Mettre à jour les rôles Azure personnalisés pour le bootstrap des certificats des nœuds externes

À compter du 30 novembre 2026, Azure Kubernetes Service (AKS) exigera une action de données (DataAction) dédiée du contrôle d’accès en fonction du rôle Azure (Azure RBAC) pour autoriser l’émission de certificats clients kubelet.

Cette exigence s’applique aux rôles de Azure personnalisés utilisés pour le renouvellement de certificat client kubelet ou de démarrage de nœud externe, y compris les intégrations AKS Stretch. Les nœuds gérés par AKS ne sont pas censés être affectés.

Auparavant, l’ensemble certificatesigningrequests/write de DataAction autorisait également l’émission de certificat client kubelet. AKS sépare ces autorisations pour empêcher les principaux disposant d’un accès en écriture de demande de signature de certificat général d’obtenir des certificats qui les authentifient en tant que nœuds Kubernetes.

Déterminer si un rôle personnalisé est affecté

Un rôle personnalisé est affecté s’il est utilisé pour l’une des opérations suivantes :

• Amorçage de nœud externe.
• Renouvellement du certificat client Kubelet pour un nœud externe.

Si un rôle personnalisé est utilisé uniquement pour les opérations générales de demande de signature de certificat, vous n’avez pas besoin d’ajouter la nouvelle autorisation.

Passez en revue les ID de rôle dans votre notification de Azure Service Health ou votre inventaire des rôles et déterminez comment chaque rôle est utilisé. Conservez les autorisations de signature de certificat existantes de chaque rôle concerné et les autorisations de découverte d’API.

Ajouter l’action DataAction requise

Ajoutez DataAction qui correspond au point de terminaison de ressource utilisé par votre intégration :

Par exemple, un rôle personnalisé utilisé pour le démarrage de nœud externe via un point de terminaison de cluster managé inclut les autorisations suivantes :

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

Pour l’accès Fleet Hub, Fleet member ou AI Manager, utilisez le chemin de ressource correspondant à partir du tableau précédent.

Pour mettre à jour un rôle affecté :

1. Récupérez la définition de rôle actuelle.
2. Ajoutez l’autorisation applicable certificatesigningrequests/nodeclient/action à la propriété DataActions du rôle.
3. Vérifiez que toutes les demandes de signature de certificat existantes et les autorisations de découverte d’API restent inchangées.
4. Mettez à jour la définition de rôle personnalisée.
5. Attendez que la mise à jour Azure RBAC se propage.

Valider la mise à jour du rôle

Après avoir mis à jour un rôle personnalisé affecté :

1. Récupérez la définition de rôle et vérifiez que l’autorisation applicable certificatesigningrequests/nodeclient/action apparaît dans DataActions.
2. Vérifiez que toutes les demandes de signature de certificat existantes et les autorisations de découverte d’API restent inchangées.
3. Dans un environnement de test, effectuez un test de démarrage de nœud externe de bout en bout et vérifiez que le nœud atteint l’état Ready .
4. Pour une intégration existante, vérifiez que le certificat client kubelet peut être renouvelé avec succès via votre processus de validation normal.

Prévoyez environ une heure pour le test de démarrage de nœud externe de bout en bout. Le temps total nécessaire peut varier en fonction du processus de gestion des modifications de votre organisation et du nombre de rôles mis à jour.

Étapes suivantes

• Découvrez la gestion et la rotation des certificats dans AKS.
• Découvrez les rôles personnalisés d’Azure.