Uppdatera anpassade Azure-roller för certifikatbootstrap för externa noder

Från och med den 30 november 2026 kräver Azure Kubernetes Service (AKS) en dedikerad Azure rollbaserad åtkomstkontroll (Azure RBAC) DataAction för att auktorisera kubelet-klientcertifikatutfärdande.

Det här kravet gäller för anpassade Azure roller som används för bootstrap för externa noder eller förnyelse av kubelet-klientcertifikat, inklusive AKS Stretch-integreringar. AKS-hanterade noder förväntas inte påverkas.

Tidigare auktoriserade även det bredare certificatesigningrequests/write DataAction utfärdande av kubelet-klientcertifikat. AKS separerar dessa behörigheter för att förhindra att säkerhetsobjekt med allmän skrivbehörighet för begäranden om certifikatsignering hämtar certifikat som autentiserar dem som Kubernetes-noder.

Avgöra om en anpassad roll påverkas

En anpassad roll påverkas om den används för någon av följande åtgärder:

• Initialisering av extern nod.
• Förnyelse av Kubelet-klientcertifikat för en extern nod.

Om en anpassad roll endast används för allmänna åtgärder för certifikatsigneringsbegäran behöver du inte lägga till den nya behörigheten.

Granska roll-ID:na i ditt Azure Service Health-meddelande eller din rollinventering och ta reda på hur varje roll används. Behåll varje berörd rolls befintliga certifikatsigneringsbegäran och API-upptäcktsbehörigheter.

Lägg till den nödvändiga DataAction

Lägg till den DataAction som motsvarar den resursslutpunkt som används av din integration:

Till exempel innehåller en anpassad roll som används för initiering av externa noder via en slutpunkt för hanterat kluster följande behörigheter:

{
  "DataActions": [
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/write",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/delete",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/read",
    "Microsoft.ContainerService/managedClusters/apis/certificates.k8s.io/v1beta1/read",
    "Microsoft.ContainerService/managedClusters/certificates.k8s.io/certificatesigningrequests/nodeclient/action"
  ]
}

För fleet hub, fleet member eller AI Manager-åtkomst använder du motsvarande resurssökväg från föregående tabell.

Så här uppdaterar du en påverkad roll:

1. Hämta den aktuella rolldefinitionen.
2. Lägg till tillämplig certificatesigningrequests/nodeclient/action behörighet till rollens DataActions egenskap.
3. Bekräfta att alla befintliga certifikatsigneringsbegäranden och behörigheter för API-upptäckt förblir oförändrade.
4. Uppdatera definitionen för anpassad roll.
5. Ge Azure RBAC-uppdateringen tid att spridas.

Validera rolluppdateringen

När du har uppdaterat en påverkad anpassad roll:

1. Hämta rolldefinitionen och bekräfta att den tillämpliga certificatesigningrequests/nodeclient/action behörigheten visas i DataActions.
2. Bekräfta att alla befintliga certifikatsigneringsbegäranden och behörigheter för API-upptäckt förblir oförändrade.
3. I en testmiljö utför du ett bootstrap-test från slutpunkt till slutpunkt för extern nod och bekräftar att noden når Ready-tillståndet.
4. För en befintlig integrering kontrollerar du att kubelet-klientcertifikatet kan förnyas med hjälp av den normala valideringsprocessen.

Avsätt ungefär en timme för bootstrap-testet för extern nod för hela flödet. Den totala tid som krävs kan variera beroende på organisationens ändringshanteringsprocess och antalet roller som uppdateras.

Nästa steg

• Lär dig mer om certifikathantering och rotation i AKS.
• Läs mer om anpassade Azure-roller.