Configurar provedores de identidade externos com autenticação estruturada no AKS (versão preliminar)

Configurar autenticação OIDC do GitHub Actions

1. Garante que os teus fluxos de trabalho do GitHub Actions têm as permissões necessárias.

2. Configurar a permissão id-token: write nos ficheiros de fluxo de trabalho. Por exemplo:

   permissions:
     id-token: write
     contents: read
   

3. Configure as configurações apropriadas do repositório e da organização para acesso ao token OIDC. Configurar definições OIDC do repositório e políticas de segurança da organização para o uso de tokens.

Configurar autenticação Google Identity OAuth 2.0

1. Navegue até à Google Cloud Console.
2. Crie ou selecione um projeto.
3. Crie credenciais OAuth 2.0.
4. Anote o ID do cliente e o segredo do cliente para uso posterior.

Criar configuração de autenticador JWT para GitHub Actions OIDC

• Crie um arquivo nomeado jwt-config.json com a seguinte configuração:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Criar configuração de autenticador JWT para o Google Identity

• Crie um arquivo nomeado jwt-config.json com a seguinte configuração:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Configurar o GitHub Actions OIDC para autenticação

1. Crie variáveis de ambiente para e defina os seguintes segredos de repositório obrigatórios no seu repositório GitHub:

   • AKS_SERVER_URL: URL do servidor API do seu cluster AKS.
   • AKS_CA_DATA: Dados da autoridade de certificação codificados em Base64 para o seu cluster AKS.

2. Crie um fluxo de trabalho que obtenha um token OIDC e o use para autenticar com o seu cluster AKS. O seguinte exemplo de fluxo de trabalho faz com que todos os pods corram no cluster:

   Observação

   O valor my-api do público deve corresponder ao público configurado na configuração do autenticador JWT.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Obtenha informações do cluster para a configuração do autenticador JWT

1. Obtenha a URL do servidor API do seu cluster usando o az aks show comando.

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Obtenha os dados de autoridade certificadora codificados em base64 para o seu cluster usando o az aks get-credentials comando.

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Configurar o Google Identity OAuth 2.0 para autenticação

Pode configurar a autenticação do Google Identity usando o kubelogin plugin ou usando diretamente um token estático.

1. Desencadeia o fluxo de trabalho ou enviando para o ramo principal ou ativando-o manualmente a partir do separador Ações no teu repositório.

2. Monitore a execução do fluxo de trabalho na guia Ações para verificar se a autenticação está funcionando.

   Saída esperada para a configuração inicial antes da configuração do Role-Based Access Control (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Este erro indica autenticação bem-sucedida, mas falta de autorização.

• Teste a autenticação usando o kubectl get nodes comando com a --user flag para especificar o contexto de utilizador que criou para a autenticação do Google Identity. Por exemplo:

  kubectl get nodes --user external-user
  

  Saída esperada para a configuração inicial antes da configuração do Role-Based Access Control (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Este erro indica autenticação bem-sucedida, mas falta de autorização.

1. Crie um ficheiro nomeado rbac-config.yaml para configurar bindings RBAC para utilizadores externos. Por exemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique a configuração RBAC usando o kubectl apply comando:

   kubectl apply -f rbac-config.yaml
   

1. Crie um ficheiro nomeado rbac-config.yaml para configurar bindings RBAC para utilizadores externos. Por exemplo:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Aplique a configuração RBAC usando o kubectl apply comando:

   kubectl apply -f rbac-config.yaml