapsamlı DataAction da kubelet istemci sertifikası verme yetkisine sahipti. AKS, genel sertifika imzalama isteği yazma erişimine sahip ilkelerin Kubernetes düğümleri olarak kimliklerini doğrulayan sertifikaları almasını önlemeye yardımcı olmak için bu izinleri ayırmaktadır.
Özel rolün etkilenip etkilenmediğini belirleyin
Aşağıdaki işlemlerden biri için kullanıldığında özel bir rol etkilenir:
- Dış düğüm önyüklemesi.
- Dış düğüm için Kubelet istemci sertifikası yenileme.
Özel bir rol yalnızca genel sertifika imzalama isteği işlemleri için kullanılıyorsa, yeni izni eklemeniz gerekmez.
Azure Hizmet Durumu bildiriminizdeki veya rol envanterinizdeki rol kimliklerini gözden geçirin ve her rolün nasıl kullanıldığını belirleyin. Etkilenen her rolün mevcut sertifika imzalama isteğini ve API bulma izinlerini koruyun.
Gerekli DataAction'ı ekleyin
Tümleştirmeniz tarafından kullanılan kaynak uç noktasına karşılık gelen DataAction'ı ekleyin:
| Kaynak uç noktası | Gerekli DataAction |
|---|---|
| Yönetilen küme | Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action |
| Fleet hub | Microsoft.ContainerService/fleets/certificates.k8s.io/certificatesigningrequests/nodeclient/action |
| Filo üyesi | Microsoft.ContainerService/fleets/members/certificates.k8s.io/certificatesigningrequests/nodeclient/action |
| AI Manager | Microsoft.ContainerService/aiManagers/certificates.k8s.io/certificatesigningrequests/nodeclient/action |
Örneğin, yönetilen küme uç noktası üzerinden dış düğüm önyüklemesi için kullanılan özel rol aşağıdaki izinleri içerir:
{
"DataActions": [
"Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
"Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
"Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
"Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
"Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
"Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
]
}
Fleet hub, Fleet üyesi veya AI Manager erişimi için önceki tablodan ilgili kaynak yolunu kullanın.
Etkilenen rolü güncelleştirmek için:
- Geçerli rol tanımını alın.
- Rolün
certificatesigningrequests/nodeclient/actionözelliğine uygunDataActionsizni ekleyin. - Tüm mevcut sertifika imzalama isteği ve API bulma izinlerinin değişmediğini onaylayın.
- Özel rol tanımını güncelleştirin.
- Azure RBAC güncelleştirmesinin yayılması için zaman tanıyın.
Rol güncellemesini doğrulayın
Etkilenen bir özel rolü güncelleştirdikten sonra:
- Rol tanımını alın ve ilgili
certificatesigningrequests/nodeclient/actioniznininDataActionsiçinde göründüğünü onaylayın. - Tüm mevcut sertifika imzalama isteği ve API bulma izinlerinin değişmediğini onaylayın.
- Test ortamında uçtan uca bir dış düğüm önyükleme testi gerçekleştirin ve düğümün
Readydurumuna ulaştığını onaylayın. - Mevcut tümleştirme için kubelet istemci sertifikasının normal doğrulama işleminiz aracılığıyla başarıyla yenilenebildiğini doğrulayın.
Uçtan uca dış düğüm önyükleme testi için yaklaşık bir saat izin verin. Gereken toplam süre, kuruluşunuzun değişiklik yönetimi sürecine ve güncelleştirilen rol sayısına bağlı olarak değişebilir.