在 AKS 中将 Kubernetes RBAC 与 Microsoft Entra ID 配合使用

如果计划使用 Terraform 为本文配置 Kubernetes RBAC，则还需要：

• 已安装 Terraform 1.6.0 或更高版本。
• kubectl 已安装并配置为连接到 AKS 群集。
• 在 AKS 群集范围内创建Azure角色分配的权限，以及管理群集上的 Kubernetes 资源的权限。
• 两个现有的 Microsoft Entra 组，以及（可选）两个用于验证访问权限的现有 Microsoft Entra 测试用户。 如果还没有这些资源，请在Microsoft Entra ID中完成创建组，并在Microsoft Entra ID中创建用户，然后再继续操作。 但是，请跳过该部分中的 az role assignment create 命令，因为本文中的 Terraform 配置会为你创建角色分配。

查看 Terraform 代码

此示例使用两个 Terraform 配置，每个配置都位于其自己的目录中，其状态为：

• 该 prequisite 配置会创建一个资源组和一个启用了 Microsoft Entra 集成及 Kubernetes RBAC 的 AKS 群集，该存储库自身的端到端测试会使用该群集，针对真实群集验证场景配置。 如果你已经有一个满足本文先决条件的 AKS 群集，请跳过此配置，改为在场景配置中使用你自己的资源组名称、群集名称和 Microsoft Entra 组对象 ID。
• 示例根目录中的方案配置将Azure Kubernetes 服务群集用户角色分配给群集范围内的 appdev 和 opssre 组。 它还会创建 dev 和 sre 两个 Kubernetes 命名空间，以及具有命名空间作用域的 Roles 和 RoleBindings，仅允许每个组访问各自的命名空间。

Terraform 使用Azure CLI登录上下文进行身份验证。 继续之前，请确保已使用 az login 登录，并已使用 az account set --subscription <subscription-id> 选择正确的订阅。

使用 Terraform 部署必备 AKS 群集

1. 创建命名 prequisite 目录并将其设为当前目录。

2. 创建名为 versions.tf 的文件并插入下列代码：

terraform {
  required_version = ">= 1.6.0"

  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
    random = {
      source  = "hashicorp/random"
      version = "~> 3.6"
    }
  }
}

provider "azurerm" {
  features {
    resource_group {
      prevent_deletion_if_contains_resources = false
    }
  }
}

1. 创建一个名为 variables.tf 文件的文件，并添加以下代码：

variable "location" {
  type        = string
  default     = "eastus"
  description = "Location of the resources."
}

variable "node_count" {
  type        = number
  default     = 1
  description = "Number of nodes in the default node pool of the AKS cluster."
}

1. 创建一个名为 main.tf 文件的文件，并添加以下代码：

data "azurerm_client_config" "current" {}

resource "random_string" "suffix" {
  length  = 6
  special = false
  upper   = false
}

resource "azurerm_resource_group" "rg" {
  location = var.location
  name     = "rg-101-aks-entra-k8s-rbac-${random_string.suffix.result}"
}

resource "azurerm_kubernetes_cluster" "aks" {
  location            = azurerm_resource_group.rg.location
  name                = "aks-101-entra-k8s-rbac-${random_string.suffix.result}"
  resource_group_name = azurerm_resource_group.rg.name
  dns_prefix          = "aks-${random_string.suffix.result}"
  # Kubernetes RBAC is required by the example, Azure RBAC for Kubernetes
  # Authorization must stay disabled.
  role_based_access_control_enabled = true

  default_node_pool {
    name       = "agentpool"
    node_count = var.node_count
    vm_size    = "Standard_D2s_v3"
  }

  identity {
    type = "SystemAssigned"
  }

  azure_active_directory_role_based_access_control {
    azure_rbac_enabled = false
    tenant_id          = data.azurerm_client_config.current.tenant_id
  }
}

