在 Azure Kubernetes 服务中使用系统分配的托管标识（AKS）

• 现有的 Azure 资源组。 如果您没有一个账户，可以使用az group create命令创建一个。

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• 在本地安装 Terraform。 有关安装说明，请参阅 安装 Terraform。

在新的 AKS 群集上启用系统分配的托管标识

创建新的 AKS 群集时，默认情况下会启用系统分配的托管标识。

使用 az aks create 命令创建 AKS 群集。

az aks create \
    --resource-group <resource-group-name> \
    --name <aks-cluster-name> \
    --generate-ssh-keys

更新现有群集以使用系统分配的托管标识

使用 az aks update 命令和 --enable-managed-identity 参数，将现有 AKS 群集从服务主体更新为系统分配的托管标识。

az aks update \
    --resource-group <resource-group-name> \
    --name <aks-cluster-name> \
    --enable-managed-identity

更新群集以使用系统分配的托管身份而不是服务主体后，控制平面和 Pod 会在访问 Azure 中的其他服务时使用系统分配的托管身份进行身份验证。 Kubelet 将继续使用服务主体，直到您也升级代理池。 可以在节点上使用 az aks nodepool upgrade --resource-group <resource-group-name> --cluster-name <aks-cluster-name> --name <node-pool-name> --node-image-only 命令更新到托管标识。 节点池升级会导致 AKS 群集停机，因为节点池中的节点被封锁、清空并重新映像。

获取系统分配的托管标识的主体 ID

使用 az aks show 命令获取群集系统分配的托管标识的主体 ID。

CLIENT_ID=$(az aks show \
    --name <aks-cluster-name> \
    --resource-group <resource-group-name> \
    --query identity.principalId \
    --output tsv)

为系统分配的托管标识添加角色分配

使用 az role assignment create 命令将 Azure RBAC 角色分配给系统分配的托管标识。 以下示例将 网络贡献者 角色分配给系统分配的托管标识。 角色分配的范围限定为包含 VNet 的资源组。

az role assignment create \
    --assignee <client-id> \
    --role "Network Contributor" \
    --scope <custom-resource-group-id>

创建 Terraform 配置文件

Terraform 配置文件定义 Terraform 创建和管理的基础结构。

1. 创建名为 main.tf 的文件，并添加以下代码以定义 Terraform 版本并指定Azure提供程序：

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. 添加以下代码到 main.tf 来创建 Azure 资源组。 根据需要随时更改资源组的名称和位置。

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "chinanorth3"
   }
   

使用 Terraform 创建具有系统分配的托管标识的 AKS 群集

在 main.tf 中添加以下代码以创建具有系统分配管理标识的 AKS 集群：

resource "azurerm_kubernetes_cluster" "system_assigned" {
 name                = "aks-system"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "akssystem"
 identity {
   type = "SystemAssigned"
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

使用 Terraform 为系统分配的托管身份添加角色分配

将以下代码添加到 main.tf 以为系统分配的托管标识创建角色分配。 此示例将 网络贡献者 角色分配给由系统分配的托管身份。 角色分配的范围限定为包含 VNet 的资源组。

resource "azurerm_role_assignment" "system_assigned_network_contributor" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Network Contributor"
 principal_id         = azurerm_kubernetes_cluster.system_assigned.identity[0].principal_id
}

初始化 Terraform

使用main.tf命令在包含terraform init文件的目录中初始化 Terraform。 此命令下载用于通过 Terraform 管理 Azure 资源所需的 Azure 提供程序。

terraform init

创建 Terraform 执行计划

使用 terraform plan 命令创建 Terraform 执行计划。 此命令显示 Terraform 将在 Azure 订阅中创建或修改的资源。

terraform plan

应用 Terraform 配置

查看并确认执行计划后，使用 terraform apply 命令应用 Terraform 配置。 此命令创建或修改 Azure 订阅中 main.tf 文件中定义的资源。

terraform apply

验证 Terraform 部署

应用 Terraform 配置后，可以使用az aks show命令和--query参数来验证部署，以筛选输出并显示标识信息。 例如：

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv