使用 Azure Kubernetes 服务 (AKS) 的服务主体

• 需要 Azure CLI 2.0.59 或更高版本。 使用 az --version 命令查找版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。

• 如果使用 Azure PowerShell，则需要 Azure PowerShell 5.0.0 或更高版本。 使用 Get-InstalledModule -Name Az cmdlet 来查找版本。 如果需要安装或升级，请参阅安装 Azure Az PowerShell 模块。

1. 使用“az ad sp create-for-rbac”命令创建服务主体。

   # Set environment variable
   SERVICE_PRINCIPAL_NAME=<your-service-principal-name>
   
   # Create the service principal
   az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME
   

   输出应类似于以下示例输出：

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "myAKSClusterServicePrincipal",
     "name": "http://myAKSClusterServicePrincipal",
     "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. 复制创建 AKS 群集时要使用的输出的值appIdpassword。

1. 使用“New-AzADServicePrincipal”命令创建服务主体。

   # Set environment variable
   $SpName = <your-service-principal-name>
   
   # Create the service principal
   New-AzADServicePrincipal -DisplayName $SpName -OutVariable sp
   

   输出应类似于以下示例输出：

   Secret                : System.Security.SecureString
   ServicePrincipalNames : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, http://myAKSClusterServicePrincipal}
   ApplicationId         : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   ObjectType            : ServicePrincipal
   DisplayName           : myAKSClusterServicePrincipal
   Id                    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   Type                  :
   

   这些值存储在创建 AKS 群集时使用的变量中。

2. 使用以下命令，解密存储在“机密”安全字符串中的值。

   $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($sp.Secret)
   [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR)
   

• 使用az aks create命令，通过设置--service-principal参数和--client-secret参数为appId和password值，创建具有现有服务主体的 AKS 群集。

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  APP_ID=<app-id>
  CLIENT_SECRET=<password-value>
  
  # Create the AKS cluster
  az aks create \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --service-principal $APP_ID \
      --client-secret $CLIENT_SECRET \
      --generate-ssh-keys
  

1. 使用以下命令将服务主体 ApplicationId 和 Secret 转换为“PSCredential”对象。

   $Cred = New-Object -TypeName System.Management.Automation.PSCredential ($sp.ApplicationId, $sp.Secret)
   

2. 使用 New-AzAksCluster cmdlet 创建具有现有服务主体的 AKS 群集，并使用 ServicePrincipalIdAndSecret 对象指定参数作为其值。

   # Set environment variables
   $ResourceGroupName = <your-resource-group-name>
   $ClusterName = <your-aks-cluster-name>
   
   # Create the AKS cluster
   New-AzAksCluster -ResourceGroupName $ResourceGroupName -Name $ClusterName -ServicePrincipalIdAndSecret $Cred
   

• 使用 az role assignment create 命令创建角色分配。 指定 --assignee 参数的服务主体应用 ID 的值和 --scope 参数的角色分配范围。 以下示例将访问密钥保管库中机密的权限授予服务主体：

  az role assignment create \
      --assignee <app-id> \
      --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" \
      --role "Key Vault Secrets User"
  

• 使用 New-AzRoleAssignment cmdlet 创建角色分配。 指定 -ApplicationId 参数的服务主体应用 ID 的值和 -Scope 参数的角色分配范围。 以下示例将访问密钥保管库中机密的权限授予服务主体：

  New-AzRoleAssignment -ApplicationId <app-id> `
      -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" `
      -RoleDefinitionName "Key Vault Secrets User"
  

• 查询服务主体的客户端 ID（servicePrincipalProfile.clientId），然后使用带有az ad sp delete参数的--id命令删除该服务主体。 [az aks show][az-aks-show] 命令检索指定 AKS 群集的客户端 ID。

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  
  # Delete the service principal
  az ad sp delete --id $(az aks show \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --query servicePrincipalProfile.clientId \
      --output tsv)
  

• 执行查询以获取服务主体客户端 ID（ServicePrincipalProfile.ClientId），然后使用 Remove-AzADServicePrincipal cmdlet 和 -ApplicationId 参数删除服务主体。 [Get-AzAksCluster][get-azakscluster] cmdlet 检索指定 AKS 群集的客户端 ID。

  # Set environment variables
  $ResourceGroupName = <your-resource-group-name>
  $ClusterName = <your-aks-cluster-name>
  $ClientId = (Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster ).ServicePrincipalProfile.ClientId
  
  # Delete the service principal
  Remove-AzADServicePrincipal -ApplicationId $ClientId
  

Azure CLI 会缓存 AKS 群集的服务主体凭据。

Azure PowerShell 会缓存 AKS 群集的服务主体凭据。

可以结合使用 az ad app credential list 命令与 "[].endDateTime" 查询，检查服务主体凭据的到期日期。 输出将显示凭据的 endDateTime。

az ad app credential list \
    --id <app-id> \
    --query "[].endDateTime" \
    --output tsv

• 使用 Get-AzADAppCredential cmdlet 检查服务主体凭据的到期日期。 输出将显示凭据的 EndDate。

Get-AzADAppCredential -ApplicationId <app-id>