Aangepaste Azure-rollen bijwerken voor bootstrap van certificaten voor externe knooppunten

Vanaf 30 november 2026 vereist Azure Kubernetes Service (AKS) een toegewezen DataAction voor op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC) om de uitgifte van kubelet-clientcertificaten te autoriseren.

Deze vereiste is van toepassing op aangepaste Azure rollen die worden gebruikt voor bootstrap van externe knooppunten of het vernieuwen van kubelet-clientcertificaten, waaronder AKS Stretch-integraties. AKS-beheerde knooppunten worden naar verwachting niet beïnvloed.

Voorheen heeft de bredere certificatesigningrequests/write DataAction ook de uitgifte van kubelet-clientcertificaten geautoriseerd. AKS scheidt deze machtigingen om te voorkomen dat beveiligingsprincipals met algemene schrijftoegang tot aanvragen voor certificaatondertekening certificaten verkrijgen waarmee ze als Kubernetes-knooppunten kunnen worden geauthenticeerd.

Bepalen of een aangepaste rol wordt beïnvloed

Een aangepaste rol wordt beïnvloed als deze wordt gebruikt voor een van de volgende bewerkingen:

• Bootstrap van extern knooppunt.
• Kubelet-clientcertificaatvernieuwing voor een extern knooppunt.

Als een aangepaste rol alleen wordt gebruikt voor algemene bewerkingen voor aanvragen voor certificaatondertekening, hoeft u de nieuwe machtiging niet toe te voegen.

Controleer de rol-id's in uw Azure Service Health-melding of in uw rolinventaris en bepaal hoe elke rol wordt gebruikt. Behoud de bestaande aanvraag voor certificaatondertekening en API-detectiemachtigingen voor elke betrokken rol.

De vereiste DataAction toevoegen

Voeg de DataAction toe die overeenkomt met het resource-eindpunt dat wordt gebruikt door uw integratie:

Een aangepaste rol die wordt gebruikt voor het opstarten van een extern knooppunt via een eindpunt voor een beheerd cluster, bevat bijvoorbeeld de volgende machtigingen:

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

Gebruik voor Fleet Hub-, Fleet-lid- of AI Manager-toegang het bijbehorende resourcepad uit de voorgaande tabel.

Een betrokken rol bijwerken:

1. Haal de huidige roldefinitie op.
2. Voeg de toepasselijke certificatesigningrequests/nodeclient/action machtiging toe aan de DataActions-eigenschap van de rol.
3. Controleer of alle bestaande aanvragen voor certificaatondertekening en API-detectiemachtigingen ongewijzigd blijven.
4. Werk de definitie van de aangepaste rol bij.
5. Geef de Azure RBAC-update de tijd om te worden doorgevoerd.

De rolupdate valideren

Nadat u een betrokken aangepaste rol hebt bijgewerkt:

1. Haal de roldefinitie op en bevestig dat de toepasselijke certificatesigningrequests/nodeclient/action machtiging wordt weergegeven in DataActions.
2. Controleer of alle bestaande aanvragen voor certificaatondertekening en API-detectiemachtigingen ongewijzigd blijven.
3. Voer in een testomgeving een end-to-end bootstraptest voor extern knooppunt uit en controleer of het knooppunt de Ready status bereikt.
4. Controleer voor een bestaande integratie of het kubelet-clientcertificaat kan worden vernieuwd via uw normale validatieproces.

Reken op ongeveer één uur voor de end-to-end bootstraptest voor externe knooppunten. De totale benodigde tijd kan variëren, afhankelijk van het wijzigingsbeheerproces van uw organisatie en het aantal rollen dat wordt bijgewerkt.

Volgende stappen 

• Meer informatie over certificaatbeheer en rotatie in AKS.
• Meer leren over Azure-aangepaste rollen.