AKS 構造化認証を使用して外部 ID プロバイダーを構成する (プレビュー)

GitHub Actions の OIDC 認証を設定する

1. GitHub Actions ワークフローに必要なアクセス許可があることを確認します。

2. ワークフロー ファイルの id-token: write アクセス許可を構成します。 例えば次が挙げられます。

   permissions:
     id-token: write
     contents: read
   

3. OIDC トークン アクセス用の適切なリポジトリと組織の設定を設定します。 トークンを使用するための リポジトリ OIDC 設定 と組織のセキュリティ ポリシーを構成します。

Google Identity OAuth 2.0 認証を設定する

1. Google Cloud コンソールに移動します。
2. プロジェクトを作成または選択します。
3. OAuth 2.0 資格情報を作成します。
4. 後で使用するために、クライアント ID とクライアント シークレットをメモします。

GITHUB ACTIONS OIDC の JWT 認証子構成を作成する

• 次の構成で jwt-config.json という名前のファイルを作成します。

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Google ID の JWT 認証子構成を作成する

• 次の構成で jwt-config.json という名前のファイルを作成します。

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

認証用GitHub Actions OIDC を設定する

1. GitHub リポジトリに次の必須リポジトリ シークレットの環境変数を作成し、設定します。

   • AKS_SERVER_URL: AKS クラスターの API サーバー URL。
   • AKS_CA_DATA: AKS クラスターの Base64 でエンコードされた証明機関データ。

2. OIDC トークンを取得し、それを使用して AKS クラスターで認証するワークフローを作成します。 次のワークフロー例では、クラスターで実行されているすべてのポッドを取得します。

   注

   my-api対象ユーザーの値は、JWT 認証子の構成で構成されている対象ユーザーと一致する必要があります。

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

JWT 認証システム構成のクラスター情報を取得する

1. az aks show コマンドを使用して、クラスターの API サーバー URL を取得します。

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. az aks get-credentials コマンドを使用して、クラスターの base64 でエンコードされた証明機関データを取得します。

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

認証用に Google Identity OAuth 2.0 を設定する

Google ID 認証は、 kubelogin プラグインを使用するか、静的トークンを直接使用して設定できます。

1. メイン ブランチにプッシュするか、リポジトリの [アクション] タブから手動でトリガーして、ワークフローをトリガーします。

2. [アクション] タブでワークフローの実行を監視し、認証が機能していることを確認します。

   Role-Based Access Control (RBAC) 構成前の初回セットアップで予想される出力:

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   このエラーは、認証が成功したが承認されていないことを示します。

• kubectl get nodes フラグを指定して --user コマンドを使用して認証をテストし、Google ID 認証用に作成したユーザー コンテキストを指定します。 例えば次が挙げられます。

  kubectl get nodes --user external-user
  

  Role-Based Access Control (RBAC) 構成前の初回セットアップで予想される出力:

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  このエラーは、認証が成功したが承認されていないことを示します。

1. rbac-config.yamlという名前のファイルを作成して、外部ユーザーの RBAC バインドを構成します。 例えば次が挙げられます。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. kubectl apply コマンドを使用して RBAC 構成を適用します。

   kubectl apply -f rbac-config.yaml
   

1. rbac-config.yamlという名前のファイルを作成して、外部ユーザーの RBAC バインドを構成します。 例えば次が挙げられます。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. kubectl apply コマンドを使用して RBAC 構成を適用します。

   kubectl apply -f rbac-config.yaml