Развертывание приложения с помощью управляемого удостоверения в управляемом кластере Service Fabric

Чтобы развернуть приложение Service Fabric с управляемым удостоверением, необходимо использовать Azure Resource Manager. Обычно это делается с шаблоном Azure Resource Manager. Дополнительные сведения о развертывании приложения Service Fabric с помощью Azure Resource Manager см. в статье Развертывание приложения на управляемом кластере с помощью Azure Resource Manager.

Примеры шаблонов управляемых кластеров доступны здесь: Шаблоны управляемых Service Fabric кластеров

Поддержка управляемого удостоверения в управляемом кластере Service Fabric

Если приложение Service Fabric настроено с управляемыми удостоверениями для ресурсов Azure и развернуто в кластере, будет активирована автоматическая настройка службы токенов управляемого удостоверения в управляемом кластере Service Fabric. Эта служба отвечает за проверку подлинности приложений Service Fabric с помощью их управляемых удостоверений, а также за получение токенов от их имени. Включенная служба отображается в Service Fabric Explorer в разделе Система в области слева под именем fabric:/System/ManagedIdentityTokenService.

Ресурс приложения поддерживает назначение как SystemAssigned, так и UserAssigned, и назначение можно выполнить так, как показано в следующем фрагменте кода.

{
  "type": "Microsoft.ServiceFabric/managedclusters/applications",
  "apiVersion": "2021-05-01",
  "identity": {
    "type": "SystemAssigned",
    "userAssignedIdentities": {}
  },
}

Полная ссылка на JSON

Удостоверение, назначаемое пользователем

Чтобы включить приложение с удостоверением, назначенным пользователем, сначала добавьте свойство identity в ресурс приложения с типом userAssigned и удостоверениями назначенные пользователем. Затем добавьте подраздел managedIdentities в раздел properties для ресурса application, который содержит список понятных имен для сопоставления principalId каждому назначенному пользователем удостоверению. Дополнительные сведения о назначенных пользователем удостоверениях см. в статье Создание, перечисление или удаление назначенного пользователем управляемого удостоверения.

Шаблон приложения

Чтобы включить приложение с пользовательским удостоверением, сначала добавьте свойство identity в ресурс приложения с типом userAssigned и нужные управляемые удостоверения пользователя. Затем добавьте объект managedIdentities в раздел properties со списком понятных имен для сопоставления principalId с каждым назначенным пользователем удостоверением.

{
  "apiVersion": "2021-05-01",
  "type": "Microsoft.ServiceFabric/managedclusters/applications",
  "name": "[concat(parameters('clusterName'), '/', parameters('applicationName'))]",
  "location": "[resourceGroup().location]",
  "dependsOn": [
    "[parameters('applicationVersion')]",
    "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', parameters('userAssignedIdentityName'))]"
  ],
  "identity": {
    "type" : "userAssigned",
    "userAssignedIdentities": {
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', parameters('userAssignedIdentityName'))]": {}
    }
  },
  "properties": {
    "version": "[parameters('applicationVersion')]",
    "parameters": {
    },
    "managedIdentities": [
      {
        "name" : "[parameters('userAssignedIdentityName')]",
        "principalId" : "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', parameters('userAssignedIdentityName')), '2018-11-30').principalId]"
      }
    ]
  }
}

В приведенном выше примере имя ресурса назначенного пользователем удостоверения используется как понятное имя удостоверения для приложения. В следующих примерах предполагается, что используется понятное имя "AdminUser".

Пакет приложения

1. Для каждого удостоверения, определенного в разделе managedIdentities шаблона Azure Resource Manager, добавьте тег <ManagedIdentity> в манифест приложения из раздела Principals. Атрибут Name должен соответствовать свойству name, определенному в разделе managedIdentities.

   ApplicationManifest.xml

     <Principals>
       <ManagedIdentities>
         <ManagedIdentity Name="AdminUser" />
       </ManagedIdentities>
     </Principals>
   

2. В разделе ServiceManifestImport добавьте IdentityBindingPolicy для службы, использующей управляемое удостоверение. Эта политика сопоставляет удостоверение AdminUser с именем удостоверения для службы. Последнее имя необходимо добавить в манифест службы позже.