1. 创建名为 outputs.tf 的文件并插入下列代码：

output "resource_group_name" {
  description = "Name of the resource group that contains the AKS cluster."
  value       = azurerm_resource_group.rg.name
}

output "aks_cluster_name" {
  description = "Name of the AKS cluster with Microsoft Entra integration and Kubernetes RBAC enabled."
  value       = azurerm_kubernetes_cluster.aks.name
}

output "appdev_group_object_id" {
  description = "Object ID of the existing test principal used for developer access."
  value       = data.azurerm_client_config.current.object_id
}

output "opssre_group_object_id" {
  description = "Object ID of the existing test principal used for SRE access."
  value       = azurerm_kubernetes_cluster.aks.identity[0].principal_id
}

1. 初始化、格式化和验证配置。

   terraform init
   terraform fmt
   terraform validate
   

2. 查看并应用配置。

   terraform plan -out main.tfplan
   terraform apply main.tfplan
   

3. 获取输出结果。 在下一部分中，将这些值用作方案配置的输入。

   terraform output -raw resource_group_name
   terraform output -raw aks_cluster_name
   terraform output -raw appdev_group_object_id
   terraform output -raw opssre_group_object_id
   

使用 Terraform 部署 Kubernetes RBAC

1. 创建新目录，与 prequisite当前目录分开并使其成为当前目录。 此配置有自己的 Terraform 状态，且不管理也不依赖于 prequisite 配置的状态。

2. 创建一个名为 main.tf 文件的文件，并添加以下代码：

terraform {
  required_version = ">= 1.6.0"

  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
    kubernetes = {
      source  = "hashicorp/kubernetes"
      version = "~> 2.30"
    }
  }
}

provider "azurerm" {
  features {}
}

variable "resource_group_name" {
  type        = string
  description = "Name of the resource group that contains the existing AKS cluster."
}

variable "aks_cluster_name" {
  type        = string
  description = "Name of the existing AKS cluster with Microsoft Entra integration and Kubernetes RBAC enabled."
}

variable "appdev_group_object_id" {
  type        = string
  description = "Object ID of an existing Microsoft Entra group used for developer access to the dev namespace."
}

variable "opssre_group_object_id" {
  type        = string
  description = "Object ID of an existing Microsoft Entra group used for SRE access to the sre namespace."
}

data "azurerm_kubernetes_cluster" "aks" {
  name                = var.aks_cluster_name
  resource_group_name = var.resource_group_name
}

provider "kubernetes" {
  host                   = data.azurerm_kubernetes_cluster.aks.kube_admin_config[0].host
  client_certificate     = base64decode(data.azurerm_kubernetes_cluster.aks.kube_admin_config[0].client_certificate)
  client_key             = base64decode(data.azurerm_kubernetes_cluster.aks.kube_admin_config[0].client_key)
  cluster_ca_certificate = base64decode(data.azurerm_kubernetes_cluster.aks.kube_admin_config[0].cluster_ca_certificate)
}

resource "azurerm_role_assignment" "appdev_cluster_user" {
  scope                = data.azurerm_kubernetes_cluster.aks.id
  role_definition_name = "Azure Kubernetes Service Cluster User Role"
  principal_id         = var.appdev_group_object_id
}

resource "azurerm_role_assignment" "opssre_cluster_user" {
  scope                = data.azurerm_kubernetes_cluster.aks.id
  role_definition_name = "Azure Kubernetes Service Cluster User Role"
  principal_id         = var.opssre_group_object_id
}

resource "kubernetes_namespace" "dev" {
  metadata {
    name = "dev"
  }
}

resource "kubernetes_namespace" "sre" {
  metadata {
    name = "sre"
  }
}

resource "kubernetes_role" "dev_full_access" {
  metadata {
    name      = "dev-user-full-access"
    namespace = kubernetes_namespace.dev.metadata[0].name
  }

  rule {
    api_groups = ["", "extensions", "apps"]
    resources  = ["*"]
    verbs      = ["*"]
  }

