Azure Kubernetes 托管标识与 AAD pod 标识

Question

Azure Kubernetes 现在似乎提供了两种访问其他 Azure 资源的方法。 1. AKS 托管标识 - https://docs.microsoft.com/en-us/azure/aks/use-managed-identity 2. AAD pod 身份 - https://github.com/Azure/aad-pod-identity

作为在 AKS 中运行的应用程序，我如何为 AKS 群集托管标识或 AAD pod 标识请求令牌？当我调用 IMDS 端点获取令牌时，它如何知道为哪个身份生成令牌？

Answer 1

同样，主机可以发出授权请求，直接从 NMI 主机端点 (http://127.0.0.1:2579/host/token/) 获取资源的服务主体令牌。请求必须在请求头中包含 pod 命名空间 podns 和 pod 名称 podname 以及请求令牌的资源的资源端点。 NMI 服务器根据请求标头中的 podns 和 podname 识别 pod，然后向 k8s（通过 MIC）查询匹配的 azure 身份。然后 NMI 发出 ADAL 请求以获取请求中资源的令牌，并返回令牌和 clientid 作为响应。

https://github.com/Azure/aad-pod-identity#node-managed-identity

Answer 2

您在选项 1 (https://docs.microsoft.com/en-us/azure/aks/use-managed-identity) 中提到的 AKS 托管标识仅供集群内部使用。您不能使用该身份从您的 pod 访问 azure 资源。

您可以使用 Pod 身份来满足您的需求。您需要为要使用的托管身份创建一个身份绑定 (https://github.com/Azure/aad-pod-identity#5-deploy-azureidentitybinding)，并在您的 pod 规范 (https://github.com/Azure/aad-pod-identity#6-deployment-and-validation) 中指定该身份绑定。

当 pod 从 IMDS 端点请求令牌时，它不需要指定身份：这是由 NMI 根据发出请求的 pod 规范中的身份绑定自动计算出来的。