Konfigurera externa identitetsprovidrar med AKS-strukturerad autentisering (förhandsversion)

Konfigurera GitHub Actions OIDC-autentisering

1. Kontrollera att dina GitHub Actions arbetsflöden har nödvändiga behörigheter.

2. Konfigurera behörigheten id-token: write i arbetsflödesfilerna. Som exempel:

   permissions:
     id-token: write
     contents: read
   

3. Konfigurera lämpliga inställningar för lagringsplats och organisation för OIDC-tokenåtkomst. Konfigurera OIDC-inställningar för lagringsplats och organisationens säkerhetsprinciper för tokenanvändning.

Konfigurera Google Identity OAuth 2.0-autentisering

1. Gå till Google Cloud Console.
2. Skapa eller välj ett projekt.
3. Skapa OAuth 2.0-autentiseringsuppgifter.
4. Observera klient-ID och klienthemlighet för senare användning.

Skapa JWT-autentiseringskonfiguration för GitHub Actions OIDC

• Skapa en fil med namnet jwt-config.json med följande konfiguration:

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Skapa JWT-autentiseringskonfiguration för Google Identity

• Skapa en fil med namnet jwt-config.json med följande konfiguration:

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

Konfigurera GitHub Actions OIDC för autentisering

1. Skapa miljövariabler och ställ in följande nödvändiga hemligheter för repo i ditt GitHub-repo:

   • AKS_SERVER_URL: URL:en för AKS-klustrets API-server.
   • AKS_CA_DATA: Base64-kodade certifikatutfärdardata för ditt AKS-kluster.

2. Skapa ett arbetsflöde som hämtar en OIDC-token och använder den för att autentisera med ditt AKS-kluster. Följande exempelarbetsflöde hämtar alla poddar som körs i klustret:

   Anmärkning

   Målgruppsvärdet my-api ska matcha målgruppen som konfigurerats i JWT-autentiseringskonfigurationen.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

Hämta klusterinformation för JWT-autentiseringskonfiguration

1. Hämta API-server-URL:en för klustret med hjälp av az aks show kommandot .

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. Hämta base64-kodade certifikatutfärdardata för klustret med hjälp av az aks get-credentials kommandot .

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

Konfigurera Google Identity OAuth 2.0 för autentisering

Du kan konfigurera Google Identity-autentisering med hjälp av plugin-programmet kubelogin eller genom att direkt använda en statisk token.

1. Utlös arbetsflödet antingen genom att pusha till huvudgrenen eller manuellt starta det från fliken Åtgärder i ditt arkiv.

2. Övervaka arbetsflödeskörningen på fliken Åtgärder för att kontrollera att autentiseringen fungerar.

   Förväntade utdata vid den första inställningen innan konfiguration av Role-Based Access Control (RBAC):

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   Det här felet anger lyckad autentisering men brist på auktorisering.

• Testa autentiseringen genom att använda kommandot kubectl get nodes med flaggan --user för att ange den användarkontext du skapade för Google Identity-autentisering. Som exempel:

  kubectl get nodes --user external-user
  

  Förväntade utdata vid den första inställningen innan konfiguration av Role-Based Access Control (RBAC):

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  Det här felet anger lyckad autentisering men brist på auktorisering.

1. Skapa en fil med namnet rbac-config.yaml för att konfigurera RBAC-bindningar för externa användare. Som exempel:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Använd RBAC-konfigurationen kubectl apply med kommandot :

   kubectl apply -f rbac-config.yaml
   

1. Skapa en fil med namnet rbac-config.yaml för att konfigurera RBAC-bindningar för externa användare. Som exempel:

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. Använd RBAC-konfigurationen kubectl apply med kommandot :

   kubectl apply -f rbac-config.yaml