Azure AD ワークロードIDを使って k8sからAzureリソースに安全にアクセスしよう

5.6K Views

July 04, 23

スライド概要

Kubernetes Novice Tokyo #26 でのLT資料です

profile-image

SIer所属のインフラ屋さんです

シェア

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

関連スライド

各ページのテキスト
1.

Azure AD ワークロードIDを使って k8sからAzureリソースに 安全にアクセスしよう 2023/07/04 Kubernetes N ovice Tok yo # 26 Shunsuk e Yoshik a wa

2.

自己紹介 Shunsuke Yoshikawa Twitter: https://twitter.com/ussvgr Qiita: https://qiita.com/ussvgr ⚫ 所属: 株式会社エーピーコミュニケーションズ ⚫ 普段の仕事: Azure×コンテナ中心のインフラ構築(AKSとかContainer Appsとか) ⚫ MICUG クラウドネイティブ/内製開発分科会オーガナイザー ⚫ Platform Engineering Meetup 運営メンバー ⚫ Microsoft MVP (Microsoft Azure) 2023/06~ ⚫ 愛知県在住

3.

はじめに: Azureの認証について

4.

Azure ADのアカウントには3つの種類がある ⚫ ユーザーアカウント ユーザーに紐づくアカウント。人が行う操作に利用する。 ⚫ サービスプリンシパル アプリケーション用のアカウント。ID/PW or 証明書を用いて認証する。 ⚫ マネージドID VMなどの Azureリソース に紐づくアカウント。 Azureのプラットフォーム内で認証するため、ID/PWの管理が不要。

5.

アプリケーションからAzure ADの認証をする 対応している環境であれば マネージドID を使うのが推奨。 マネージドID が使えない場合のみ サービスプリンシパル を用いる。 ※ マネージドID が使えない例: ⚫ オンプレミスや他クラウド上のアプリケーション ⚫ マネージドIDに対応していないAzureサービス

6.

マネージドID の種類 Azureリソースとの紐づけ方によって、以下の2種類が存在する。 ⚫ システム割り当てマネージドID リソースとマネージドIDが1対1で紐づく ⚫ ユーザー割り当てマネージドID リソースとマネージドIDが多対多で紐づく

7.

AKS(Azure Kubernetes Service) における マネージドID デフォルトの設定でAKSクラスターを作ると、 コントロールプレーンに紐づくマネージドID と ノードプールに紐づくマネージドID の2種類が作られる。 ⚫ コントロールプレーンのマネージドID (システム割り当て) ノードの増減やIPアドレスの割り当てなど、 Kubernetesクラスターの動作に必要な操作を行うためのID。 ⚫ ワーカーノードのマネージドID (ユーザー割り当て) ワーカーノードやPodから他のAzureリソースにアクセスするためのID。 用途に応じ複数のマネージドIDを同時に割り当てることもできる。

8.

マネージドID の利用例 ワーカーノードの マネージドIDを使って Azure ADに認証 AKSワーカーノードの マネージドIDからの Image Pullを許可

9.

Azure AD ワークロードIDの利用シーン

10.

こんなときどうする? Namespace AのPodに対しAzureリソースへのアクセスを許可する。 Namespace BのPodにはAzureリソースへのアクセスを許可しない。 Namespace A Namespace B

11.

Azure AD ワークロードID の利用 従来のマネージドIDでは、AKSクラスター上のすべてのPodに対し 画一的な権限を渡すことになってしまい、 マルチテナントな利用方法には不向きであった。 より細かい単位で権限の割り当てを行うための機構として、 OpenID Connectを利用する Azure AD ワークロードID が誕生した。 2023/04にGA!

12.

認証の仕組み 引用元: Concepts – Azure AD Workload Identity (https://azure.github.io/azure-workload-identity/docs/concepts.html)

13.

Azure AD ワークロードIDの利用方法

14.
[beta]
手順1
AKSクラスターを作成する際、
--enable-oidc-issuer オプション付きで作成する。
$ az aks create -g $RG_NAME -n $AKS_NAME --enable-oidc-issuer

出力結果にある issuerUrl の値を控えておく。
"oidcIssuerProfile": {
"enabled": true,
"issuerUrl": "https://japaneast.oic.prod-aks.azure.com/hoge/fuga/"
},

15.

手順2 ユーザー割り当てマネージドIDを作成する $ az identity create -n $MANAGEDID_NAME -g $RG_NAME 出力結果にある clientId の値を控えておく。 "clientId": "abcdefgh-1234-5678-9abc-0123456789ab", 作成したマネージドIDに、必要なIAMロールを割り当てておく。

16.

手順3 AKSクラスター上にサービスアカウントを作成する。 その際、annotationsに手順2で作成したマネージドIDのclientIdを指定する。 azure.workload.identity/use: "true" のラベルも必須。 apiVersion: v1 kind: ServiceAccount metadata: annotations: azure.workload.identity/client-id: <マネージドIDのclientId> labels: azure.workload.identity/use: "true" name: <サービスアカウント> namespace: <Namespace>

17.
[beta]
手順4
マネージドIDにフェデレーション資格情報の登録を行う。
手順1で確認した issuerUrl と
手順3で作成した サービスアカウントの情報を利用する。

az identity federated-credential create --name myfederatedIdentity \
--identity-name "${MANAGEDID_NAME}" --resource-group "${RG_NAME}" \
--issuer "<issuerUrl>" \
--subject system:serviceaccount:"<Namespace>":"<サービスアカウント>"

18.

手順5 アプリケーションのPodを起動する際、 手順3で作成したサービスアカウントを指定する apiVersion: v1 kind: Pod metadata: name: test-pod namespace: <Namespace名> spec: serviceAccountName: <サービスアカウント> containers: - name: hoge image: hogehoge:latest

19.

アプリケーションからの認証 アプリケーションからは ⚫ Azure Identity SDK ⚫ Microsoft Authentication Library (MSAL) のどちらかを使って認証を行う。 PythonでAzure Identity SDKを使う場合は以下のように認証を行う。 from azure.identity import DefaultAzureCredential credential = DefaultAzureCredential()

20.

まとめのイメージ図① OIDC Provider ②Issue URLにアクセスし要求を検証 ①SAのTokenを送り AADのTokenを要求 Namespace A ③マネージドIDのTokenを返す ④マネージドIDを利用してAzureリソースにアクセス Namespace B

21.

まとめのイメージ図② OIDC Provider Namespace A マネージドIDに設定した フェデレーション情報と不一致の場合は 認証に失敗する Namespace B

22.

まとめ ⚫ Azureリソースの認証には極力マネージドIDを使おう ⚫ でもAKSのマルチテナント利用を考えると、 クラスタ全体が同じ権限なのは困る ⚫ だから Azure AD ワークロードID を使おう

23.

おまけ情報 過去に弊社ブログにも書いたのでこちらも見てね https://techblog.ap-com.co.jp/entry/2022/12/02/113000

24.

おまけ情報2 Azure AD ワークロードIDは、 KubernetesクラスターがOIDCのIssuerに対応していればよいので、 実は AKS以外でも動く(らしい) EKS・GKEからAzureリソースにアクセスしたい場合にも 同様の手順で設定できると思う(未検証) 誰か試してみて(他力本願) 参考: Managed Clusters – Azure AD Workload Identity (https://azure.github.io/azure-workload-identity/docs /installation/managed-clusters.html)

25.

Enjoy Kubernetes with Azure !