Szolgáltatási megbízó használata Azure Kubernetes Service (AKS) szolgáltatással

1. Hozzon létre egy egyszerű szolgáltatást a az ad sp create-for-rbac paranccsal.

   az ad sp create-for-rbac --name myAKSClusterServicePrincipal
   

   A kimenetnek hasonlónak kell lennie a következő példakimenethez:

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "myAKSClusterServicePrincipal",
     "name": "http://myAKSClusterServicePrincipal",
     "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. Másolja ki a kimenet értékeitappId.password Ezeket akkor használja, ha AKS-fürtöt hoz létre a következő szakaszban.

1. Hozzon létre egy egyszerű szolgáltatást a New-AzADServicePrincipal paranccsal.

   New-AzADServicePrincipal -DisplayName myAKSClusterServicePrincipal -OutVariable sp
   

   A kimenetnek hasonlónak kell lennie a következő példakimenethez:

   Secret                : System.Security.SecureString
   ServicePrincipalNames : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, http://myAKSClusterServicePrincipal}
   ApplicationId         : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   ObjectType            : ServicePrincipal
   DisplayName           : myAKSClusterServicePrincipal
   Id                    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   Type                  :
   

   Az értékek egy változóban vannak tárolva, amelyet AKS-fürt létrehozásakor használ a következő szakaszban.

2. A Titkos kulcs biztonságos sztringben tárolt érték visszafejtése az alábbi paranccsal.

   $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($sp.Secret)
   [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR)
   

• Használjon meglévő szolgáltatásnevet egy új AKS-fürthöz a az aks create paranccsal, és --client-secret a --service-principal paraméterekkel adja meg az appId előző szakaszhoz kapott kimenetet és password kimenetet.

  az aks create \
      --resource-group myResourceGroup \
      --name myAKSCluster \
      --service-principal <appId> \
      --client-secret <password> \
      --generate-ssh-keys
  

  Feljegyzés

  Ha egy meglévő szolgáltatásnevet használ testre szabott titkos kóddal, győződjön meg arról, hogy a titkos kód nem hosszabb 190 bájtnál.

1. Konvertálja a szolgáltatásnevet ApplicationId és Secret pscredential objektummá az alábbi paranccsal.

   $Cred = New-Object -TypeName System.Management.Automation.PSCredential ($sp.ApplicationId, $sp.Secret)
   

2. Használjon egy meglévő szolgáltatásnevet egy új AKS-fürthöz a New-AzAksCluster paranccsal, és adja meg a ServicePrincipalIdAndSecret paramétert a korábban létrehozott PSCredential objektummal annak értékeként.

   New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ServicePrincipalIdAndSecret $Cred
   

   Feljegyzés

   Ha egy meglévő szolgáltatásnevet használ testre szabott titkos kóddal, győződjön meg arról, hogy a titkos kód nem hosszabb 190 bájtnál.

• Szerepkör-hozzárendelés létrehozása a az role assignment create paranccsal. Adja meg a szolgáltatásnév appID azonosítójának értékét a appId paraméterhez. Adja meg a szerepkör-hozzárendelés hatókörét, például egy erőforráscsoportot vagy egy virtuális hálózati erőforrást. A szerepkör-hozzárendelés határozza meg, hogy a szolgáltatásnév milyen engedélyekkel rendelkezik az erőforráson és milyen hatókörben.

  Ha például a kulcstartó titkos kulcsainak eléréséhez rendeli hozzá a szolgáltatásnév engedélyeit, a következő parancsot használhatja:

  az role assignment create \
      --assignee <appId> \
      --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" \
      --role "Key Vault Secrets User"
  

  Feljegyzés

  Egy --scope erőforráshoz teljes erőforrás-azonosítónak kell lennie, például /subscriptions/<guid>/resourceGroups/myResourceGroup vagy /subscriptions/<guid>/resourceGroups/myResourceGroupVnet/providers/Microsoft.Network/virtualNetworks/myVnet.