   ApplicationManifest.xml

     <ServiceManifestImport>
       <Policies>
         <IdentityBindingPolicy ServiceIdentityRef="WebAdmin" ApplicationIdentityRef="AdminUser" />
       </Policies>
     </ServiceManifestImport>
   

3. Измените манифест службы, добавив ManagedIdentity в раздел Resources с именем соответствующим ServiceIdentityRef в IdentityBindingPolicy манифеста приложения:

   ServiceManifest.xml

     <Resources>
       ...
       <ManagedIdentities DefaultIdentity="WebAdmin">
         <ManagedIdentity Name="WebAdmin" />
       </ManagedIdentities>
     </Resources>
   

Управляемое удостоверение, назначаемое системой

Шаблон приложения

Для включения приложения с удостоверением, назначаемым системой, добавьте свойство удостоверение в ресурс приложения с типом systemAssigned, как показано в примере ниже:

    {
      "apiVersion": "2021-05-01",
      "type": "Microsoft.ServiceFabric/managedclusters/applications",
      "name": "[concat(parameters('clusterName'), '/', parameters('applicationName'))]",
      "location": "[resourceGroup().location]",
      "dependsOn": [
        "[concat('Microsoft.ServiceFabric/clusters/', parameters('clusterName'), '/applicationTypes/', parameters('applicationTypeName'), '/versions/', parameters('applicationTypeVersion'))]"
      ],
      "identity": {
        "type" : "systemAssigned"
      },
      "properties": {
        "typeName": "[parameters('applicationTypeName')]",
        "typeVersion": "[parameters('applicationTypeVersion')]",
        "parameters": {
        }
      }
    }

Это свойство объявляет (Azure Resource Manager и Поставщикам управляемых удостоверений и ресурсов Service Fabric, соответственно) о наличии у этого ресурса управляемого удостоверения, предоставленного (system assigned).

Приложение и пакет службы

1. Обновите манифест приложения, чтобы добавить элемент ManagedIdentity в раздел Субъекты, содержащий одну запись, как показано ниже:

   ApplicationManifest.xml

   <Principals>
     <ManagedIdentities>
       <ManagedIdentity Name="SystemAssigned" />
     </ManagedIdentities>
   </Principals>
   

   Это сопоставит удостоверение, назначенное приложению, как ресурс с понятным именем для дальнейшего назначения службам, составляющим приложение.

2. В разделе ServiceManifestImport, соответствующем службе, которой назначается управляемое удостоверение, добавьте элемент IdentityBindingPolicy, как указано ниже:

   ApplicationManifest.xml

     <ServiceManifestImport>
       <Policies>
         <IdentityBindingPolicy ServiceIdentityRef="WebAdmin" ApplicationIdentityRef="SystemAssigned" />
       </Policies>
     </ServiceManifestImport>
   

   Этот элемент назначает удостоверение приложения службе; без такого назначения служба не сможет получить доступ к удостоверению приложения. В приведенном выше фрагменте SystemAssigned удостоверение (которое является зарезервированным ключевым словом) сопоставляется с определением службы с понятным именем WebAdmin.

3. Обновите манифест службы, чтобы элемент ManagedIdentity внутри раздела Ресурсы с именем, соответствующим значению параметра ServiceIdentityRef из определения IdentityBindingPolicy в манифесте приложения:

   ServiceManifest.xml

     <Resources>
       ...
       <ManagedIdentities DefaultIdentity="WebAdmin">
         <ManagedIdentity Name="WebAdmin" />
       </ManagedIdentities>
     </Resources>
   

   Это эквивалентное сопоставление службы, как описано выше, но с точки зрения определения службы. На удостоверение указывает здесь понятное имя (WebAdmin), как объявлено в манифесте приложения.

Следующие шаги

• Предоставление управляемому удостоверению приложения Service Fabric доступа к ресурсам Azure в управляемом кластере Service Fabric
• Использование управляемого удостоверения приложения Service Fabric из кода службы