  rule {
    api_groups = ["batch"]
    resources  = ["jobs", "cronjobs"]
    verbs      = ["*"]
  }
}

resource "kubernetes_role" "sre_full_access" {
  metadata {
    name      = "sre-user-full-access"
    namespace = kubernetes_namespace.sre.metadata[0].name
  }

  rule {
    api_groups = ["", "extensions", "apps"]
    resources  = ["*"]
    verbs      = ["*"]
  }

  rule {
    api_groups = ["batch"]
    resources  = ["jobs", "cronjobs"]
    verbs      = ["*"]
  }
}

resource "kubernetes_role_binding" "dev_user_access" {
  metadata {
    name      = "dev-user-access"
    namespace = kubernetes_namespace.dev.metadata[0].name
  }

  role_ref {
    api_group = "rbac.authorization.k8s.io"
    kind      = "Role"
    name      = kubernetes_role.dev_full_access.metadata[0].name
  }

  subject {
    kind      = "Group"
    name      = var.appdev_group_object_id
    api_group = "rbac.authorization.k8s.io"
  }
}

resource "kubernetes_role_binding" "sre_user_access" {
  metadata {
    name      = "sre-user-access"
    namespace = kubernetes_namespace.sre.metadata[0].name
  }

  role_ref {
    api_group = "rbac.authorization.k8s.io"
    kind      = "Role"
    name      = kubernetes_role.sre_full_access.metadata[0].name
  }

  subject {
    kind      = "Group"
    name      = var.opssre_group_object_id
    api_group = "rbac.authorization.k8s.io"
  }
}

1. 创建一个名为 terraform.tfvars 的文件，并提供要配置的 AKS 群集的资源组名称和群集名称，以及 appdev 和 opssre 组的对象 ID。

   resource_group_name    = "<resource-group-name>"
   aks_cluster_name       = "<aks-cluster-name>"
   appdev_group_object_id = "<appdev-group-object-id>"
   opssre_group_object_id = "<opssre-group-object-id>"
   

2. 初始化、格式化和验证配置。

   terraform init
   terraform fmt
   terraform validate
   

3. 查看并应用配置。

   terraform plan -out main.tfplan
   terraform apply main.tfplan
   

   该配置会为这两个组、dev 和 sre Kubernetes 命名空间，以及命名空间作用域的 Role 和 RoleBinding 创建 Azure 角色分配；这些 Role 和 RoleBinding 分别向 appdev 组授予对 dev 的访问权限，并向 opssre 组授予对 sre 的访问权限。

验证命名空间访问

1. 使用 az aks get-credentials 命令获取群集管理员凭据。

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster --admin
   

2. 使用 kubectl get namespaces 命令验证这两个命名空间是否存在。

   kubectl get namespaces
   

   输出显示 开发 命名空间和 sre 命名空间，以及为群集创建的默认命名空间。

若要测试 appdev 和 opssre 组是否只能访问其分配的命名空间，请继续访问具有Microsoft Entra标识的 AKS 群集资源。

清理 Terraform 资源

1. 从方案配置目录中，删除它创建的 Azure 角色分配、命名空间、Role 和 RoleBinding。

   terraform destroy
   

2. 如果仅部署 prequisite AKS 群集以测试此示例，并且不再需要它，请在方案配置完成销毁其资源后将其从 prequisite 目录中删除。

   terraform destroy
   

获取管理员 kubeconfig 上下文并删除 dev 和 sre 命名空间。 此操作还会删除 Pod、角色和角色绑定。

az aks get-credentials --resource-group myResourceGroup --name myAKSCluster --admin

kubectl delete namespace dev
kubectl delete namespace sre

如果您使用 Terraform 创建了 dev 和 sre 命名空间、Roles 和 RoleBindings，请参阅 清理 Terraform 资源，而不要运行 kubectl delete namespace。