• Szerepkör-hozzárendelés létrehozása a New-AzRoleAssignment paranccsal. Adja meg a szolgáltatásnév appID azonosítójának értékét a ApplicationId paraméterhez. Adja meg a szerepkör-hozzárendelés hatókörét, például egy erőforráscsoportot vagy egy virtuális hálózati erőforrást. A szerepkör-hozzárendelés határozza meg, hogy a szolgáltatásnév milyen engedélyekkel rendelkezik az erőforráson és milyen hatókörben.

  Ha például a kulcstartó titkos kulcsainak eléréséhez rendeli hozzá a szolgáltatásnév engedélyeit, a következő parancsot használhatja:

  New-AzRoleAssignment -ApplicationId <ApplicationId> `
      -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" `
      -RoleDefinitionName "Key Vault Secrets User"
  

  Feljegyzés

  Egy Scope erőforráshoz teljes erőforrás-azonosítónak kell lennie, például /subscriptions/<guid>/resourceGroups/myResourceGroup vagy /subscriptions/<guid>/resourceGroups/myResourceGroupVnet/providers/Microsoft.Network/virtualNetworks/myVnet

Ha az Azure Container Registryt (ACR) használja tárolórendszerkép-tárolóként, engedélyeket kell adnia az AKS-fürt szolgáltatásnevének a rendszerképek olvasásához és lekéréséhez. Javasoljuk, hogy használja a vagy az aks update a az aks create parancsot egy beállításjegyzékbe való integráláshoz, és rendelje hozzá a szolgáltatásnévnek megfelelő szerepkört. Részletes lépésekért lásd : Hitelesítés az Azure Container Registryvel az Azure Kubernetes Service-ből.

Ha az Azure Container Registryt (ACR) használja tárolórendszerkép-tárolóként, engedélyeket kell adnia az AKS-fürt szolgáltatásnevének a rendszerképek olvasásához és lekéréséhez. Javasoljuk, hogy használja a vagy Set-AzAksCluster a New-AzAksCluster parancsot egy beállításjegyzékbe való integráláshoz, és rendelje hozzá a szolgáltatásnévnek megfelelő szerepkört. Részletes lépésekért lásd : Hitelesítés az Azure Container Registryvel az Azure Kubernetes Service-ből.

Az AKS és a Microsoft Entra szolgáltatásnév használatakor vegye figyelembe a következőket:

• A Kubernetes szolgáltatásnév része a fürtkonfigurációnak, de ne használja ezt az identitást a fürt üzembe helyezéséhez.
• Alapértelmezés szerint a szolgáltatásnév hitelesítő adatai egy évig érvényesek. A szolgáltatásnév hitelesítő adatait bármikor frissítheti vagy elforgathatja.
• Minden szolgáltatásnév egy Microsoft Entra-alkalmazáshoz van társítva. Egy Kubernetes-fürt szolgáltatásnevét bármely érvényes Microsoft Entra-alkalmazásnévvel társíthatja (például: https://www.contoso.org/example). Az alkalmazás URL-címének nem szükséges valódi végpontnak lennie.
• Amikor megadja a szolgáltatásnév Client ID-ját (Ügyfél-azonosítóját), használja az appId értékét.
• A Kubernetes-fürt ügynökcsomópont virtuális gépeinél a szolgáltatásnév hitelesítő adatai a /etc/kubernetes/azure.json fájlban vannak tárolva.
• A parancs használatával az aks create létrehozott AKS-fürt törlésekor a létrehozott szolgáltatásnév nem törlődik automatikusan.

  • A szolgáltatásnév törléséhez kérdezze le a fürt servicePrincipalProfile.clientId azonosítóját, és törölje a az ad sp delete parancs használatával. Cserélje le az -g erőforráscsoport nevének és -n a fürtnév paraméterének értékeit:

    az ad sp delete --id $(az aks show \
      --resource-group myResourceGroup \
      --name myAKSCluster \
      --query servicePrincipalProfile.clientId \
      --output tsv)
    

Az AKS és a Microsoft Entra szolgáltatásnév használatakor vegye figyelembe a következőket:

