Disponibilidad general: identidad de carga de trabajo de Azure Active Directory con AKS
Fecha de publicación: 18 abril, 2023
Actualmente, una característica en versión preliminar de Azure Kubernetes Service (AKS) permite asignar identidades administradas a nivel de pod. Esta identidad administrada por pods permite que la aplicación o carga de trabajo hospedada acceda a los recursos a través de Azure Active Directory (Azure AD). Por ejemplo, una carga de trabajo almacena archivos en Azure Storage y, cuando necesita acceder a esos archivos, el pod se autentica en el recurso como una identidad administrada de Azure.
Este método de autenticación se ha reemplazado ahora por identidades de carga de trabajo de Azure Active Directory (Azure AD), que se integran con la funcionalidad nativa de Kubernetes para federarse con cualquier proveedor de identidades externo. Este enfoque es más sencillo de usar e implementar, y supera varias limitaciones de la identidad administrada por pods de Azure AD:
- Elimina los problemas de escala y rendimiento que había para la asignación de identidades.
- Admite clústeres de Kubernetes hospedados en cualquier nube o entorno local.
- Admite cargas de trabajo de Linux y Windows.
- Elimina la necesidad de usar definiciones de recursos personalizados y pods que intercepten el tráfico de Azure Instance Metadata Service (IMDS).
- Evita los complicados pasos de instalación propensos a errores, como la asignación de roles de clúster de la iteración anterior.
La identidad de carga de trabajo de Azure AD funciona especialmente bien con la biblioteca cliente de Azure Identity mediante el SDK de Azure y la biblioteca de autenticación de Microsoft (MSAL) si usa el registro de aplicaciones. La carga de trabajo puede usar cualquiera de estas bibliotecas para autenticarse y acceder sin problemas a los recursos de la nube de Azure.
Más información: https://aka.ms/aks/workloadidentity