AKS 구조적 인증을 사용하여 외부 ID 공급자 구성(미리 보기)

GitHub Actions OIDC 인증 설정

1. GitHub Actions 워크플로에 필요한 권한이 있는지 확인합니다.

2. 워크플로 파일에서 id-token: write 사용 권한을 구성합니다. 다음은 그 예입니다.

   permissions:
     id-token: write
     contents: read
   

3. OIDC 토큰 액세스에 적절한 리포지토리 및 조직 설정을 설정합니다. 토큰 사용에 대한 리포지토리 OIDC 설정 및 조직 보안 정책을 구성합니다.

Google Identity OAuth 2.0 인증 설정

1. Google 클라우드 콘솔로 이동합니다.
2. 프로젝트를 만들거나 선택합니다.
3. OAuth 2.0 자격 증명을 만듭니다.
4. 나중에 사용할 수 있는 클라이언트 ID 및 클라이언트 암호를 기록해 둡니다.

GitHub Actions OIDC에 대한 JWT 인증자 구성 만들기

• 다음 구성으로 명명된 jwt-config.json 파일을 만듭니다.

  {
    "issuer": {
        "url": "https://token.actions.githubusercontent.com",
        "audiences": [
            "my-api"
        ]
    },
    "claimValidationRules": [
        {
            "expression": "has(claims.sub)",
            "message": "must have sub claim"
        }
    ],
    "claimMappings": {
        "username": {
            "expression": "'aks:jwt:github:' + claims.sub"
        }
    },
    "userValidationRules": [
        {
            "expression": "has(user.username)",
            "message": "must have username"
        },
        {
            "expression": "!user.username.startsWith('aks:jwt:github:system')",
            "message": "username must not start with 'aks:jwt:github:system'"
        }
    ]
  }
  

Google ID에 대한 JWT 인증자 구성 만들기

• 다음 구성으로 명명된 jwt-config.json 파일을 만듭니다.

  {
      "issuer": {
          "url": "https://accounts.google.com",
          "audiences": [
              "your-client-id.apps.googleusercontent.com"
          ]
      },
      "claimValidationRules": [
          {
              "expression": "has(claims.sub)",
              "message": "must have sub claim"
          }
      ],
      "claimMappings": {
          "username": {
              "expression": "'aks:jwt:google:' + claims.sub"
          },
          "groups": {
              "expression": "has(claims.groups) ? claims.groups.split(',').map(g, 'aks:jwt:' + g) : []"
          }
      },
      "userValidationRules": [
          {
              "expression": "has(user.username)",
              "message": "must have username"
          },
          {
              "expression": "!user.username.startsWith('aks:jwt:google:system')",
              "message": "username must not start with 'aks:jwt:google:system'"
          }
      ]
  }
  

인증을 위해 GitHub Actions OIDC 설정

1. 환경 변수를 만들고 GitHub 리포지토리에서 다음과 같은 필수 리포지토리 비밀을 설정합니다.

   • AKS_SERVER_URL: AKS 클러스터의 API 서버 URL입니다.
   • AKS_CA_DATA: AKS 클러스터에 대한 Base64로 인코딩된 인증 기관 데이터입니다.

2. OIDC 토큰을 가져와 AKS 클러스터로 인증하는 데 사용하는 워크플로를 만듭니다. 다음 예제 워크플로는 클러스터에서 실행되는 모든 Pod를 가져옵니다.

   비고

   대상 그룹 값 my-api 은 JWT 인증자 구성에 구성된 대상과 일치해야 합니다.

   name: AKS Access with GitHub OIDC
   on:
     workflow_dispatch:
     push:
       branches: [main]
   
   permissions:
     id-token: write
     contents: read
   
   jobs:
     aks-access:
       runs-on: ubuntu-latest
       steps:
         - name: Checkout code
           uses: actions/checkout@v4
   
         - name: Install kubectl
           uses: azure/setup-kubectl@v3
           with:
             version: 'latest'
   
         - name: Get GitHub OIDC token
           id: get_token
           run: |
             TOKEN=$(curl -H "Authorization: Bearer $ACTIONS_ID_TOKEN_REQUEST_TOKEN" \
               "$ACTIONS_ID_TOKEN_REQUEST_URL&audience=my-api" | \
               jq -r '.value')
             echo "::add-mask::$TOKEN"
             echo "oidc_token=$TOKEN" >> $GITHUB_OUTPUT
   
