Azure Kubernetes Service の マネージドMicrosoft Entra 統合を有効化しEntra ID ユーザーでAKS クラスターに接続する

kind: Role
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev-user-full-access
  namespace: dev
rules:
- apiGroups: ["", "extensions", "apps"]
  resources: ["*"]
  verbs: ["*"]
- apiGroups: ["batch"]
  resources:
  - jobs
  - cronjobs
  verbs: ["*"]

---
kind: RoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: dev-user-access
  namespace: dev
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: dev-user-full-access
subjects:
- kind: Group
  namespace: dev
  name: <Entra ID group objectId>

# AKS権限を付与するグループを作成する
az ad group create --display-name aksoperator --mail-nickname aksoperator

# ユーザーを作成しAKS権限のグループに所属させる
# ユーザー作成時にidが表示されるため、グループ所属時にはそちらを指定する
az ad user create --display-name akstestuser1 --user-principal-name akstestuser1@<domain名> --password <password>
az ad group member add --group aksoperator --member-id "<group id>"

# AKS権限のないグループを作成する
az ad group create --display-name aksnotoperator --mail-nickname aksnotoperator

# AKS権限のないグループにユーザーを作成する
# ユーザー作成時にidが表示されるため、こちらをメモする
az ad user create --display-name akstestuser2 --user-principal-name akstestuser2@<domain名> --password <password>
az ad group member add --group aksnotoperator --member-id "<ユーザーのidの値>"

# リソースグループを作成する
az group create --name rg-entraintegtest --location japaneast

# AKSクラスターを作成する
az aks create \
    --resource-group rg-entraintegtest \
    --name aks-entraintegtest \
    --kubernetes-version 1.31.3 \
    --enable-aad \
    --enable-azure-rbac \
    --disable-local-accounts \
    --generate-ssh-keys

# Microsoft Entra統合をするグループのIDを取得する
AKS_ALLOW_GROUP_ID=$(az ad group show --group aksoperator --query id --output tsv)
AKS_DENY_GROUP_ID=$(az ad group show --group aksnotoperator --query id --output tsv)

# グループにサブスクリプションの読み取り権限を付与する
# サブスクリプションは付与したいIDを指定する
az role assignment create \
    --assignee ${AKS_ALLOW_GROUP_ID} \
    --role "Reader" \
    --scope "/subscriptions/<subscription id>"

az role assignment create \
    --assignee ${AKS_DENY_GROUP_ID} \
    --role "Reader" \
    --scope "/subscriptions/<subscription id>"

# AKS許可のグループにAKSクラスターの読み取り用ユーザーの権限を付与する
AKS_ID=$(az aks show \
    --resource-group rg-entraintegtest \
    --name aks-entraintetest \
    --query id --output tsv)
az role assignment create \
    --assignee ${AKS_ALLOW_GROUP_ID} \
    --role "Azure Kubernetes Service Cluster User Role" \
    --scope ${AKS_ID}

# AKSクラスターで操作するユーザーでログインする
# 権限ありの場合はakstestuser1、権限無しの場合はakstestuser2でログインする
az login

# AKSクラスターの資格情報を取得する
az aks get-credentials --resource-group rg-entraintegtest --name aks-entraintegtest

# Azure CLIモードのkubeloginでログインする
kubelogin convert-kubeconfig -l azurecli

# AKSクラスターのノード情報を確認する
kubectl get nodes

akstestuser1 [ ~ ]$ kubectl get nodes
NAME                                STATUS   ROLES    AGE    VERSION
aks-nodepool1-28148931-vmss000003   Ready    <none>   146m   v1.31.3
aks-nodepool1-28148931-vmss000004   Ready    <none>   146m   v1.31.3
aks-nodepool1-28148931-vmss000005   Ready    <none>   146m   v1.31.3

akstestuser2 [ ~ ]$ az aks get-credentials --resource-group rg-entraintegtest --name aks-entraintetest
(AuthorizationFailed) The client 'akstestuser2@kdkwakaba.com' with object id 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' does not have authorization to perform action 'Microsoft.ContainerService/managedClusters/listClusterUserCredential/action' over scope '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-entraintegtest/providers/Microsoft.ContainerService/managedClusters/aks-entraintegtest' or the scope is invalid. If access was recently granted, please refresh your credentials.
Code: AuthorizationFailed
Message: The client 'akstestuser2@kdkwakaba.com' with object id 'xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' does not have authorization to perform action 'Microsoft.ContainerService/managedClusters/listClusterUserCredential/action' over scope '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-entraintegtest/providers/Microsoft.ContainerService/managedClusters/aks-entraintetest' or the scope is invalid. If access was recently granted, please refresh your credentials.

akstestuser1 [ ~ ]$ kubectl get nodes
To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code XXXXXXXXX to authenticate.

# リソースグループを削除する
az group delete --name rg-entraintegtest

# Entra IDのユーザー、グループを削除する
az ad user delete --id akstestuser1@<domain名>
az ad user delete --id akstestuser2@<domain名>
az ad group delete --group aksoperator
az ad group delete --group aksnotoperator