Azure AD 工作负载身份认证指南

Azure AD 工作负载身份认证指南

azure-workload-identityAzure AD Workload Identity uses Kubernetes primitives to associate managed identities for Azure resources and identities in Azure Active Directory (AAD) with pods.项目地址:https://gitcode.com/gh_mirrors/az/azure-workload-identity

项目介绍

Azure AD 工作负载身份认证 是一个面向 Kubernetes 集群的工作负载身份解决方案，它通过整合 Kubernetes 的原生能力与外部身份提供者实现联邦认证，从而简化了云原生应用访问 Azure AD 保护资源（如 Azure Key Vault 和 Microsoft Graph）的方式。这一方案解决了 Azure AD Pod Identity 项目中的扩展性与性能限制，允许应用利用 Azure 管理的身份，而无需在集群中管理敏感的凭证信息。通过直接集成到 Kubernetes 生态系统中，它提供了更简洁的部署体验以及克服了前任方案的一些局限。

项目快速启动

准备环境

首先确保你的环境已配置好 Kubernetes 集群，并且安装了必要的 CLI 工具（如 kubectl, go, Azure CLI）。还需要设置好 Azure AD 相关的权限和资源。

安装 Azure AD Workload Identity

由于具体的安装步骤可能会随项目更新而变化，建议参考官方仓库的最新文档来执行安装命令。通常涉及创建必要的服务主体和配置 Kubernetes 的插件。

示例代码集成

以下是一个简单的 Go 语言示例，展示如何使用 Azure AD 工作负载身份认证来从 Key Vault 获取秘密：

package main

import (
    "context"
    "os"

    "github.com/Azure/azure-sdk-for-go/sdk/security/keyvault/azsecrets"
    "k8s.io/klog/v2"
)

func main() {
    keyVaultUrl := os.Getenv("KEYVAULT_URL")
    secretName := os.Getenv("SECRET_NAME")

    credential, err := azidentity.NewDefaultAzureCredential(nil)
    if err != nil {
        klog.Fatal(err)
    }

    client, err := azsecrets.NewClient(keyVaultUrl, credential, nil)
    if err != nil {
        klog.Fatal(err)
    }

    secret, err := client.GetSecret(context.Background(), secretName, nil)
    if err != nil {
        klog.ErrorS(err, "failed to get secret", "keyvault", keyVaultUrl, "secretName", secretName)
        os.Exit(1)
    }
}

确保设置了正确的环境变量 KEYVAULT_URL 和 SECRET_NAME，以指向你的 Key Vault 资源和要获取的秘密名称。

应用案例和最佳实践

• 微服务架构: 在微服务环境中，每个服务可以配置独立的Azure AD工作负载身份，安全地访问私密数据。
• 无服务器与函数计算: 结合无服务器架构，自动处理认证，减少配置复杂度。
• 自动化部署和管理: 利用Kubernetes的Custom Resource Definitions(CRDs)进行动态密钥或证书的分配与管理。

最佳实践

• 最小权限原则: 给予服务最少必要的权限，提高安全性。
• 持续监控: 监控身份认证活动，及时发现异常行为。
• 定期轮换身份: 根据安全策略定期更新使用的Azure AD身份。

典型生态项目

Azure AD 工作负载身份认证与 Kubernetes 社区紧密结合，支持多种云原生工具和框架，例如 Istio、Envoy、以及云提供商的托管服务。在实施过程中，可以探索与服务网格结合，实现更精细的服务间通信安全保障，或者利用Helm图表简化部署流程。随着Kubernetes生态的不断发展，更多的集成实例和库将不断涌现，为开发者提供更加丰富和便捷的选项。

请注意，对于具体操作细节和最新指导，务必参考官方文档，因为依赖项和接口可能会有所变化。

azure-workload-identityAzure AD Workload Identity uses Kubernetes primitives to associate managed identities for Azure resources and identities in Azure Active Directory (AAD) with pods.项目地址:https://gitcode.com/gh_mirrors/az/azure-workload-identity