         - name: Create kubeconfig with OIDC token
           run: |
             cat <<EOF > kubeconfig
             apiVersion: v1
             kind: Config
             clusters:
             - cluster:
                 certificate-authority-data: ${{ secrets.AKS_CA_DATA }}
                 server: ${{ secrets.AKS_SERVER_URL }}
               name: aks-cluster
             contexts:
             - context:
                 cluster: aks-cluster
                 user: github-oidc-user
               name: aks-context
             current-context: aks-context
             users:
             - name: github-oidc-user
               user:
                 token: ${{ steps.get_token.outputs.oidc_token }}
             EOF
   
         - name: List all pods in the cluster
           run: |
             export KUBECONFIG=./kubeconfig
             kubectl get pods --all-namespaces
   

JWT 인증자 구성에 대한 클러스터 정보 가져오기

1. 명령을 사용하여 클러스터에 대한 API 서버 URL을 가져옵니다 az aks show .

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "fqdn" -o tsv | \
     awk '{print "https://" $0 ":443"}'
   

2. 명령을 사용하여 az aks get-credentials 클러스터에 대한 base64로 인코딩된 인증 기관 데이터를 가져옵니다.

   # Get CA data (base64 encoded)
   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --file - --format exec | \
     grep certificate-authority-data | awk '{print $2}'
   

인증을 위해 Google Identity OAuth 2.0 설정

플러그 인을 사용하거나 정적 토큰을 kubelogin 직접 사용하여 Google ID 인증을 설정할 수 있습니다.

1. 메인 브랜치로 푸시하거나 리포지토리의 Actions 탭에서 수동으로 트리거하여 워크플로를 트리거합니다.

2. 작업 탭에서 워크플로 실행을 모니터링하여 인증이 작동하는지 확인합니다.

   RBAC(Role-Based Access Control) 구성 전에 처음 설치할 예상 출력:

   Error from server (Forbidden): nodes is forbidden: User "aks:jwt:github:your-sub" cannot list resource "nodes" in API group "" at the cluster scope
   

   이 오류는 인증에 성공했지만 권한 부여가 없음을 나타냅니다.

• kubectl get nodes 명령의 --user 플래그를 사용하여 Google ID 인증을 위해 만든 사용자 컨텍스트를 지정하고 인증을 테스트합니다. 다음은 그 예입니다.

  kubectl get nodes --user external-user
  

  RBAC(Role-Based Access Control) 구성 전에 처음 설치할 예상 출력:

  Error from server (Forbidden): nodes is forbidden: User "aks:jwt:google:your-subject" cannot list resource "nodes" in API group "" at the cluster scope
  

  이 오류는 인증에 성공했지만 권한 부여가 없음을 나타냅니다.

1. 외부 사용자에 대한 RBAC 바인딩을 구성하기 위해 명명된 rbac-config.yaml 파일을 만듭니다. 다음은 그 예입니다.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for GitHub; example of GitHub subject is "repo:<organization-name>/<repository-name>:ref:refs/heads/main"
     name: aks:jwt:github:your-github-sub
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. 다음 명령을 사용하여 RBAC 구성을 적용합니다.kubectl apply

   kubectl apply -f rbac-config.yaml
   

1. 외부 사용자에 대한 RBAC 바인딩을 구성하기 위해 명명된 rbac-config.yaml 파일을 만듭니다. 다음은 그 예입니다.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: external-user-role
   rules:
   - apiGroups: [""]
     resources: ["pods", "services", "nodes"]
     verbs: ["get", "list"]
   - apiGroups: ["apps"]
     resources: ["deployments", "replicasets"]
     verbs: ["get", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: external-user-binding
   subjects:
   - kind: User
     # This matches the username expression in claim mappings for Google
     name: aks:jwt:google:your-subject-claim
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: external-user-role
     apiGroup: rbac.authorization.k8s.io
   

2. 다음 명령을 사용하여 RBAC 구성을 적용합니다.kubectl apply

   kubectl apply -f rbac-config.yaml