مشاركة عبر

إدارة الحسابات المحلية باستخدام تكامل Microsoft Entra المدار بواسطة AKS

  • مقالة

عند نشر نظام مجموعة AKS، يتم تمكين الحسابات المحلية بشكل افتراضي. حتى عند تمكين تكامل RBAC أو Microsoft Entra، --admin لا يزال الوصول موجودا كخيار خلفي غير قابل للتدقيق. توضح هذه المقالة كيفية تعطيل الحسابات المحلية على مجموعة موجودة، وإنشاء نظام مجموعة جديد مع تعطيل الحسابات المحلية، وإعادة تمكين الحسابات المحلية على المجموعات الموجودة.

قبل البدء

  • راجع تكامل Microsoft Entra المدار بواسطة AKS للحصول على نظرة عامة وإرشادات الإعداد.

تعطيل الحسابات المحلية

يمكنك تعطيل الحسابات المحلية باستخدام المعلمة disable-local-accounts. properties.disableLocalAccounts تمت إضافة الحقل إلى واجهة برمجة تطبيقات نظام المجموعة المدارة للإشارة إلى ما إذا كانت الميزة ممكنة أم لا على نظام المجموعة.

إشعار

  • على المجموعات التي تم تمكين تكامل Microsoft Entra عليها، لا يزال بإمكان المستخدمين المعينين لمجموعة مسؤولي Microsoft Entra المحددة بواسطة aad-admin-group-object-ids الوصول باستخدام بيانات اعتماد غير المسؤول. على أنظمة المجموعات التي لم يتم تمكين تكامل Microsoft Entra وتعيينها properties.disableLocalAccounts إلى true، ستفشل أي محاولة للمصادقة باستخدام بيانات اعتماد المستخدم أو المسؤول.

  • بعد تعطيل حسابات المستخدمين المحليين على مجموعة AKS موجودة حيث قد يكون المستخدمون قد قاموا بالمصادقة باستخدام حسابات محلية، يجب على المسؤول تدوير شهادات نظام المجموعة لإبطال الشهادات التي قد يكون لديهم حق الوصول إليها. إذا كانت هذه مجموعة جديدة، فلا يلزم اتخاذ أي إجراء.

أنشئ نظام مجموعة جديد بدون إنشاء حسابات محلية

  1. إنشاء نظام مجموعة AKS جديد دون أي حسابات محلية az aks create باستخدام الأمر مع العلامة disable-local-accounts .

    az aks create --resource-group <resource-group> --name <cluster-name> --enable-aad --aad-admin-group-object-ids <aad-group-id> --disable-local-accounts

  2. في الإخراج، تأكد من تعطيل الحسابات المحلية عن طريق التحقق من تعيين الحقل properties.disableLocalAccounts إلى true.

    "properties": {
    ...
    "disableLocalAccounts": true,
    ...
}

  3. az aks get-credentials قم بتشغيل الأمر للتأكد من تعيين نظام المجموعة لتعطيل الحسابات المحلية.

    az aks get-credentials --resource-group <resource-group> --name <cluster-name> --admin

    يجب أن يظهر الإخراج رسالة الخطأ التالية التي تشير إلى أن الميزة تمنع الوصول:

    Operation failed with status: 'Bad Request'. Details: Getting static credential isn't allowed because this cluster is set to disable local accounts.

تعطيل الحسابات المحلية على نظام المجموعة الحالي

  1. تعطيل الحسابات المحلية على مجموعة AKS الممكنة لتكامل Microsoft Entra موجود باستخدام az aks update الأمر مع المعلمة disable-local-accounts .

    az aks update --resource-group <resource-group> --name <cluster-name> --disable-local-accounts

  2. في الإخراج، تأكد من تعطيل الحسابات المحلية عن طريق التحقق من تعيين الحقل properties.disableLocalAccounts إلى true.

    "properties": {
    ...
    "disableLocalAccounts": true,
    ...
}

  3. az aks get-credentials قم بتشغيل الأمر للتأكد من تعيين نظام المجموعة لتعطيل الحسابات المحلية.

    az aks get-credentials --resource-group <resource-group> --name <cluster-name> --admin

    يجب أن يظهر الإخراج رسالة الخطأ التالية التي تشير إلى أن الميزة تمنع الوصول:

    Operation failed with status: 'Bad Request'. Details: Getting static credential isn't allowed because this cluster is set to disable local accounts.

إعادة تمكين الحسابات المحلية على نظام المجموعة الحالي

  1. أعد تمكين حساب محلي معطل على نظام مجموعة موجود باستخدام az aks update الأمر مع المعلمة enable-local-accounts .

    az aks update --resource-group <resource-group> --name <cluster-name> --enable-local-accounts

  2. في الإخراج، تأكد من إعادة تمكين الحسابات المحلية عن طريق التحقق من تعيين الحقل properties.disableLocalAccounts إلى false.

    "properties": {
    ...
    "disableLocalAccounts": false,
    ...
}

  3. az aks get-credentials قم بتشغيل الأمر للتأكد من تعيين نظام المجموعة لتمكين الحسابات المحلية.

    az aks get-credentials --resource-group <resource-group> --name <cluster-name> --admin

    يجب أن يظهر الإخراج الرسالة التالية التي تشير إلى أنك قمت بتمكين الحسابات المحلية بنجاح على نظام المجموعة:

    Merged "<cluster-name>-admin" as current context in C:\Users\<username>\.kube\config

الخطوات التالية