Configurar provedores de identidade externos com autenticação estruturada do AKS (versão prévia)

Configurar autenticação OIDC do GitHub Actions

1. Verifique se os fluxos de trabalho GitHub Actions têm as permissões necessárias.

2. Configure a permissão de id-token: write nos seus arquivos de workflow. Por exemplo:

   permissions:
     id-token: write
     contents: read
   

3. Configure as configurações apropriadas do repositório e da organização para acesso ao token OIDC. Defina as configurações do OIDC do repositório e as políticas de segurança da organização para uso de token.

Configurar a autenticação do Google Identity OAuth 2.0

1. Navegue até o Console do Google Cloud.
2. Crie ou selecione um projeto.
3. Crie credenciais do OAuth 2.0.
4. Observe a ID do cliente e o segredo do cliente para uso posterior.

Criar configuração do autenticador JWT para GitHub Actions OIDC

• Crie um arquivo nomeado jwt-config.json com a seguinte configuração:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Criar configuração do autenticador JWT para o Google Identity

• Crie um arquivo nomeado jwt-config.json com a seguinte configuração:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Configurar GitHub Actions OIDC para autenticação

1. Crie variáveis de ambiente para e defina os seguintes segredos de repositório necessários no repositório GitHub:

   • AKS_SERVER_URL: URL do servidor API do cluster AKS.
   • AKS_CA_DATA: dados de autoridade de certificação codificados em Base64 para o cluster do AKS.

2. Crie um fluxo de trabalho que obtenha um token OIDC e o use para autenticar com o cluster do AKS. O seguinte exemplo de workflow coloca todos os pods em execução no cluster:

   Observação

   O valor my-api de audiência deve corresponder ao público-alvo configurado na configuração do autenticador JWT.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Obter informações de cluster para a configuração do autenticador JWT

1. Obtenha a URL do servidor de API para o cluster usando o az aks show comando.

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Obtenha os dados de autoridade de certificação codificados em base64 para o cluster usando o az aks get-credentials comando.

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Configurar o Google Identity OAuth 2.0 para autenticação

Você pode configurar a autenticação do Google Identity usando o kubelogin plug-in ou usando diretamente um token estático.

1. Inicie o workflow realizando um push para a ramificação principal ou acionando manualmente na aba Ações em seu repositório.

2. Monitore a execução do fluxo de trabalho na guia Ações para verificar se a autenticação está funcionando.

   Resultado esperado para a configuração inicial antes da configuração de Role-Based Access Control (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Esse erro indica autenticação bem-sucedida, mas falta de autorização.

• Teste a autenticação usando o comando kubectl get nodes com a opção --user para especificar o contexto de usuário que você criou para a autenticação do Google Identity. Por exemplo:

  kubectl get nodes --user external-user
  

  Resultado esperado para a configuração inicial antes da configuração de Role-Based Access Control (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Esse erro indica autenticação bem-sucedida, mas falta de autorização.

1. Crie um arquivo nomeado rbac-config.yaml para configurar associações RBAC para usuários externos. Por exemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique a configuração do RBAC usando o kubectl apply comando:

   kubectl apply -f rbac-config.yaml
   

1. Crie um arquivo nomeado rbac-config.yaml para configurar associações RBAC para usuários externos. Por exemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique a configuração do RBAC usando o kubectl apply comando:

   kubectl apply -f rbac-config.yaml