Azure サービス プリンシパル

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

• 戻る
  • Azure > AKS
  • AKSをセキュアに利用するためのテクニカルリファレンス
  • AKSクラスタ作成・操作に必要な権限

目次 †

概要 †

• ≒ SPNのAzure版
• Active Directoryではなく、Azure ADに管理される。
• Role Based Access Control (RBAC)のアクセス権を付与するために使用される。

詳細 †

• Azureのリソース操作用のID

• このID（appId）は、Azure ADによって管理される。

• 基本は、アプリケーション用として利用する。

• しかし、Azure CLI用などとすれば、
  操作者のSubscriptionが変更されても、管理操作の際の権限を維持可能。

パスワードの失効とリフレッシュ †

失効 †

• 既定では一年でパスワード（シークレット）が失効する。
• 無期限に設定することも出来る模様。

リフレッシュ †

• 必要に応じリフレッシュが必要になる。
• リフレッシュはパスワード（シークレット）再作成し、
• アプリケーションにパスワード（シークレット）を再設定する。

SPNの用例 †

Azure CLI用のSPN †

>az ad sp create-for-rbac --skip-assignment
{
  "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "displayName": "azure-cli-2019-12-12-08-08-32",
  "name": "http://azure-cli-2019-12-12-08-08-32",
  "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}
>az role assignment create --assignee "<appId>" --role Reader
>az login --service-principal --username "<appId>" --password "<password>" --tenant TENANT_ID

• 参考
  • Azure CLI で Azure サービス プリンシパルを使用する | Microsoft Docs
    https://docs.microsoft.com/ja-jp/cli/azure/create-an-azure-service-principal-azure-cli?view=azure-cli-latest

AKS制御プレーン用のSPN †

• SPN方式

  az aks create -n myAKSCluster -g myResourceGroup --node-count 2 --service-principal "<appId>" --client-secret "<password>" --generate-ssh-keys

• Managed ID方式

  az aks create -n myAKSCluster -g myResourceGroup --enable-managed-identity

• 参考
  • SPN方式：実行手順
  • Managed ID方式：実行手順

AKS制御プレーンのAKS ARC Pull用 †

• SPN方式

  az role assignment create --assignee "<appId>" --scope "<acrId>" --role acrpull

• Managed ID方式

  az aks update -n myAKSCluster -g myResourceGroup --attach-acr <acrName>

• 参考
  • Microsoft Docs
    • サービス プリンシパルでの認証
      https://docs.microsoft.com/ja-jp/azure/container-registry/container-registry-auth-service-principal
    • マネージド ID による認証
      https://docs.microsoft.com/ja-jp/azure/container-registry/container-registry-authentication-managed-identity

AKS制御プレーンの既存のVNET操作用 †

• SPN方式

  AKS_VNET_ID=$(az network vnet show --name $AKS_VNET_NAME --resource-group $RG_AKS --query id -o tsv)
  az role assignment create --assignee $AKS_SP_ID --role "Contributor" --scope $AKS_VNET_ID

• Managed ID方式

  AKS_VNET_ID=$(az network vnet show --name $AKS_VNET_NAME --resource-group $RG_AKS --query id -o tsv)
  AKS_MANAGED_ID=$(az aks show --name $AKS_CLUSTER_NAME --resource-group $RG_AKS --query identity.principalId -o tsv)
  az role assignment create --assignee $AKS_MANAGED_ID --role "Contributor" --scope $AKS_VNET_ID

• 参考
  • Azure Kubernetes Serviceを別の仮想ネットワークにデプロイする時の注意点 - Qiita
    https://qiita.com/yotan/items/75a54dc60761d5b6f866

参考 †

• 3分でわかるAzureでのService Principal
  https://www.slideshare.net/ToruMakabe/3azure-service-principal

• Azure サービス プリンシパルの作成方法 - poke_dev’s blog
  https://poke-dev.hatenablog.com/entry/2019/11/24/213704

• Azure CLI で Azure サービス プリンシパルを使用する | Microsoft Docs
  https://docs.microsoft.com/ja-jp/cli/azure/create-an-azure-service-principal-azure-cli

Tags: , :セキュリティ, :アカウント, :クラウド, :Azure, :Active Directory, :認証基盤