Configurare provider di identità esterni con l'autenticazione strutturata di AKS (anteprima)

Configurare l'autenticazione OIDC di GitHub-Actions

1. Assicurarsi che i flussi di lavoro GitHub Actions dispongano delle autorizzazioni necessarie.

2. Configurare l'autorizzazione id-token: write nei file del flusso di lavoro. Per esempio:

   permissions:
     id-token: write
     contents: read
   

3. Configurare le impostazioni appropriate del repository e dell'organizzazione per l'accesso al token OIDC. Configurare le impostazioni OIDC del repository e i criteri di sicurezza dell'organizzazione per l'utilizzo dei token.

Configurare l'autenticazione OAuth 2.0 di Google Identity

1. Accedere al Google Cloud Console.
2. Creare o selezionare un progetto.
3. Creare credenziali OAuth 2.0.
4. Prendere nota dell'ID client e del segreto client per un uso successivo.

Creare la configurazione dell'autenticatore JWT per GitHub Actions OIDC

• Creare un file denominato jwt-config.json con la configurazione seguente:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Creare la configurazione dell'autenticatore JWT per Google Identity

• Creare un file denominato jwt-config.json con la configurazione seguente:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Configurare GitHub Actions OIDC per l'autenticazione

1. Creare variabili di ambiente e impostare i segreti necessari del repository seguenti nel repository GitHub:

   • AKS_SERVER_URL: URL del server API del cluster AKS.
   • AKS_CA_DATA: dati dell'autorità di certificazione con codifica Base64 per il cluster AKS.

2. Creare un flusso di lavoro che ottiene un token OIDC e lo usa per l'autenticazione con il cluster AKS. Il flusso di lavoro di esempio seguente recupera tutti i pod in esecuzione nel cluster.

   Annotazioni

   Il valore my-api del gruppo di destinatari deve corrispondere al gruppo di destinatari configurato nella configurazione dell'autenticatore JWT.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Ottenere informazioni sul cluster per la configurazione dell'autenticatore JWT

1. Ottenere l'URL del server API per il cluster usando il az aks show comando .

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Ottenere i dati dell'autorità di certificazione con codifica Base64 per il cluster usando il az aks get-credentials comando .

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Configurare Google Identity OAuth 2.0 per l'autenticazione

È possibile configurare l'autenticazione di Google Identity usando il kubelogin plug-in o direttamente usando un token statico.

1. Attivare il flusso di lavoro eseguendo il push nel ramo principale o attivandolo manualmente dalla scheda Azioni nel repository.

2. Monitorare l'esecuzione del flusso di lavoro nella scheda Azioni per verificare che l'autenticazione funzioni.

   Output previsto per la prima installazione prima della configurazione Role-Based Access Control (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Questo errore indica l'autenticazione riuscita ma la mancanza di autorizzazione.

• Testare l'autenticazione usando il comando kubectl get nodes con il flag --user per specificare il contesto dell'utente che hai creato per l'autenticazione di Google Identity. Per esempio:

  kubectl get nodes --user external-user
  

  Output previsto per la prima installazione prima della configurazione Role-Based Access Control (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Questo errore indica l'autenticazione riuscita ma la mancanza di autorizzazione.

1. Creare un file denominato rbac-config.yaml per configurare le associazioni RBAC per gli utenti esterni. Per esempio:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Applicare la configurazione RBAC utilizzando il comando kubectl apply.

   kubectl apply -f rbac-config.yaml
   

1. Creare un file denominato rbac-config.yaml per configurare le associazioni RBAC per gli utenti esterni. Per esempio:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Applicare la configurazione RBAC utilizzando il comando kubectl apply.

   kubectl apply -f rbac-config.yaml