Configuración de proveedores de identidades externos con autenticación estructurada de AKS (versión preliminar)

Configuración de autenticación OIDC en GitHub Actions

1. Asegúrese de que los flujos de trabajo de GitHub Actions tienen los permisos necesarios.

2. Configura el id-token: write permiso en tus archivos de flujo de trabajo. Por ejemplo:

   permissions:
     id-token: write
     contents: read
   

3. Configure la configuración adecuada del repositorio y la organización para el acceso a tokens de OIDC. Configure la configuración de OIDC del repositorio y las directivas de seguridad de la organización para el uso de tokens.

Configuración de la autenticación de OAuth 2.0 de Google Identity

1. Vaya a google Cloud Console.
2. Cree o seleccione un proyecto.
3. Cree credenciales de OAuth 2.0.
4. Anote el identificador de cliente y el secreto de cliente para su uso posterior.

Creación de la configuración del autenticador JWT para GitHub Actions OIDC

• Cree un archivo denominado jwt-config.json con la siguiente configuración:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Creación de la configuración del autenticador JWT para Google Identity

• Cree un archivo denominado jwt-config.json con la siguiente configuración:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Configuración de GitHub Actions OIDC para la autenticación

1. Cree variables de entorno para y establezca los siguientes secretos de repositorio necesarios en el repositorio de GitHub:

   • AKS_SERVER_URL: dirección URL del servidor de API del clúster de AKS.
   • AKS_CA_DATA: datos de entidad de certificación codificados en Base64 para el clúster de AKS.

2. Cree un flujo de trabajo que obtenga un token de OIDC y lo use para autenticarse con el clúster de AKS. El siguiente flujo de trabajo de ejemplo obtiene todos los pods que se ejecutan en el clúster:

   Nota:

   El valor my-api de audiencia debe coincidir con la audiencia configurada en la configuración del autenticador JWT.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Obtención de información del clúster para la configuración del autenticador JWT

1. Obtenga la dirección URL del servidor de API para el clúster mediante el az aks show comando .

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Obtenga los datos de la entidad de certificación codificada en base64 para el clúster mediante el az aks get-credentials comando .

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Configuración de Google Identity OAuth 2.0 para la autenticación

Puede configurar la autenticación de Google Identity mediante el kubelogin complemento o directamente mediante un token estático.

1. Desencadene el flujo de trabajo mediante la inserción en la rama principal o desencadénelo manualmente desde la pestaña Acciones del repositorio.

2. Supervise la ejecución del flujo de trabajo en la pestaña Acciones para comprobar que la autenticación funciona.

   Salida esperada para la configuración inicial antes de la configuración del Control de Acceso Basado en Rol (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Este error indica la autenticación correcta pero la falta de autorización.

• Pruebe la autenticación utilizando el comando kubectl get nodes con la bandera --user para especificar el contexto de usuario que creó para la autenticación de Google Identity. Por ejemplo:

  kubectl get nodes --user external-user
  

  Salida esperada para la configuración inicial antes de la configuración del Control de Acceso Basado en Rol (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Este error indica la autenticación correcta pero la falta de autorización.

1. Cree un archivo denominado rbac-config.yaml para configurar enlaces RBAC para usuarios externos. Por ejemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique la configuración de RBAC mediante el kubectl apply comando :

   kubectl apply -f rbac-config.yaml
   

1. Cree un archivo denominado rbac-config.yaml para configurar enlaces RBAC para usuarios externos. Por ejemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique la configuración de RBAC mediante el kubectl apply comando :

   kubectl apply -f rbac-config.yaml