Actualizar roles personalizados de Azure para el arranque de certificados de nodos externos

A partir del 30 de noviembre de 2026, Azure Kubernetes Service (AKS) requiere un DataAction dedicado de control de acceso basado en roles de Azure (Azure RBAC) para autorizar la emisión de certificados de cliente kubelet.

Este requisito se aplica a los roles de Azure personalizados que se usan para la renovación de certificados de cliente kubelet o de arranque de nodo externo, incluidas las integraciones de AKS Stretch. No se espera que los nodos administrados por AKS se vean afectados.

Anteriormente, el certificatesigningrequests/write DataAction más amplio también autorizaba la emisión de certificados de cliente de kubelet. AKS separa estos permisos para ayudar a evitar que las entidades de seguridad con acceso de escritura general a las solicitudes de firma de certificados obtengan certificados que las autentiquen como nodos de Kubernetes.

Determinar si un rol personalizado se ve afectado

Un rol personalizado se ve afectado si se usa para cualquiera de las siguientes operaciones:

• Arranque de nodo externo.
• Renovación del certificado de cliente de Kubelet para un nodo externo.

Si un rol personalizado solo se usa para las operaciones generales de solicitud de firma de certificados, no es necesario agregar el nuevo permiso.

Revise los identificadores de rol en la notificación de Azure Service Health o el inventario de roles y determine cómo se usa cada rol. Conservar la solicitud de firma de certificados y los permisos de detección de API existentes de cada rol afectado.

Añada el DataAction requerido

Agregue la DataAction que corresponda al punto de conexión del recurso usado por la integración:

Por ejemplo, un rol personalizado que se usa para el arranque de nodo externo a través de un punto de conexión de clúster administrado incluye los permisos siguientes:

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

Para el acceso de Fleet Hub, miembro de Fleet o AI Manager, use la ruta de acceso del recurso correspondiente de la tabla anterior.

Para actualizar un rol afectado:

1. Recupere la definición de rol actual.
2. Agregue el permiso aplicable certificatesigningrequests/nodeclient/action a la propiedad del DataActions rol.
3. Confirme que todas las solicitudes de firma de certificados existentes y los permisos de detección de API permanecen sin cambios.
4. Actualice la definición del rol personalizado.
5. Espere a que se propague la actualización de RBAC de Azure.

Validar la actualización del rol

Después de actualizar un rol personalizado afectado:

1. Recupere la definición de rol y confirme que el permiso aplicable certificatesigningrequests/nodeclient/action aparece en DataActions.
2. Confirme que todas las solicitudes de firma de certificados existentes y los permisos de detección de API permanecen sin cambios.
3. En un entorno de prueba, realice una prueba de arranque de nodo externo de un extremo a otro y confirme que el nodo alcanza el Ready estado.
4. Para una integración existente, compruebe que el certificado de cliente kubelet se puede renovar correctamente a través de su proceso habitual de validación.

Reserve aproximadamente una hora para la prueba de bootstrap de nodo externo de un extremo a otro. El tiempo total necesario puede variar en función del proceso de administración de cambios de su organización y del número de roles que se actualizan.

Pasos siguientes

• Obtenga información sobre la administración y rotación de certificados en AKS.
• Obtenga información sobre los roles personalizados de Azure.