AKS(Azure Kubernetes Service)에서 시스템 할당 관리 ID 사용

• 기존 Azure 리소스 그룹입니다. 없는 경우 az group create 명령을 사용하여 하나를 생성할 수 있습니다.

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• Terraform이 로컬로 설치되었습니다. 설치 지침은 Terraform 설치를 참조하세요.

새 AKS 클러스터에서 시스템 할당 관리 ID 사용

시스템 할당 관리 ID는 새 AKS 클러스터를 만들 때 기본적으로 사용하도록 설정됩니다.

az aks create 명령을 사용하여 AKS 클러스터를 만듭니다.

az aks create \
    --resource-group <resource-group-name> \
    --name <aks-cluster-name> \
    --generate-ssh-keys

시스템 할당 관리 ID를 사용하도록 기존 클러스터 업데이트

az aks update 명령과 --enable-managed-identity 매개 변수를 사용하여 기존 AKS 클러스터를 서비스 주체에서 시스템 할당 관리 ID로 업데이트합니다.

az aks update \
    --resource-group <resource-group-name> \
    --name <aks-cluster-name> \
    --enable-managed-identity

서비스 주체 대신 시스템이 할당한 관리 ID를 사용하도록 클러스터를 업데이트한 후에는 컨트롤 플레인과 Pod가 Azure의 다른 서비스에 액세스할 때 시스템이 할당한 관리 ID를 사용하여 권한을 부여합니다. Kubelet은 사용자가 에이전트 풀을 업그레이드할 때까지 서비스 주체를 계속 사용합니다. 노드에서 az aks nodepool upgrade --resource-group <resource-group-name> --cluster-name <aks-cluster-name> --name <node-pool-name> --node-image-only 명령을 사용하여 관리 ID로 업데이트할 수 있습니다. 노드 풀을 업그레이드할 때 노드 풀의 노드가 차단 및 드레이닝되고 이미지로 다시 설치되면서 AKS 클러스터에 대해 가동 중지 시간이 발생합니다.

시스템 할당 관리 ID의 주체 ID 가져오기

az aks show 명령을 사용하여 클러스터의 시스템 할당 관리 ID에 대한 주체 ID를 가져옵니다.

CLIENT_ID=$(az aks show \
    --name <aks-cluster-name> \
    --resource-group <resource-group-name> \
    --query identity.principalId \
    --output tsv)

시스템에서 할당된 관리 ID에 대한 역할 할당 추가

az role assignment create 명령을 사용하여 시스템 할당 관리 ID에 Azure RBAC 역할을 할당합니다. 다음 예제에서는 시스템 할당 관리 ID에 네트워크 참가자 역할을 할당합니다. 역할 할당은 VNet을 포함하는 리소스 그룹으로 범위가 지정됩니다.

az role assignment create \
    --assignee <client-id> \
    --role "Network Contributor" \
    --scope <custom-resource-group-id>

Terraform 구성 파일 만들기

Terraform 구성 파일은 Terraform에서 만들고 관리하는 인프라를 정의합니다.

1. 명명된 main.tf 파일을 만들고 다음 코드를 추가하여 Terraform 버전을 정의하고 Azure 공급자를 지정합니다.

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. 다음 코드를 추가하여 main.tf Azure 리소스 그룹을 만듭니다. 필요에 따라 리소스 그룹의 이름과 위치를 자유롭게 변경할 수 있습니다.

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "East US"
   }
   

Terraform을 사용하여 시스템 할당 관리 ID를 사용하여 AKS 클러스터 만들기

다음 코드를 추가하여 main.tf 시스템 할당 관리 ID를 사용하여 AKS 클러스터를 만듭니다.

resource "azurerm_kubernetes_cluster" "system_assigned" {
 name                = "aks-system"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "akssystem"
 identity {
   type = "SystemAssigned"
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

Terraform을 사용하여 시스템 할당 관리 ID에 대한 역할 할당 추가

다음 코드를 추가하여 main.tf 시스템 할당 관리 ID에 대한 역할 할당을 만듭니다. 이 예제에서는 시스템 할당 관리 ID에 네트워크 참가자 역할을 할당합니다. 역할 할당은 VNet을 포함하는 리소스 그룹으로 범위가 지정됩니다.

resource "azurerm_role_assignment" "system_assigned_network_contributor" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Network Contributor"
 principal_id         = azurerm_kubernetes_cluster.system_assigned.identity[0].principal_id
}

Terraform 초기화

main.tf 파일이 있는 디렉터리에서 terraform init 명령어를 사용해 Terraform을 초기화하세요. 이 명령은 Terraform을 사용하여 Azure 리소스를 관리하는 데 필요한 Azure 공급자를 다운로드합니다.

terraform init

Terraform 실행 계획 만들기

terraform plan 명령을 사용하여 Terraform 실행 계획을 만듭니다. 이 명령은 Terraform이 Azure 구독에서 만들거나 수정할 리소스를 보여 줍니다.

terraform plan

Terraform 구성 적용

실행 계획을 검토하고 확인한 후 명령을 사용하여 Terraform 구성을 적용합니다 terraform apply . 이 명령은 Azure 구독의 파일에 정의된 main.tf 리소스를 만들거나 수정합니다.

terraform apply

Terraform 배포 확인

Terraform 구성을 적용한 후 az aks show 명령에 --query 매개 변수를 사용하여 출력을 필터링하고 ID 정보를 표시함으로써 배포가 제대로 되었는지 확인할 수 있습니다. 다음은 그 예입니다.

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv