Utilizar um principal do serviço com o Azure Kubernetes Service (AKS)

• Precisas da Azure CLI versão 2.0.59 ou superior. Encontre sua versão usando o az --version comando. Se precisar de instalar ou atualizar, veja Install Azure CLI (Instalar o Azure CLI).

• Se usar Azure PowerShell, precisa do Azure PowerShell versão 5.0.0 ou superior. Encontre a sua versão usando o Get-InstalledModule -Name Az cmdlet. Se você precisar instalar ou atualizar, consulte Instalar o módulo Azure Az PowerShell.

1. Crie uma entidade de serviço usando o az ad sp create-for-rbac comando.

   # Set environment variable
   SERVICE_PRINCIPAL_NAME=<your-service-principal-name>
   
   # Create the service principal
   az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME
   

   Sua saída deve ser semelhante à saída de exemplo a seguir:

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "myAKSClusterServicePrincipal",
     "name": "http://myAKSClusterServicePrincipal",
     "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. Copie os valores de appId e password a partir da saída para usar ao criar o cluster AKS.

1. Crie uma entidade de serviço usando o New-AzADServicePrincipal comando.

   # Set environment variable
   $SpName = <your-service-principal-name>
   
   # Create the service principal
   New-AzADServicePrincipal -DisplayName $SpName -OutVariable sp
   

   Sua saída deve ser semelhante à saída de exemplo a seguir:

   Secret                : System.Security.SecureString
   ServicePrincipalNames : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, http://myAKSClusterServicePrincipal}
   ApplicationId         : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   ObjectType            : ServicePrincipal
   DisplayName           : myAKSClusterServicePrincipal
   Id                    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
   Type                  :
   

   Os valores são armazenados numa variável que usa ao criar o cluster AKS.

2. Descriptografe o valor armazenado na cadeia de caracteres segura Secret usando o seguinte comando.

   $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($sp.Secret)
   [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR)
   

• Crie um cluster AKS com um principal de serviço existente usando o comando az aks create com os parâmetros --service-principal e --client-secret definidos para especificar os valores appId e password.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  APP_ID=<app-id>
  CLIENT_SECRET=<password-value>
  
  # Create the AKS cluster
  az aks create \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --service-principal $APP_ID \
      --client-secret $CLIENT_SECRET \
      --generate-ssh-keys
  

1. Converta a entidade ApplicationId de serviço e Secret em um objeto PSCredential usando o comando a seguir.

   $Cred = New-Object -TypeName System.Management.Automation.PSCredential ($sp.ApplicationId, $sp.Secret)
   

2. Crie um cluster AKS com um principal de serviço existente usando o New-AzAksCluster cmdlet e especifique o ServicePrincipalIdAndSecret parâmetro com o objeto PSCredential como seu valor.

   # Set environment variables
   $ResourceGroupName = <your-resource-group-name>
   $ClusterName = <your-aks-cluster-name>
   
   # Create the AKS cluster
   New-AzAksCluster -ResourceGroupName $ResourceGroupName -Name $ClusterName -ServicePrincipalIdAndSecret $Cred
   

• Crie uma atribuição de função usando o az role assignment create comando. Especifique o valor do ID da aplicação principal do serviço para o --assignee parâmetro e o âmbito para a atribuição de funções ao --scope parâmetro. O exemplo seguinte atribui permissões ao principal de serviço para aceder a segredos num cofre de chaves:

  az role assignment create \
      --assignee <app-id> \
      --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" \
      --role "Key Vault Secrets User"
  

• Cria uma atribuição de função usando o New-AzRoleAssignment cmdlet. Especifique o valor do ID da aplicação principal do serviço para o -ApplicationId parâmetro e o âmbito para a atribuição de funções ao -Scope parâmetro. O exemplo seguinte atribui permissões ao principal de serviço para aceder a segredos num cofre de chaves:

  New-AzRoleAssignment -ApplicationId <app-id> `
      -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/<vault-name>" `
      -RoleDefinitionName "Key Vault Secrets User"
  

• Procure o ID de cliente do principal de serviço (servicePrincipalProfile.clientId) e elimine o principal de serviço utilizando o comando az ad sp delete com o parâmetro --id. O comando [az aks show][az-aks-show] recupera o ID do cliente para o cluster AKS especificado.

  # Set environment variables
  RESOURCE_GROUP=<your-resource-group-name>
  CLUSTER_NAME=<your-aks-cluster-name>
  
  # Delete the service principal
  az ad sp delete --id $(az aks show \
      --resource-group $RESOURCE_GROUP \
      --name $CLUSTER_NAME \
      --query servicePrincipalProfile.clientId \
      --output tsv)
  

• Consulte o ID do cliente principal de serviço (ServicePrincipalProfile.ClientId) e elimine o principal de serviço usando o Remove-AzADServicePrincipal cmdlet com o -ApplicationId parâmetro. O cmdlet [Get-AzAksCluster][get-azakscluster] recupera o ID do cliente para o cluster AKS especificado.

  # Set environment variables
  $ResourceGroupName = <your-resource-group-name>
  $ClusterName = <your-aks-cluster-name>
  $ClientId = (Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster ).ServicePrincipalProfile.ClientId
  
  # Delete the service principal
  Remove-AzADServicePrincipal -ApplicationId $ClientId
  

A CLI do Azure armazena em cache as credenciais da entidade de serviço para clusters AKS.

O Azure PowerShell armazena em cache as credenciais da entidade de serviço para clusters AKS.

Você pode verificar a data de expiração de suas credenciais da entidade de serviço usando o az ad app credential list comando com a "[].endDateTime" consulta. A saída mostra as endDateTime suas credenciais.

az ad app credential list \
    --id <app-id> \
    --query "[].endDateTime" \
    --output tsv

• Verifique a data de validade das credenciais do serviço principal usando o comando Get-AzADAppCredential cmdlet. A saída mostra as EndDate suas credenciais.

Get-AzADAppCredential -ApplicationId <app-id>