如果不与 AAD 集成，AKS 群集是否默认不安全？

Question

我正在阅读integrating AAD with AKS 上的文档，这似乎不是一个很好的解决方案。它采用在令牌本身中包含组成员声明的方法，但在 JWT 中最多允许 200 个组声明 - 对于大型组织中的用户来说很容易超过，因为声明包括传递组成员资格。有两种更好的方法：

1. 将安全组与服务主体对象中的角色相关联，然后让 AKS 根据 JWT 中的角色做出授权决策 (docs)
2. 将 AAD Graph Directory.Read.All 范围添加到 AKS AAD 应用程序，以便 AKS 可以根据请求使用代表流查询组成员身份（需要 AAD 管理员同意，这很烦人，但无论如何）。李>

由于当前的解决方案不符合我们的需求，我不得不问 - 如果我们不能将 AAD 与 AKS 集成，那么如何保护集群？默认不安全吗？

Answer 1

默认情况下，它使用Kubernetes security model，当您将其与 AAD 集成时，并没有真正改变，您只需将 AAD 原则分配给 Kubernetes 角色。而已。因此，与 AAD 集成相比，它并没有更安全，使用 AAD 原则管理权限比必须在 Kubernetes 中创建用户并授予他们权限更方便