在 Azure Kubernetes Service (AKS) 中使用用户分配的托管标识

• 现有的 Azure 资源组。 如果您没有一个账户，可以使用az group create命令创建一个。

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• 在本地安装 Terraform。 有关安装说明，请参阅 安装 Terraform。

创建用户分配的托管标识

如果你没有用户分配的托管标识资源，请使用 az identity create 命令创建一个。

az identity create \
    --name <identity-name> \
    --resource-group <resource-group-name>

输出应与下面的示例输出类似：

{                                  
    "clientId": "<client-id>",
    "clientSecretUrl": "<clientSecretUrl>",
    "id": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
    "location": "<location>",
    "name": "<identity-name>",
    "principalId": "<principal-id>",
    "resourceGroup": "<resource-group-name>",
    "tags": {},
    "tenantId": "<tenant-id>",
    "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

获取用户分配的托管标识的主体 ID

使用 az identity show 命令获取用户分配的托管身份的主体 ID。

CLIENT_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query principalId \
    --output tsv)

获取用户分配的托管标识的资源 ID

使用 az identity show 命令获取用户定义的托管身份的资源 ID。

RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query id \
    --output tsv)

在新 AKS 群集上启用用户分配的托管标识

使用 az aks create 命令创建具有用户分配托管标识的 AKS 群集，并将 --assign-identity 参数设置为 用户分配的托管标识的资源 ID。

az aks create \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --network-plugin azure \
    --vnet-subnet-id <vnet-subnet-id> \
    --dns-service-ip 10.2.0.10 \
    --service-cidr 10.2.0.0/24 \
    --assign-identity $RESOURCE_ID \
    --generate-ssh-keys

更新现有群集以使用用户分配的托管标识

更新现有群集以使用用户分配的托管标识，通过 az aks update 命令并将 --assign-identity 参数设置为 用户分配的托管标识的资源 ID。

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

成功更新群集以使用用户分配的托管标识后，输出应如以下示例所示：

...
    "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
        }
    }
    },
...

更新群集以使用用户分配的托管标识而不是服务主体后，控制平面和 Pod 在访问 Azure 中的其他服务时会使用用户分配的托管标识进行授权。 Kubelet 继续使用服务主体，直到您升级节点池。 节点池升级会导致 AKS 群集停机，因为节点池中的节点被封锁、清空并重新映像。 可以在您的节点上使用命令将其更新为用户分配的托管身份。

az aks nodepool upgrade \
  --resource-group <resource-group-name> \
  --cluster-name <aks-cluster-name> \
  --name <node-pool-name> \
  --node-image-only

将 Azure RBAC 角色分配给用户分配的托管标识

使用 az role assignment create 命令为用户分配的托管标识添加角色分配。 以下示例将“密钥保管库机密用户”角色分配给用户分配的托管标识，以授予其访问密钥保管库中的机密的权限。 角色的分配范围限定于密钥保管库资源。

az role assignment create \
    --assignee <client-id> \
    --role "Key Vault Secrets User" \
    --scope "<key-vault-resource-id>"

创建 Terraform 配置文件

Terraform 配置文件定义 Terraform 创建和管理的基础结构。

1. 创建名为 main.tf 的文件，并添加以下代码以定义 Terraform 版本并指定Azure提供程序：

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. 添加以下代码到 main.tf 来创建 Azure 资源组。 根据需要随时更改资源组的名称和位置。

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "chinanorth3"
   }
   

使用 Terraform 创建具有用户分配的托管标识的 AKS 群集

要创建用户分配的托管标识和使用该标识的 AKS 群集，请在 main.tf 中添加以下代码：

resource "azurerm_user_assigned_identity" "uai" {
 name                = "aks-user-identity"
 resource_group_name = azurerm_resource_group.example.name
 location            = azurerm_resource_group.example.location
}
resource "azurerm_kubernetes_cluster" "user_assigned" {
 name                = "aks-user"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "aksuser"
 identity {
   type         = "UserAssigned"
   identity_ids = [azurerm_user_assigned_identity.uai.id]
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

使用 Terraform 为用户分配的托管标识添加角色分配

添加以下代码，为 main.tf 用户分配的托管标识创建角色分配。 此示例将 Key Vault 机密用户 角色分配给用户分配的托管标识，以授予它访问密钥保管库中的机密的权限。 角色的分配范围限定于密钥保管库资源。

resource "azurerm_role_assignment" "user_assigned_key_vault_secrets_user" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Key Vault Secrets User"
 principal_id         = azurerm_user_assigned_identity.uai.principal_id
}

初始化 Terraform

使用main.tf命令在包含terraform init文件的目录中初始化 Terraform。 此命令下载用于通过 Terraform 管理 Azure 资源所需的 Azure 提供程序。

terraform init

创建 Terraform 执行计划

使用 terraform plan 命令创建 Terraform 执行计划。 此命令显示 Terraform 将在 Azure 订阅中创建或修改的资源。

terraform plan

应用 Terraform 配置

查看并确认执行计划后，使用 terraform apply 命令应用 Terraform 配置。 此命令创建或修改 Azure 订阅中 main.tf 文件中定义的资源。

terraform apply

验证 Terraform 部署

应用 Terraform 配置后，可以使用 [az aks show][az-aks-show] 命令，并结合 --query 参数来验证部署，以筛选输出并显示标识信息。 例如：

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv