azure - 将 Azure AD 凭据集成到 Kubeflow 笔记本 Pod

Question

我目前正在使用 AKS 在 Azure 中设置 Kubeflow 环境。一切都已设置完毕并正常运行(用户可以使用 Azure AZ 凭据登录 kubeflow 平台并在自己的命名空间中启动笔记本 Pod)。我假设这些 AD 凭据嵌入在容器创建过程中的某个位置，我想知道是否可以利用这些凭据来实现 AD 集成的其他服务？

用例:

用户正在从 Kubeflow 平台启动的 Jupyter 笔记本中工作。用户希望访问 Azure 存储 blob 中的数据。容器已经存储了他们的凭据，而不必从笔记本 session 登录 Azure。

这听起来很合理，但我不确定它是否真的可以以安全的方式完成。

Answer 1

假设您按照 Authentication using OIDC in Azure 中的说明进行操作:不，使用默认配置这是不可能的。

OIDC 的工作方式是向特定受众(应该与谁一起使用)返还代币和赠款(它表示您应该能够做什么)。颁发给 Kubeflow 的 token 仅对 Kubeflow 服务主要受众有效；换句话说，您无法使用相同的 token 并将其与 Azure API 一起使用。这是设计使然，也是 OIDC 安全性的关键因素之一。允许 Kubeflow 有权颁发更多 token (通常通过 user_impersonation 授予)会带来相当大的安全问题 - 现在，任何设法破坏该应用程序 secret 的人都可以获得强大的 token ，而不是通常设计的有限范围 token 。

如果他们需要访问的资源并非特定于相关用户，aad-pod-identity可用于向用户正在运行的 Pod 授予访问 token ，而不是要求他们再次登录。