创建 Azure 角色分配
在本部分中,您将为 GKE on Azure 授予访问 Azure API 的权限。
要将服务主账号和订阅 ID 保存到 Shell 变量,请运行以下命令。将 APPLICATION_NAME
替换为您的应用的名称。
APPLICATION_ID=$(az ad app list --all \
--query "[?displayName=='APPLICATION_NAME'].appId" \
--output tsv)
SERVICE_PRINCIPAL_ID=$(az ad sp list --all --output tsv \
--query "[?appId=='$APPLICATION_ID'].id")
SUBSCRIPTION_ID=$(az account show --query "id" --output tsv)
将权限分配给服务主账号。GKE on Azure 需要权限,以便在订阅级别为托管式 Azure 资源预配所需的角色。
如需创建具有所需订阅范围权限的自定义角色,请执行以下操作:
创建名为
RoleAssignmentCreator.json
的新文件。在编辑器中打开
RoleAssignmentCreator.json
并添加以下权限:{ "Name": "Role Assignment Creator", "IsCustom": true, "Description": "Can create Azure role assignments.", "Actions": [ "Microsoft.Authorization/roleAssignments/read", "Microsoft.Authorization/roleAssignments/write", "Microsoft.Authorization/roleAssignments/delete", "Microsoft.Authorization/roleDefinitions/read" ], "NotActions": [], "DataActions": [], "NotDataActions": [], "AssignableScopes": ["/subscriptions/${SUBSCRIPTION_ID}"] }
使用以下命令创建新的自定义角色:
az role definition create --role-definition "~/CustomRoles/RoleAssignmentCreator.json"
使用以下命令将角色分配给服务主账号:
az role assignment create --assignee ${SERVICE_PRINCIPAL_ID} --role "Role Assignment Creator" --scope /subscriptions/${SUBSCRIPTION_ID}
分配权限时,您可以在 Azure 订阅级层(应用于订阅中的所有资源)或资源组级层(将权限限制为特定资源组)限定权限范围。
订阅
为订阅分配 Contributor、User Access Administrator 和 Key Vault Administrator 角色:
az role assignment create \
--role "Contributor" \
--assignee "${SERVICE_PRINCIPAL_ID}" \
--scope "/subscriptions/${SUBSCRIPTION_ID}"
az role assignment create \
--role "User Access Administrator" \
--assignee "${SERVICE_PRINCIPAL_ID}" \
--scope "/subscriptions/${SUBSCRIPTION_ID}"
az role assignment create \
--role "Key Vault Administrator" \
--assignee "${SERVICE_PRINCIPAL_ID}" \
--scope "/subscriptions/${SUBSCRIPTION_ID}"
资源组
创建范围限定为集群资源组的角色分配。将
CLUSTER_RESOURCE_GROUP_NAME
替换为 GKE on Azure 的资源组名称。az role assignment create \ --role "Contributor" \ --assignee "${SERVICE_PRINCIPAL_ID}" \ --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/CLUSTER_RESOURCE_GROUP_NAME" az role assignment create \ --role "User Access Administrator" \ --assignee "${SERVICE_PRINCIPAL_ID}" \ --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/CLUSTER_RESOURCE_GROUP_NAME" az role assignment create \ --role "Key Vault Administrator" \ --assignee "${SERVICE_PRINCIPAL_ID}" \ --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/CLUSTER_RESOURCE_GROUP_NAME"
如果 Azure 虚拟网络位于不同的资源组中,请创建范围限定为虚拟网络资源组的角色分配。
az role assignment create \ --role "Virtual Machine Contributor" \ --assignee "${SERVICE_PRINCIPAL_ID}" \ --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/VNET_RESOURCE_GROUP_NAME" az role assignment create \ --role "User Access Administrator" \ --assignee "${SERVICE_PRINCIPAL_ID}" \ --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/VNET_RESOURCE_GROUP_NAME"
请替换以下内容:
VNET_RESOURCE_GROUP_NAME
:GKE on Azure VNet 的资源组名称