Externe id-providers configureren met gestructureerde AKS-verificatie (preview)

GitHub Actions OIDC-authenticatie instellen

1. Zorg ervoor dat uw GitHub Actions werkstromen over de benodigde machtigingen beschikken.

2. Configureer de id-token: write machtiging in uw workflow-bestanden. Voorbeeld:

   permissions:
     id-token: write
     contents: read
   

3. Stel de juiste opslagplaats- en organisatie-instellingen in voor OIDC-tokentoegang. Configureer de OIDC-instellingen van de opslagplaats en het beveiligingsbeleid van de organisatie voor tokengebruik.

Google Identity OAuth 2.0-verificatie instellen

1. Navigeer naar de Google Cloud Console.
2. Een project maken of selecteren.
3. OAuth 2.0-referenties maken.
4. Noteer uw client-id en clientgeheim voor later gebruik.

JWT Authenticator-configuratie maken voor GitHub Actions OIDC

• Maak een bestand met de naam jwt-config.json met de volgende configuratie:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

JWT Authenticator-configuratie maken voor Google Identity

• Maak een bestand met de naam jwt-config.json met de volgende configuratie:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

GitHub Actions OIDC instellen voor verificatie

1. Maak omgevingsvariabelen voor en stel de volgende vereiste opslagplaatsgeheimen in uw GitHub-opslagplaats in:

   • AKS_SERVER_URL: de API-server-URL van uw AKS-cluster.
   • AKS_CA_DATA: Base64-gecodeerde certificeringsinstantiegegevens voor uw AKS-cluster.

2. Maak een werkstroom die een OIDC-token verkrijgt en deze gebruikt om te verifiëren bij uw AKS-cluster. Met de volgende voorbeeldwerkstroom worden alle pods op het cluster uitgevoerd:

   Opmerking

   De doelgroepwaarde my-api moet overeenkomen met de doelgroep die is geconfigureerd in de JWT Authenticator-configuratie.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Clustergegevens ophalen voor JWT Authenticator-configuratie

1. Haal de URL van de API-server voor uw cluster op met behulp van de az aks show opdracht.

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Haal de base64-gecodeerde certificeringsinstantiegegevens voor uw cluster op met behulp van de az aks get-credentials opdracht.

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Google Identity OAuth 2.0 instellen voor verificatie

U kunt Google Identity Authentication instellen met behulp van de kubelogin invoegtoepassing of rechtstreeks met behulp van een statisch token.

1. Activeer de werkstroom door naar de hoofdbranch te pushen of handmatig te activeren vanaf het tabblad Acties in je repository.

2. Controleer de uitvoering van de werkstroom op het tabblad Acties om te controleren of de verificatie werkt.

   Verwachte uitvoer voor de eerste installatie vóór Role-Based Access Control (RBAC)-configuratie:

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Deze fout geeft aan dat de verificatie is geslaagd, maar dat er geen autorisatie is.

• Test de verificatie met behulp van de kubectl get nodes opdracht met de --user vlag om de gebruikerscontext op te geven die u hebt gemaakt voor Google Identity-verificatie. Voorbeeld:

  kubectl get nodes --user external-user
  

  Verwachte uitvoer voor de eerste installatie vóór Role-Based Access Control (RBAC)-configuratie:

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Deze fout geeft aan dat de verificatie is geslaagd, maar dat er geen autorisatie is.

1. Maak een bestand met de naam rbac-config.yaml RBAC-bindingen voor externe gebruikers te configureren. Voorbeeld:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Pas de RBAC-configuratie toe met behulp van de kubectl apply opdracht:

   kubectl apply -f rbac-config.yaml
   

1. Maak een bestand met de naam rbac-config.yaml RBAC-bindingen voor externe gebruikers te configureren. Voorbeeld:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Pas de RBAC-configuratie toe met behulp van de kubectl apply opdracht:

   kubectl apply -f rbac-config.yaml