如何自动轮换 Azure AKS 服务主体

Question

我正在使用 Azure kubernetes 服务。创建 AKS iam 时使用服务原则进行身份验证。我通过 power shell 脚本部署了 AKS。

 New-AzResourceGroupDeployment `
   -Name aksname `
   -ResourceGroupName  $RESOURCE_GROUP `
   -TemplateFile $templateFileforakscluster `
   -TemplateParameterFile $parameterFileforakscluster `
   -existingServicePrincipalClientId $aksspid `
   -keyVaultName $KEYVAULT_NAME

现在我注意到这个 SERVICE PRINCIPLE 将在 1 年后失效。有一个az cli命令轮换服务原理link

当我在客户端环境中部署这些时，我想使用一些代码自动轮换它。可能吗？

Answer 1

AKS 周围没有任何东西可以自动执行此操作，您需要安排一个作业或管道来处理更新。话虽如此，为避免必须这样做，您应该考虑使用 Managed Identity 而不是服务原则。 Identity 是一种服务主体的包装器，负责更新，因此更容易维护。