Konfigurieren externer Identitätsanbieter mit strukturierter AKS-Authentifizierung (Vorschau)

Einrichtung der GitHub Actions OIDC-Authentifizierung

1. Stellen Sie sicher, dass Ihre GitHub Actions Workflows über die erforderlichen Berechtigungen verfügen.

2. Konfigurieren Sie die id-token: write Berechtigung in Ihren Workflowdateien. Beispiel:

   permissions:
     id-token: write
     contents: read
   

3. Richten Sie geeignete Repository- und Organisationseinstellungen für den OIDC-Tokenzugriff ein. Konfigurieren Sie Repository-OIDC-Einstellungen und Organisationssicherheitsrichtlinien für die Tokenverwendung.

Einrichten der Google Identity OAuth 2.0-Authentifizierung

1. Navigieren Sie zur Google Cloud Console.
2. Erstellen oder Auswählen eines Projekts.
3. Erstellen Sie OAuth 2.0-Anmeldeinformationen.
4. Notieren Sie sich Ihre Client-ID und den geheimen Clientschlüssel für die spätere Verwendung.

Erstellen der JWT-Authentifikatorkonfiguration für GitHub Actions OIDC

• Erstellen Sie eine Datei jwt-config.json mit der folgenden Konfiguration:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Erstellen der JWT-Authentifikatorkonfiguration für Google Identity

• Erstellen Sie eine Datei jwt-config.json mit der folgenden Konfiguration:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Einrichten von GitHub Actions OIDC für die Authentifizierung

1. Erstellen Sie Umgebungsvariablen, und legen Sie die folgenden erforderlichen Repositoryschlüssel in Ihrem GitHub Repository fest:

   • AKS_SERVER_URL: Die API-Server-URL Ihres AKS-Clusters.
   • AKS_CA_DATA: Base64-codierte Zertifizierungsstellendaten für Ihren AKS-Cluster.

2. Erstellen Sie einen Workflow, der ein OIDC-Token abruft, und verwendet ihn zum Authentifizieren mit Ihrem AKS-Cluster. Der folgende Beispiel-Workflow holt alle Pods, die auf dem Cluster ausgeführt werden:

   Hinweis

   Der Benutzergruppenwert my-api sollte mit der in Ihrer JWT-Authentifikatorkonfiguration konfigurierten Zielgruppe übereinstimmen.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Abrufen von Clusterinformationen für die JWT-Authentifikatorkonfiguration

1. Rufen Sie die API-Server-URL für Ihren Cluster mithilfe des az aks show Befehls ab.

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Rufen Sie die base64-codierten Zertifizierungsstellendaten für Ihren Cluster mithilfe des az aks get-credentials Befehls ab.

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Einrichten von Google Identity OAuth 2.0 für die Authentifizierung

Sie können die Google Identity-Authentifizierung entweder über das kubelogin Plug-In oder über ein statisches Token einrichten.

1. Triggern Sie den Workflow entweder durch Pushen auf den Main Branch oder manuelles Triggern über die Registerkarte Aktionen in Ihrem Repository.

2. Überwachen Sie die Workflowausführung auf der Registerkarte "Aktionen", um zu überprüfen, ob die Authentifizierung funktioniert.

   Erwartete Ausgabe für die Erstkonfiguration vor der Konfiguration der rollenbasierten Zugriffssteuerung (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Dieser Fehler zeigt eine erfolgreiche Authentifizierung an, aber keine Autorisierung.

• Testen Sie die Authentifizierung mithilfe des kubectl get nodes Befehls mit der --user Kennzeichnung, um den Benutzerkontext anzugeben, den Sie für die Google Identity-Authentifizierung erstellt haben. Beispiel:

  kubectl get nodes --user external-user
  

  Erwartete Ausgabe für die Erstkonfiguration vor der Konfiguration der rollenbasierten Zugriffssteuerung (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Dieser Fehler zeigt eine erfolgreiche Authentifizierung an, aber keine Autorisierung.

1. Erstellen Sie eine Datei namens rbac-config.yaml zum Konfigurieren von RBAC-Bindungen für externe Benutzer. Beispiel:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Wenden Sie die RBAC-Konfiguration mithilfe des kubectl apply Befehls an:

   kubectl apply -f rbac-config.yaml
   

1. Erstellen Sie eine Datei namens rbac-config.yaml zum Konfigurieren von RBAC-Bindungen für externe Benutzer. Beispiel:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Wenden Sie die RBAC-Konfiguration mithilfe des kubectl apply Befehls an:

   kubectl apply -f rbac-config.yaml