AKS(Azure Kubernetes Service) 사용자 할당 관리 ID 사용

• 기존 Azure 리소스 그룹입니다. 없는 경우 az group create 명령을 사용하여 하나를 생성할 수 있습니다.

  az group create \
      --name <resource-group-name> \
      --location <location>
  

• Terraform이 로컬로 설치되었습니다. 설치 지침은 Terraform 설치를 참조하세요.

사용자 할당 관리 ID 만들기

아직 사용자가 할당한 관리 ID 리소스가 없으면 az identity create 명령을 사용하여 리소스를 만듭니다.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group-name>

다음과 같은 예시 출력과 유사하게 출력해야 합니다.

{                                  
    "clientId": "<client-id>",
    "clientSecretUrl": "<clientSecretUrl>",
    "id": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
    "location": "<location>",
    "name": "<identity-name>",
    "principalId": "<principal-id>",
    "resourceGroup": "<resource-group-name>",
    "tags": {},
    "tenantId": "<tenant-id>",
    "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

사용자가 할당한 관리 ID의 주체 ID를 가져옵니다.

az identity show 명령을 사용하여 사용자 할당 관리 ID의 주체 ID를 가져옵니다.

CLIENT_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query principalId \
    --output tsv)

사용자 할당 관리 ID의 리소스 ID를 가져옵니다.

명령을 사용하여 사용자 할당 관리 ID의 리소스 ID를 az identity show 가져옵니다.

RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group-name> \
    --query id \
    --output tsv)

새 AKS 클러스터에서 사용자 할당 관리 ID 사용

az aks create 명령과 --assign-identity 매개 변수에 사용자 할당 관리 ID의 리소스 ID를 설정하여 AKS 클러스터를 만듭니다.

az aks create \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --network-plugin azure \
    --vnet-subnet-id <vnet-subnet-id> \
    --dns-service-ip 10.2.0.10 \
    --service-cidr 10.2.0.0/24 \
    --assign-identity $RESOURCE_ID \
    --generate-ssh-keys

기존 클러스터를 업데이트하여 사용자가 지정한 관리 ID를 사용합니다.

명령을 사용하여 사용자 할당 관리 ID를 사용하도록 기존 클러스터를 az aks update 업데이트하고 --assign-identity 매개 변수를 사용자 할당 관리 ID의 리소스 ID로 설정합니다.

az aks update \
    --resource-group <resource-group-name> \
    --name <cluster-name> \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

사용자가 할당한 관리 ID를 사용하여 클러스터를 성공적으로 업데이트할 경우 출력은 다음 출력 예와 유사해야 합니다.

...
    "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
        }
    }
    },
...

서비스 주체 대신 사용자 할당 관리 ID를 사용하도록 클러스터를 업데이트한 후 제어 평면 및 Pod는 Azure 다른 서비스에 액세스할 때 권한 부여를 위해 사용자 할당 관리 ID를 사용합니다. Kubelet은 노드 풀도 업그레이드할 때까지 서비스 주체를 계속 사용합니다. 노드 풀을 업그레이드할 때 노드 풀의 노드가 차단 및 드레이닝되고 이미지로 다시 설치되면서 AKS 클러스터에 대해 가동 중지 시간이 발생합니다. 노드의 명령을 사용하여 사용자 할당 관리 ID로 업데이트할 수 있습니다.

az aks nodepool upgrade \
  --resource-group <resource-group-name> \
  --cluster-name <aks-cluster-name> \
  --name <node-pool-name> \
  --node-image-only

사용자 할당 관리 ID에 Azure RBAC 역할 할당

명령을 사용하여 사용자 할당 관리 ID에 대한 역할 할당을 추가합니다 az role assignment create . 다음 예제에서는 Key Vault 비밀 사용자 역할을 사용자 할당 관리 ID에 할당하여 key vault 비밀에 액세스할 수 있는 권한을 부여합니다. 역할 할당은 키 자격 증명 모음 리소스에 한정됩니다.

az role assignment create \
    --assignee <client-id> \
    --role "Key Vault Secrets User" \
    --scope "<key-vault-resource-id>"

Terraform 구성 파일 만들기

Terraform 구성 파일은 Terraform에서 만들고 관리하는 인프라를 정의합니다.

