Kubernetes 認可に Azure ロールベースのアクセス制御を使用する

この記事では、Kubernetes 認可に Azure RBAC を使用する方法について説明します。これにより、Azure リソース、AKS、Kubernetes リソース全体で統合された管理とアクセス制御が可能になります。 詳細については、「Kubernetes 認可のための Azure RBAC」を参照してください。

開始する前に

• Azure CLI バージョン 2.24.0 以降がインストールされ、構成されている必要があります。 バージョンを確認するには、az --version を実行します。 インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。
• kubectl バージョン 1.18.3 以降が必要です。
• Kubernetes 認可用の Azure RBAC を追加する前に、クラスターでマネージド Microsoft Entra 統合を有効にする必要があります。 マネージド Microsoft Entra 統合を有効にする必要がある場合は、「AKS で Microsoft Entra ID を使用する」を参照してください。
• CRD があり、カスタム ロール定義を作成する場合、現時点で CRD をカバーする唯一の方法は Microsoft.ContainerService/managedClusters/*/read を使用することです。 残りのオブジェクトについては、Microsoft.ContainerService/apps/deployments/read などの特定の API グループを使用できます。
• 新しいロールの割り当てが認可サーバーに伝達されて更新されるまで、"最大で 5 分" かかることがあります。
• Azure RBAC for Kubernetes Authorizationでは、認証用に構成された Microsoft Entra テナントと、AKS クラスターが含まれるサブスクリプションのテナントが同じである必要があります。

マネージド Microsoft Entra 統合と Kubernetes 認可用の Azure RBAC を備えた新しい AKS クラスターを作成する

1. az group create コマンドを使用して、Azure リソース グループを作成します。

   export RESOURCE_GROUP=<resource-group-name>
   export LOCATION=<azure-region>
   
   az group create --name $RESOURCE_GROUP --location $LOCATION
   

2. az aks create コマンドを使用して、マネージド Microsoft Entra 統合と Kubernetes 認可用の Azure RBAC を備えた AKS クラスターを作成します。

   export CLUSTER_NAME=<cluster-name>
   
   az aks create \
       --resource-group $RESOURCE_GROUP \
       --name $CLUSTER_NAME \
       --enable-aad \
       --enable-azure-rbac \
       --generate-ssh-keys
   

   出力は次の出力例のようになります。

   "AADProfile": {
       "adminGroupObjectIds": null,
       "clientAppId": null,
       "enableAzureRbac": true,
       "managed": true,
       "serverAppId": null,
       "serverAppSecret": null,
       "tenantId": "****-****-****-****-****"
   }
   

既存の AKS クラスターで Azure RBAC を有効にする

• --enable-azure-rbac フラグを指定した az aks update コマンドを使って、既存の AKS クラスターで Kubernetes の認可用に Azure RBAC を有効にします。

  az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --enable-azure-rbac
  

AKS クラスターで Kubernetes 認可用の Azure RBAC を無効にする

• 既存の AKS クラスターから Kubernetes 認可用の Azure RBAC を削除するには、--disable-azure-rbac フラグを指定した az aks update コマンドを使用します。

  az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --disable-azure-rbac
  

AKS の組み込みロール

AKS には、次の組み込みロールがあります。

クラスター アクセス用のロールの割り当てを作成する

カスタム ロールの定義を作成する

次のカスタム ロール定義の例では、ユーザーはデプロイの読み取りのみ許可され、それ以外は何も許可されません。 使用可能なアクションの全一覧については、Microsoft.ContainerService 操作に関するページを参照してください。

1. 独自のカスタム ロール定義を作成するには、次のファイルをコピーし、<YOUR SUBSCRIPTION ID> を自分のサブスクリプション ID に置き換え、そのファイルを deploy-view.json として保存します。

   {
       "Name": "AKS Deployment Reader",
       "Description": "Lets you view all deployments in cluster/namespace.",
       "Actions": [],
       "NotActions": [],
       "DataActions": [
           "Microsoft.ContainerService/managedClusters/apps/deployments/read"
       ],
       "NotDataActions": [],
       "assignableScopes": [
           "/subscriptions/<YOUR SUBSCRIPTION ID>"
       ]
   }
   

2. az role definition create コマンドを使用し、--role-definition を前の手順で作成した deploy-view.json ファイルに設定して、ロール定義を作成します。

   az role definition create --role-definition @deploy-view.json 
   

3. az role assignment create コマンドを使用して、ロール定義をユーザーまたはその他の ID に割り当てます。

   az role assignment create --role "AKS Deployment Reader" --assignee <AAD-ENTITY-ID> --scope $AKS_ID
   

kubectl で Kubernetes 認可に Azure RBAC を使用する

1. Azure Kubernetes Service クラスター ユーザー組み込みロールがあることを確認し、az aks get-credentials コマンドを使用して AKS クラスターの kubeconfig を取得します。

   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME
   

2. これで、kubectl を使ってクラスターを管理できます。 たとえば、kubectl get nodes を使用してクラスター内のノードを一覧表示できます。

   kubectl get nodes
   

   出力例:

   NAME                                STATUS   ROLES   AGE    VERSION
   aks-nodepool1-93451573-vmss000000   Ready    agent   3h6m   v1.15.11
   aks-nodepool1-93451573-vmss000001   Ready    agent   3h6m   v1.15.11
   aks-nodepool1-93451573-vmss000002   Ready    agent   3h6m   v1.15.11
   

kubelogin で Kubernetes 認可に Azure RBAC を使用する

AKS で kubelogin プラグインが作成されました。これは、非対話型ログイン、以前の kubectl バージョン、新しいクラスターにサインインする必要のない複数クラスター間での SSO の利用などのシナリオを実現するのに役立ちます。

1. kubelogin プラグインを使うには、次のコマンドを実行します。

   export KUBECONFIG=/path/to/kubeconfig
   kubelogin convert-kubeconfig
   

2. これで、kubectl を使ってクラスターを管理できます。 たとえば、kubectl get nodes を使用してクラスター内のノードを一覧表示できます。

   kubectl get nodes
   

   出力例:

   NAME                                STATUS   ROLES   AGE    VERSION
   aks-nodepool1-93451573-vmss000000   Ready    agent   3h6m   v1.15.11
   aks-nodepool1-93451573-vmss000001   Ready    agent   3h6m   v1.15.11
   aks-nodepool1-93451573-vmss000002   Ready    agent   3h6m   v1.15.11
   

リソースをクリーンアップする

ロール割り当ての削除

ロールの定義の削除

• az role definition delete コマンドを使って、カスタム ロール定義を削除します。

  az role definition delete --name "AKS Deployment Reader"
  

リソース グループと AKS クラスターを削除する

次のステップ

AKS の認証、認可、Kubernetes RBAC、Azure RBAC について詳しくは、以下を参照してください。

• AKS のアクセスと ID のオプション
• Azure RBAC とは
• Microsoft.ContainerService 操作