Azure Active Directory-Anwendung erstellen

In diesem Abschnitt erstellen Sie eine Anwendung und ein Diensthauptkonto für Azure Active Directory (Azure AD). GKE on Azure verwendet diese Objekte zum Speichern von Konfigurationsinformationen in Azure.

  1. Erstellen Sie mit folgendem Befehl die Azure AD-Anwendung:

    az ad app create --display-name APPLICATION_NAME

    Ersetzen Sie APPLICATION_NAME durch einen Namen für Ihre Anwendung, z. B. anthos-clusters.

  2. Führen Sie den folgenden Befehl aus, um die Anwendungs-ID zur späteren Verwendung in einer Umgebungsvariablen zu speichern:

    APPLICATION_ID=$(az ad app list --all \
 --query "[?displayName=='APPLICATION_NAME'].appId" \
 --output tsv)

    Ersetzen Sie APPLICATION_NAME durch den Namen der Anwendung.

  3. Führen Sie den folgenden Befehl aus, um ein Diensthauptkonto für die Anwendung zu erstellen:

    az ad sp create --id "${APPLICATION_ID}"

Identitätsföderation von Arbeitslasten einrichten

Mit der Identitätsföderation von Arbeitslasten kann GKE on Azure sich mit einem Google-Dienstkonto bei Azure authentifizieren. Diese Methode zur Authentifizierung bei Azure ist einfacher als die alte AzureClient-Authentifizierungsmethode, bei der Sie Zertifikate verwalten und manuell in Azure Active Directory (AD) hochladen müssen.

Führen Sie die folgenden Befehle aus, um Anmeldedaten für föderierte Identitäten für Ihre Azure AD-Anwendung zu konfigurieren. Sie können jeder Azure AD-Anwendung bis zu 20 Anmeldedaten hinzufügen.

  1. Erstellen Sie eine JSON-Datei mit dem Namen credential.json.

    {
  "name": "CREDENTIAL_NAME",
  "issuer": "https://accounts.google.com",
  "subject": "service-PROJECT_NUMBER@gcp-sa-gkemulticloud.iam.gserviceaccount.com",
  "audiences": ["api://AzureADTokenExchange"],
  "description": "Allow GKE on Azure to authenticate to the Azure AD application using a Google service account."
}
    • CREDENTIAL_NAME: der Name der Anmeldedaten.
    • PROJECT_NUMBER: die Nummer des Google Cloud Projekts, in dem sich der Cluster befindet.

  2. Erstellen Sie Anmeldedaten für die föderierte Identität für die Azure AD-Anwendung:

    az ad app federated-credential create --id "${APPLICATION_ID}" --parameters credential.json

Weitere Informationen finden Sie in der Azure-Dokumentation unter Azure AD-Identitätsföderation von Arbeitslasten mit Google Cloud.

Sie können die Anmeldedaten für die föderierte Azure-Identität auch mit Terraform bereitstellen. Weitere Informationen finden Sie unter azuread_application_federated_identity_credential.

Nächste Schritte