Usar uma identidade gerenciada atribuída pelo usuário no AKS (Serviço de Kubernetes do Azure)

• Um grupo de recursos Azure existente. Se você não tiver um, poderá criar um usando o az group create comando.

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• Terraform instalado localmente. Para obter instruções de instalação, consulte Instalar o Terraform.

Criar uma identidade gerenciada atribuída ao usuário

Se você ainda não tiver um recurso de identidade gerenciada atribuída pelo usuário, crie um usando o comando az identity create.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group-name>

Sua saída deve ser parecida com o seguinte exemplo de saída:

{                                  
    "clientId": "<client-id>",
    "clientSecretUrl": "<clientSecretUrl>",
    "id": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
    "location": "<location>",
    "name": "<identity-name>",
    "principalId": "<principal-id>",
    "resourceGroup": "<resource-group-name>",
    "tags": {},
    "tenantId": "<tenant-id>",
    "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

Obter a ID da entidade de segurança da identidade gerenciada atribuída pelo usuário

Obtenha a ID principal da identidade gerenciada atribuída pelo usuário usando o az identity show comando.

CLIENT_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query principalId \
    --output tsv)

Obter a ID do recurso da identidade gerenciada atribuída pelo usuário

Obtenha a ID do recurso da identidade gerenciada atribuída pelo usuário usando o comando az identity show.

RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query id \
    --output tsv)

Habilitar uma identidade gerenciada atribuída pelo usuário em um novo cluster do AKS

Crie um cluster do AKS com uma identidade gerenciada atribuída pelo usuário usando o comando az aks create e o parâmetro --assign-identity definido como a ID do recurso da identidade gerenciada atribuída pelo usuário.

az aks create \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --network-plugin azure \
    --vnet-subnet-id <vnet-subnet-id> \
    --dns-service-ip 10.2.0.10 \
    --service-cidr 10.2.0.0/24 \
    --assign-identity $RESOURCE_ID \
    --generate-ssh-keys

Atualizar um cluster existente para usar uma identidade gerenciada atribuída pelo usuário

Atualize um cluster existente para utilizar uma identidade gerenciada atribuída pelo usuário, utilizando o comando e configurando o parâmetro para a ID do recurso da identidade gerenciada atribuída pelo usuário .

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

A saída de uma atualização bem-sucedida do cluster para usar uma identidade gerenciada atribuída pelo usuário deve ser semelhante à seguinte saída de exemplo:

...
    "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
        }
    }
    },
...

Depois de atualizar o cluster para usar uma identidade gerenciada atribuída pelo usuário em vez de uma entidade de serviço, o plano de controle e os pods usam a identidade gerenciada atribuída pelo usuário para autorização ao acessar outros serviços no Azure. O kubelet continuará usando uma entidade de serviço até que você atualize também o pool de nós. Uma atualização do pool de nós causa tempo de inatividade para seu cluster do AKS, pois os nós nos pools de nós são isolados, esvaziados e imagem recriada. Você pode usar o comando em seus nós para atualizar para uma identidade gerenciada atribuída pelo usuário.

az aks nodepool upgrade \
  --resource-group <resource-group-name> \
  --cluster-name <aks-cluster-name> \
  --name <node-pool-name> \
  --node-image-only

Atribuir uma função RBAC do Azure a uma identidade gerenciada atribuída pelo usuário

Adicione uma atribuição de função para a identidade gerenciada atribuída pelo usuário usando o az role assignment create comando. O exemplo a seguir atribui a função Key Vault Secrets User à identidade gerenciada atribuída pelo usuário para conceder permissões para acessar segredos em um cofre de chaves. A atribuição de função tem como escopo o recurso do cofre de chaves.

az role assignment create \
    --assignee <client-id> \
    --role "Key Vault Secrets User" \
    --scope "<key-vault-resource-id>"

Criar o arquivo de configuração do Terraform

Os arquivos de configuração do Terraform definem a infraestrutura que o Terraform cria e gerencia.

1. Crie um arquivo chamado main.tf e adicione o seguinte código para definir a versão do Terraform e especificar o provedor de Azure:

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. Adicione o código a seguir para main.tf para criar um grupo de recursos Azure. Fique à vontade para alterar o nome e o local do grupo de recursos conforme necessário.

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "East US"
   }
   

Criar um cluster do AKS com uma identidade gerenciada atribuída pelo usuário usando o Terraform

Adicione o seguinte código em main.tf para criar uma identidade gerenciada atribuída pelo usuário e um cluster do AKS que usa a identidade.

resource "azurerm_user_assigned_identity" "uai" {
 name                = "aks-user-identity"
 resource_group_name = azurerm_resource_group.example.name
 location            = azurerm_resource_group.example.location
}
resource "azurerm_kubernetes_cluster" "user_assigned" {
 name                = "aks-user"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "aksuser"
 identity {
   type         = "UserAssigned"
   identity_ids = [azurerm_user_assigned_identity.uai.id]
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

Adicionar uma atribuição de função para uma identidade gerenciada atribuída pelo usuário usando o Terraform

Adicione o código a seguir em main.tf para criar uma atribuição de função para a identidade gerenciada atribuída ao usuário. Este exemplo atribui a função Key Vault Secrets User à identidade gerenciada atribuída a um usuário para conceder permissões para acessar segredos em um cofre de chaves. A atribuição de função tem como escopo o recurso do cofre de chaves.

resource "azurerm_role_assignment" "user_assigned_key_vault_secrets_user" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Key Vault Secrets User"
 principal_id         = azurerm_user_assigned_identity.uai.principal_id
}

Inicializar Terraform

Inicialize o Terraform no diretório que contém o main.tf arquivo usando o terraform init comando. Esse comando baixa o provedor de Azure necessário para gerenciar Azure recursos com o Terraform.

terraform init

Criar um plano de execução do Terraform

Crie um plano de execução do Terraform usando o comando terraform plan. Este comando mostra os recursos que o Terraform criará ou modificará em sua assinatura Azure.

terraform plan

Aplicar a configuração do Terraform

Depois de examinar e confirmar o plano de execução, aplique a configuração do Terraform usando o terraform apply comando. Esse comando cria ou modifica os recursos definidos em seu arquivo main.tf em sua assinatura Azure.

terraform apply

Verificar a implantação do Terraform

Depois de aplicar a configuração do Terraform, você pode verificar a implantação usando o comando [az aks show][az-aks-show] e o parâmetro --query para filtrar a saída e exibir as informações de identidade. Por exemplo:

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv