Benutzerdefinierte Azure-Rollen für das Bootstrap von Zertifikaten externer Knoten aktualisieren

Ab dem 30. November 2026 erfordert Azure Kubernetes Service (AKS) eine dedizierte Azure rollenbasierte Zugriffssteuerung (Azure RBAC) DataAction, um die Kubelet-Clientzertifikateausstellung zu autorisieren.

Diese Anforderung gilt für benutzerdefinierte Azure-Rollen, die für den Bootstrap externer Knoten oder die Erneuerung von Kubelet-Clientzertifikaten verwendet werden, einschließlich AKS Stretch-Integrationen. Es wird nicht erwartet, dass AKS-verwaltete Knoten betroffen sind.

Zuvor autorisierte die umfassendere certificatesigningrequests/write DataAction auch die Ausstellung von Kubelet-Clientzertifikaten. AKS trennt diese Berechtigungen, um zu verhindern, dass Prinzipale mit allgemeinem Schreibzugriff auf Zertifikatsignaturanforderungen Zertifikate erhalten, die sie als Kubernetes-Knoten authentifizieren.

Ermitteln, ob eine benutzerdefinierte Rolle betroffen ist

Eine benutzerdefinierte Rolle ist betroffen, wenn sie für einen der folgenden Vorgänge verwendet wird:

• Bootstrap für Externknoten.
• Kubelet-Clientzertifikatverlängerung für einen externen Knoten.

Wenn eine benutzerdefinierte Rolle nur für allgemeine Zertifikatsignaturanforderungsvorgänge verwendet wird, müssen Sie die neue Berechtigung nicht hinzufügen.

Überprüfen Sie die Rollen-IDs in Ihrer Azure Service Health-Benachrichtigung oder Ihrem Rollenbestand, und bestimmen Sie, wie jede Rolle verwendet wird. Behalten Sie die vorhandenen Zertifikatsignaturanforderung und API-Ermittlungsberechtigungen jeder betroffenen Rolle bei.

Erforderliche DataAction hinzufügen

Fügen Sie die DataAction hinzu, die dem von Ihrer Integration verwendeten Ressourcenendpunkt entspricht:

Beispielsweise enthält eine benutzerdefinierte Rolle, die für den Bootstrap für externe Knoten über einen Managed-Cluster-Endpunkt verwendet wird, die folgende Berechtigungen:

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

Verwenden Sie für Fleet hub, Flottenmitglied oder AI-Manager-Zugriff den entsprechenden Ressourcenpfad aus der vorherigen Tabelle.

So aktualisieren Sie eine betroffene Rolle:

1. Aktuelle Rollendefinition abrufen.
2. Fügen Sie die entsprechende certificatesigningrequests/nodeclient/action Berechtigung zur DataActions Eigenschaft der Rolle hinzu.
3. Vergewissern Sie sich, dass alle vorhandenen Zertifikatsignaturanforderungen und API-Ermittlungsberechtigungen unverändert bleiben.
4. Aktualisieren Sie die benutzerdefinierte Rollendefinition.
5. Zeit zulassen, bis die Azure RBAC-Änderung wirksam wird.

Rollenupdate validieren

Nachdem Sie eine betroffene benutzerdefinierte Rolle aktualisiert haben:

1. Rufen Sie die Rollendefinition ab, und bestätigen Sie, dass die entsprechende certificatesigningrequests/nodeclient/action Berechtigung in DataActions.
2. Vergewissern Sie sich, dass alle vorhandenen Zertifikatsignaturanforderungen und API-Ermittlungsberechtigungen unverändert bleiben.
3. Führen Sie in einer Testumgebung einen End-to-End-Bootstraptest für externe Knoten aus, und vergewissern Sie sich, dass der Knoten den Ready Zustand erreicht.
4. Überprüfen Sie bei einer vorhandenen Integration, ob das Kubelet-Clientzertifikat erfolgreich über Ihren normalen Validierungsprozess erneuert werden kann.

Planen Sie für den End-to-End-Bootstrap-Test für externe Knoten ungefähr eine Stunde ein. Die erforderliche Gesamtzeit kann je nach Änderungsmanagementprozess Ihrer Organisation und der Anzahl der aktualisierten Rollen variieren.

Nächste Schritte

• Erfahren Sie mehr über die Zertifikatverwaltung und Zertifikatrotation in AKS.
• Erfahren Sie mehr über Azure benutzerdefinierte Rollen.