azure - 使用服务主体创建具有 Kubernetes RBAC 和 AD 集成的 AKS 集群。它如何也为自己分配集群管理员？

Question

我有一个服务主体，它是订阅的所有者，我使用它作为脚本的一部分创建 Azure Kubernetes 服务集群。我希望我的集群使用:

Kubernetes RBAC --> enable
AKS-managed AAD --> enable
Local accounts  --> disabled

我希望创建集群的同一个服务主体能够创建 k8s 角色和角色绑定(bind)，但是为了做到这一点，服务主体似乎需要集群管理角色绑定(bind)。

创建集群时，可以选择添加“管理组对象 ID”数组，这似乎为 AD 组创建集群管理角色绑定(bind)。但是 SPN 不能是组的一部分。

这个过程还有什么办法吗？

Answer 1

我尝试在我的环境中重现相同的结果，并得到如下结果:

要将 Azure Kubernetes 服务 RBAC 集群管理员分配给服务主体，您可以使用以下 cli 命令:

az role assignment create --assignee <appId> --scope <resourceScope> --role Azure Kubernetes Service RBAC Cluster Admin

当我运行此命令时，kubernetes 角色已成功添加，如下所示

或者，在 azure AD 中创建一个组添加服务主体作为成员，如下所示:

现在，在集群配置中添加组，如下所示

您可以使用下面的 cli 命令来使用服务主体创建 aks 集群，如下所示:

az aks create \
    --resource-group myResourceGroup \
    --name myAKSCluster \
    --service-principal <appId> \
    --client-secret <password>

引用:

Use a service principal with Azure Kubernetes Services (AKS) - Azure Kubernetes Service | Microsoft Learn