将 Azure AD 凭据集成到 Kubeflow 笔记本 pod

Question

我目前正在使用 AKS 在 Azure 中设置 Kubeflow 环境。一切都已设置并正常工作（用户可以使用 Azure AZ 凭据登录 kubeflow 平台，并在自己的命名空间中启动 notebook pod）。我假设这些 AD 凭据嵌入在容器创建过程中的某个位置，我想知道是否可以将这些凭据用于集成 AD 的其他服务？

用例：

用户正在使用从 Kubeflow 平台启动的 Jupyter 笔记本。用户希望访问 Azure 存储 blob 中的数据。容器已经存储了他们的凭据，而不必从他们的笔记本会话登录到 Azure。

这听起来很合理，但我不确定它是否真的可以以安全的方式完成。

Answer 1

假设您按照Authentication using OIDC in Azure 中的说明进行操作：不，使用默认配置是不可能的。

OIDC 的工作方式是通过给定的受众（它应该与谁一起使用）和授予（它说你应该能够做的事情）返还一个令牌。颁发给 Kubeflow 的令牌仅对 Kubeflow 服务主体受众有效；换句话说，您不能再获取相同的令牌并将其与 Azure API 一起使用。这是设计使然，并且是 OIDC 安全性的关键因素之一。允许 Kubeflow 有权颁发更多令牌（通常通过 user_impersonation 授权）会带来相当大的安全问题 - 现在任何设法破坏该应用程序机密的人都可以获得强大的令牌，而不是通常设计的受限范围令牌。

如果他们需要访问的资源不是特定于相关用户，aad-pod-identity 可用于向用户正在运行的 Pod 授予访问令牌，而不是要求他们再次登录。