• A Kubernetes szolgáltatásnév része a fürtkonfigurációnak, de ne használja ezt az identitást a fürt üzembe helyezéséhez.
• Alapértelmezés szerint a szolgáltatásnév hitelesítő adatai egy évig érvényesek. A szolgáltatásnév hitelesítő adatait bármikor frissítheti vagy elforgathatja.
• Minden szolgáltatásnév egy Microsoft Entra-alkalmazáshoz van társítva. Egy Kubernetes-fürt szolgáltatásnevét bármely érvényes Microsoft Entra-alkalmazásnévvel társíthatja (például: https://www.contoso.org/example). Az alkalmazás URL-címének nem szükséges valódi végpontnak lennie.
• Amikor megadja a szolgáltatásnév Client ID-ját (Ügyfél-azonosítóját), használja az ApplicationId értékét.
• A Kubernetes-fürt ügynökcsomópont virtuális gépeinél a szolgáltatásnév hitelesítő adatai a /etc/kubernetes/azure.json fájlban vannak tárolva.
• Amikor töröl egy AKS-fürtöt, amely a New-AzAksClusterhasználatával jött létre, a létrehozott szolgáltatásnév nem törlődik automatikusan.

  • A szolgáltatásnév törléséhez kérdezze le a fürt ServicePrincipalProfile.ClientId azonosítóját, és törölje azt a Remove-AzADServicePrincipal paranccsal. Cserélje le az -ResourceGroupName erőforráscsoport nevének és -Name a fürtnév paraméterének értékeit:

    $ClientId = (Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster ).ServicePrincipalProfile.ClientId
    Remove-AzADServicePrincipal -ApplicationId $ClientId
    

Az Azure CLI gyorsítótárazza az AKS-fürtök szolgáltatásnév-hitelesítő adatait. Ha ezek a hitelesítő adatok lejárnak, hibákat tapasztalhat az AKS-fürt üzembe helyezése során. Ha futtatja a az aks create parancsot, és a következőhöz hasonló hibaüzenetet kap, az a gyorsítótárazott szolgáltatásnév hitelesítő adataival kapcsolatos problémát jelezhet:

Operation failed with status: 'Bad Request'.
Details: The credentials in ServicePrincipalProfile were invalid. Please see https://aka.ms/aks-sp-help for more details.
(Details: adal: Refresh request failed. Status Code = '401'.

A szolgáltatásnév hitelesítő adatainak lejárati dátumát a az ad app credential list lekérdezést tartalmazó "[].endDateTime" paranccsal ellenőrizheti.

az ad app credential list \
    --id <app-id> \
    --query "[].endDateTime" \
    --output tsv

A szolgáltatásnév-hitelesítő adatok alapértelmezett lejárati ideje egy év. Ha a hitelesítő adatai egy évnél régebbiek, alaphelyzetbe állíthatja a meglévő hitelesítő adatokat, vagy létrehozhat egy új szolgáltatásnevet.

Az Azure CLI általános hibaelhárítása

Az Azure CLI több rendszerhéj-környezetben is futtatható, de kisebb formátumváltozatokkal. Ha az Azure CLI-parancsokkal nem várt eredményeket kap, olvassa el az Azure CLI sikeres használatát ismertető témakört.

Az Azure PowerShell gyorsítótárazza az AKS-fürtök szolgáltatásnév-hitelesítő adatait. Ha ezek a hitelesítő adatok lejárnak, hibaüzenetek jelennek meg az AKS-fürt üzembe helyezése során. Ha futtatja a New-AzAksCluster parancsot, és a következőhöz hasonló hibaüzenetet kap, az a gyorsítótárazott szolgáltatásnév hitelesítő adataival kapcsolatos problémát jelezhet:

Operation failed with status: 'Bad Request'.
Details: The credentials in ServicePrincipalProfile were invalid. Please see https://aka.ms/aks-sp-help for more details.
(Details: adal: Refresh request failed. Status Code = '401'.

A Get-AzADAppCredential paranccsal ellenőrizheti a szolgáltatásnév hitelesítő adatainak lejárati dátumát. A kimenet megjeleníti a StartDateTime hitelesítő adatait.

Get-AzADAppCredential -ApplicationId <ApplicationId> 

A szolgáltatásnév-hitelesítő adatok alapértelmezett lejárati ideje egy év. Ha a hitelesítő adatai egy évnél régebbiek, alaphelyzetbe állíthatja a meglévő hitelesítő adatokat, vagy létrehozhat egy új szolgáltatásnevet.