1. main.tf 파일을 만들고 다음 코드를 추가하여 Terraform 버전을 정의하고 Azure 공급자를 지정합니다.

   terraform {
   required_version = ">= 1.0"
   required_providers {
     azurerm = {
       source  = "hashicorp/azurerm"
       version = "~> 4.0"
     }
    }
   }
   provider "azurerm" {
    features {}
   }
   

2. 다음 코드를 main.tf 추가하여 Azure 리소스 그룹을 만듭니다. 필요에 따라 리소스 그룹의 이름과 위치를 자유롭게 변경할 수 있습니다.

   resource "azurerm_resource_group" "example" {
    name     = "aks-rg"
    location = "East US"
   }
   

Terraform을 사용하여 사용자 할당 관리 ID를 사용하여 AKS 클러스터 만들기

다음 코드를 main.tf에 추가하여 사용자 할당 관리 ID와 AKS 클러스터를 생성합니다. 이 클러스터는 해당 ID를 사용합니다.

resource "azurerm_user_assigned_identity" "uai" {
 name                = "aks-user-identity"
 resource_group_name = azurerm_resource_group.example.name
 location            = azurerm_resource_group.example.location
}
resource "azurerm_kubernetes_cluster" "user_assigned" {
 name                = "aks-user"
 location            = azurerm_resource_group.example.location
 resource_group_name = azurerm_resource_group.example.name
 dns_prefix          = "aksuser"
 identity {
   type         = "UserAssigned"
   identity_ids = [azurerm_user_assigned_identity.uai.id]
 }
 default_node_pool {
   name       = "system"
   node_count = 1
   vm_size    = "Standard_DS2_v2"
 }
}

Terraform을 사용하여 사용자 할당 관리 ID에 대한 역할 할당 추가

다음 코드를 추가하여 main.tf 사용자 할당 관리 ID에 대한 역할 할당을 만듭니다. 이 예제에서는 Key Vault 비밀 사용자 역할을 사용자 할당 관리 ID에 할당하여 key vault 비밀에 액세스할 수 있는 권한을 부여합니다. 역할 할당은 키 자격 증명 모음 리소스에 한정됩니다.

resource "azurerm_role_assignment" "user_assigned_key_vault_secrets_user" {
 scope                = azurerm_resource_group.example.id
 role_definition_name = "Key Vault Secrets User"
 principal_id         = azurerm_user_assigned_identity.uai.principal_id
}

Terraform 초기화

main.tf 파일이 있는 디렉터리에서 terraform init 명령어를 사용해 Terraform을 초기화하세요. 이 명령은 Terraform을 사용하여 Azure 리소스를 관리하는 데 필요한 Azure 공급자를 다운로드합니다.

terraform init

Terraform 실행 계획 만들기

terraform plan 명령을 사용하여 Terraform 실행 계획을 만듭니다. 이 명령은 Terraform이 Azure 구독에서 만들거나 수정할 리소스를 보여 줍니다.

terraform plan

Terraform 구성 적용

실행 계획을 검토하고 확인한 후 명령을 사용하여 Terraform 구성을 적용합니다 terraform apply . 이 명령은 Azure 구독의 main.tf 파일에 정의된 리소스를 만들거나 수정합니다.

terraform apply

Terraform 배포 확인

Terraform 구성을 적용한 후, 출력 결과를 필터링하고 ID 정보(Identity Information)를 표시하기 위해 az aks show 매개 변수를 사용하여 [--query][az-aks-show] 명령을 이용하여 배포를 확인할 수 있습니다. 다음은 그 예입니다.

az aks show \
 --name <cluster-name> \
 --resource-group <resource-group> \
 --query identity.type \
 --output tsv