Azure サービスプリンシパルのバックアップ(No.9)

>az ad sp create-for-rbac --skip-assignment
{
  "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "displayName": "azure-cli-2019-12-12-08-08-32",
  "name": "http://azure-cli-2019-12-12-08-08-32",
  "password": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}
>az role assignment create --assignee "<appId>" --role Reader
>az login --service-principal --username "<appId>" --password "<password>" --tenant TENANT_ID

参考
- Azure CLI で Azure サービスプリンシパルを使用する | Microsoft Docs
  https://docs.microsoft.com/ja-jp/cli/azure/create-an-azure-service-principal-azure-cli?view=azure-cli-latest

↑

AKS制御プレーン用 †

SPN方式

az aks create -n myAKSCluster -g myResourceGroup --node-count 2 --service-principal "<appId>" --client-secret "<password>" --generate-ssh-keys

Managed ID方式

az aks create -n myAKSCluster -g myResourceGroup --enable-managed-identity

参考
- SPN方式：実行手順
- Managed ID方式：実行手順

↑

AKS制御プレーンのAKS ARC Pull用 †

SPN方式

az role assignment create --assignee "<appId>" --scope "<acrId>" --role acrpull

Managed ID方式

az aks update -n myAKSCluster -g myResourceGroup --attach-acr <acrName>

参考
- Microsoft Docs
  - サービスプリンシパルでの認証
    https://docs.microsoft.com/ja-jp/azure/container-registry/container-registry-auth-service-principal
  - マネージド ID による認証
    https://docs.microsoft.com/ja-jp/azure/container-registry/container-registry-authentication-managed-identity

↑

AKS制御プレーンの既存のVNET操作用 †

SPN方式

AKS_VNET_ID=$(az network vnet show --name $AKS_VNET_NAME --resource-group $RG_AKS --query id -o tsv)
az role assignment create --assignee $AKS_SP_ID --role "Contributor" --scope $AKS_VNET_ID

Managed ID方式

AKS_VNET_ID=$(az network vnet show --name $AKS_VNET_NAME --resource-group $RG_AKS --query id -o tsv)
AKS_MANAGED_ID=$(az aks show --name $AKS_CLUSTER_NAME --resource-group $RG_AKS --query identity.principalId -o tsv)
az role assignment create --assignee $AKS_MANAGED_ID --role "Contributor" --scope $AKS_VNET_ID

参考
- Azure Kubernetes Serviceを別の仮想ネットワークにデプロイする時の注意点 - Qiita
  https://qiita.com/yotan/items/75a54dc60761d5b6f866

↑

参考 †

3分でわかるAzureでのService Principal
https://www.slideshare.net/ToruMakabe/3azure-service-principal

Azure サービスプリンシパルの作成方法 - poke_dev’s blog
https://poke-dev.hatenablog.com/entry/2019/11/24/213704

Azure CLI で Azure サービスプリンシパルを使用する | Microsoft Docs
https://docs.microsoft.com/ja-jp/cli/azure/create-an-azure-service-principal-azure-cli

Tags: , :セキュリティ, :アカウント, :クラウド, :Azure, :Active Directory, :認証基盤

Azure サービス プリンシパル のバックアップ(No.9)

目次 †

概要 †

詳細 †

パスワードの失効とリフレッシュ †

失効 †

リフレッシュ †

ラッパとしてのAzure Managed ID †

用例 †

オートメーション・アカウント †

Key Vault用 †

Azure CLI用 †

AKS制御プレーン用 †

AKS制御プレーンのAKS ARC Pull用 †

AKS制御プレーンの既存のVNET操作用 †

参考 †