「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
複雑なモノなので、それなりに複雑。
詳細 †
AKSクラスタに必要な権限 †
- AKSクラスタ作成には「az aks create」を実行する。
- 「az aks create」の実行には高権限が必要
- 「az aks create」では以下の操作・権限が必要になる。
- AKSクラスタへのデプロイでは「kubectl apply」を実行する。
- 「kubectl apply」の実行にはコンテナ・レジストリのアクセス権限が必要
サブスクリプションのContributorロール †
「制御プレーン、実行ノードを作成する。」ために必要になる。
「AKS(制御プレーン)用IDをAzure Active Directoryに登録する。」ために必要になる。
サブスクリプションのSecurity Adminロール †
「AKS(制御プレーン)用IDに高い権限を持たせる。」ために必要になる。
ACRにアクセスするAcrPull?ロール †
「「kubectl apply」の実行のためコンテナ・レジストリをpullする。」ために必要になる。
以下の方法で、「az aks create」を行い、AKS(制御プレーン)用IDを作成する。
AzADのアプリID作成権限権限を持って「いない」ケース
- ポイント
- 一年でパスワード（シークレット）が失効する（無期限にも出来る）。
- SPNは権限のある人間に作成してもらう。
- パスワード（シークレット）の再設定は、
「az aks update-credentials」で行う。
Ownerロール＋AzADのアプリID作成権限権限を持ってい「る」ケース
付与する権限と作成するAppIDの対応 †
付与する権限 †
以下の権限が必要になる。
作成するAppID †
AKS管理リソースグループ外を利用する場合 †
対象のリソースに対するサブスクリプションのContributorロール権限を付与する。
既存のVNETに対するサブスクリプションのContributorロール権限を付与する。
... †
- 基本的に、上記と同じ。
- AcrPull?＋Managed IDのような場合は、
専用コマンドが用意されているケースはありそう。
参考 †
Tags: :クラウド, :コンテナ, :Azure, :AKS, :IaC, :セキュリティ
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
