Use una entidad de servicio con Azure Kubernetes Service (AKS)

• Necesita la VERSIÓN 2.0.59 o posterior de la CLI de Azure. Busque su versión usando el comando az --version. Si necesita instalarla o actualizarla, vea Instalación de la CLI de Azure.

• Si usa Azure PowerShell, necesita la versión 5.0.0 o posterior de Azure PowerShell. Busque su versión mediante el cmdlet Get-InstalledModule -Name Az. Si tiene que instalarla o actualizarla, consulte Instalación del módulo Azure Az PowerShell.

1. Cree una entidad de servicio mediante el comando az ad sp create-for-rbac.

   # Set environment variable
   SERVICE_PRINCIPAL_NAME=<your-service-principal-name>
   
   # Create the service principal
   az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME
   

   La salida debe ser similar a la siguiente salida de ejemplo:

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "myAKSClusterServicePrincipal",
     "name": "http://myAKSClusterServicePrincipal",
     "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. Copie los valores de appId y password de la salida que se van a usar al crear el clúster de AKS.

1. Cree una entidad de servicio mediante el comando New-AzADServicePrincipal.

   # Set environment variable
   $SpName = <your-service-principal-name>
   
   # Create the service principal
   New-AzADServicePrincipal -DisplayName $SpName -OutVariable sp
   

   La salida debe ser similar a la siguiente salida de ejemplo:

   Secret                : System.Security.SecureString
   ServicePrincipalNames : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, http://myAKSClusterServicePrincipal}
   ApplicationId         : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   ObjectType            : ServicePrincipal
   DisplayName           : myAKSClusterServicePrincipal
   Id                    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   Type                  :
   

   Los valores se almacenan en una variable que se usa al crear el clúster de AKS.

2. Para descifrar el valor almacenado en la cadena segura Secret, ejecute el comando siguiente.

   $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($sp.Secret)
   [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR)
   

• Cree un clúster de AKS con una entidad de servicio existente utilizando el comando az aks create con los parámetros --service-principal y --client-secret establecidos para especificar los valores appId y password.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  APP_ID=<app-id>
  CLIENT_SECRET=<password-value>
  
  # Create the AKS cluster
  az aks create \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --service-principal $APP_ID \
      --client-secret $CLIENT_SECRET \
      --generate-ssh-keys
  

1. Convierta la entidad de servicio ApplicationId y Secret en un objeto PSCredential mediante el siguiente comando.

   $Cred = New-Object -TypeName System.Management.Automation.PSCredential ($sp.ApplicationId, $sp.Secret)
   

2. Cree un clúster de AKS con una entidad de servicio existente mediante el New-AzAksCluster cmdlet y especifique el ServicePrincipalIdAndSecret parámetro con el objeto PSCredential como su valor.

   # Set environment variables
   $ResourceGroupName = <your-resource-group-name>
   $ClusterName = <your-aks-cluster-name>
   
   # Create the AKS cluster
   New-AzAksCluster -ResourceGroupName $ResourceGroupName -Name $ClusterName -ServicePrincipalIdAndSecret $Cred
   

• Cree una asignación de roles con el comando az role assignment create. Especifique el valor del ID de aplicación de la entidad de servicio para el parámetro --assignee y el ámbito de la asignación de roles para el parámetro --scope. En el siguiente ejemplo se asignan permisos a la entidad de servicio para acceder a los secretos de un almacén de claves.

  az role assignment create \
      --assignee <app-id> \
      --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" \
      --role "Key Vault Secrets User"
  

• Cree una asignación de roles mediante el New-AzRoleAssignment cmdlet . Especifique el valor del ID de aplicación de la entidad de servicio para el parámetro -ApplicationId y el ámbito de la asignación de roles para el parámetro -Scope. En el ejemplo siguiente se asignan permisos al principal de servicio para acceder a los secretos de una bóveda de claves.

  New-AzRoleAssignment -ApplicationId <app-id> `
      -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" `
      -RoleDefinitionName "Key Vault Secrets User"
  

• Consulte el identificador de cliente de la entidad de servicio (servicePrincipalProfile.clientId) y elimine la entidad de servicio mediante el comando az ad sp delete con el parámetro --id. El comando [az aks show][az-aks-show] recupera el identificador de cliente del clúster de AKS especificado.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  
  # Delete the service principal
  az ad sp delete --id $(az aks show \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --query servicePrincipalProfile.clientId \
      --output tsv)
  

• Consulte el identificador de cliente de la entidad de servicio (ServicePrincipalProfile.ClientId) y elimine la entidad de servicio mediante el cmdlet Remove-AzADServicePrincipal con el parámetro -ApplicationId. El cmdlet [Get-AzAksCluster][get-azakscluster] recupera el identificador de cliente del clúster de AKS especificado.

  # Set environment variables
  $ResourceGroupName = <your-resource-group-name>
  $ClusterName = <your-aks-cluster-name>
  $ClientId = (Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster ).ServicePrincipalProfile.ClientId
  
  # Delete the service principal
  Remove-AzADServicePrincipal -ApplicationId $ClientId
  

La CLI de Azure almacena en caché las credenciales de la entidad de servicio para los clústeres de AKS.

Azure PowerShell almacena en caché las credenciales de la entidad de servicio para los clústeres de AKS.

Compruebe la fecha de expiración de las credenciales de la entidad de servicio mediante el comando az ad app credential list con la consulta "[].endDateTime". La salida le mostrará la endDateTime de las credenciales.

az ad app credential list \
    --id <app-id> \
    --query "[].endDateTime" \
    --output tsv

• Utilice el cmdlet Get-AzADAppCredential para comprobar la fecha de expiración de las credenciales de la entidad de servicio. La salida le mostrará la EndDate de las credenciales.

Get-AzADAppCredential -ApplicationId <app-id>