Azure Kubernetes Service (AKS) クラスターの資格情報を更新またはローテーションする

[アーティクル]
10/30/2023

サービスプリンシパルで作成された AKS クラスターには 1 年間の有効期間があります。期限が近づいたら、資格情報をリセットしてサービスプリンシパルの期限を延長することができます。また、定義済みのセキュリティポリシーの一環として、資格情報を更新またはローテーションすることもできます。認証プロバイダーとして Microsoft Entra ID と統合された AKS クラスターには、さらに 2 つの ID (Microsoft Entra サーバーアプリと Microsoft Entra クライアントアプリ) があります。この記事では、AKS クラスターのサービスプリンシパルと Microsoft Entra の各資格情報を更新する方法について詳しく説明します。

Note

または、サービスプリンシパルの代わりに、マネージド ID をアクセス許可に使用できます。マネージド ID では、更新やローテーションは必要ありません。詳細については、マネージド ID の使用に関するページを参照してください。

開始する前に

Azure CLI バージョン 2.0.65 以降がインストールされて構成されている必要があります。バージョンを確認するには、az --version を実行します。インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。

AKS クラスター用の新しいサービスプリンシパルを更新または作成する

AKS クラスターの資格情報を更新するときは、以下のどちらかを選択できます。

既存のサービスプリンシパルの資格情報を更新します。
新しいサービスプリンシパルを作成し、それらの新しい資格情報を使用するようにクラスターを更新します。

警告

"新しい" サービスプリンシパルを作成する場合、サービスプリンシパルの権限がすべてのリージョンに行き渡るまで 30 分程度待ちます。これらの認証情報を使用するように規模の大きい AKS クラスターを更新する際は、完了までに時間がかかる場合があります。

サービスプリンシパルの有効期限を確認する

サービスプリンシパルの有効期限を確認するには、az ad app credential list コマンドを使用します。次の例では、az aks show コマンドを使用して、myResourceGroup リソースグループ内の myAKSCluster という名前のクラスターのサービスプリンシパル ID を取得します。サービスプリンシパル ID は、SP_ID という名前の変数として設定されます。

SP_ID=$(az aks show --resource-group myResourceGroup --name myAKSCluster \
    --query servicePrincipalProfile.clientId -o tsv)
az ad app credential list --id "$SP_ID" --query "[].endDateTime" -o tsv

既存のサービスプリンシパルの資格情報をリセットする

既存のサービスプリンシパルの資格情報を更新するには、az aks show コマンドを使用して、クラスターのサービスプリンシパル ID を取得します。以下の例は、myResourceGroup リソースグループにある myAKSCluster という名前のクラスターの ID を取得します。 SP_ID という名前の変数には、次の手順で使用するサービスプリンシパル ID が格納されます。これらのコマンドでは、Bash コマンド言語が使用されます。

警告

Azure Virtual Machine Scale Sets を使用する AKS クラスターでクラスターの資格情報をリセットすると、ノードイメージのアップグレードが実行され、新しい資格情報でノードが更新されます。

SP_ID=$(az aks show --resource-group myResourceGroup --name myAKSCluster \
    --query servicePrincipalProfile.clientId -o tsv)

az ad app credential reset コマンドを使用して資格情報をリセットするには、サービスプリンシパル ID を含む変数 SP_ID を使用します。次の例では、Azure プラットフォームによってサービスプリンシパルに対して新しいセキュリティで保護されたシークレットが生成され、SP_SECRET という名前の変数として格納できます。

SP_SECRET=$(az ad app credential reset --id "$SP_ID" --query password -o tsv)

次に、サービスプリンシパルの資格情報で AKS クラスターを更新します。この手順は、AKS クラスターのサービスプリンシパルを更新するために必要です。

新しいサービスプリンシパルを作成する

Note

前のセクションで既存のサービスプリンシパル資格情報を更新した場合は、このセクションをスキップし、代わりにサービスプリンシパルの資格情報で AKS クラスターを更新します。

サービスプリンシパルを作成し、新しい資格情報を使用するように AKS クラスターを更新するには、az ad sp create-for-rbac コマンドを使用します。

az ad sp create-for-rbac --role Contributor --scopes /subscriptions/mySubscriptionID

出力は、次の出力例のようになります。次の手順で使用するため、自分の appId と password を書き留めておきます。

{
  "appId": "7d837646-b1f3-443d-874c-fd83c7c739c5",
  "name": "7d837646-b1f3-443d-874c-fd83c7c739c",
  "password": "a5ce83c9-9186-426d-9183-614597c7f2f7",
  "tenant": "a4342dc8-cd0e-4742-a467-3129c469d0e5"
}

az ad sp create-for-rbac コマンドの実行結果の出力を使用して、サービスプリンシパル ID とクライアントシークレットの各変数を定義します。 SP_ID は appId であり、SP_SECRET はお使いの "パスワード" です。

SP_ID=7d837646-b1f3-443d-874c-fd83c7c739c5
SP_SECRET=a5ce83c9-9186-426d-9183-614597c7f2f7

次に、新しいサービスプリンシパル資格情報で AKS クラスターを更新します。この手順は、新しいサービスプリンシパル資格情報で AKS クラスターを更新するために必要です。

サービスプリンシパル資格情報で AKS クラスターを更新する

重要

大規模なクラスターでは、新しいサービスプリンシパルによる AKS クラスターの更新が完了するまでに時間がかかることがあります。更新時の中断を最小限に抑えるために、ノードサージアップグレード設定を確認してカスタマイズすることを検討してください。中小規模のクラスターの場合、クラスターで新しい資格情報が更新されるまで数分かかります。

az aks update-credentials コマンドを実行して、新規または既存の資格情報で AKS クラスターを更新します。

az aks update-credentials \
    --resource-group myResourceGroup \
    --name myAKSCluster \
    --reset-service-principal \
    --service-principal "$SP_ID" \
    --client-secret "${SP_SECRET}"

新しい Microsoft Entra アプリケーション資格情報を使って AKS クラスターを更新する

Microsoft Entra 統合手順に従って Microsoft Entra サーバーおよびクライアントの新しいアプリケーションを作成することや、サービスプリンシパルのリセットと同じ方法に従って既存の Microsoft Entra アプリケーションをリセットすることができます。その後、--reset-aad 変数を指定した az aks update-credentials コマンドを使用して、クラスターの Microsoft Entra アプリケーション資格情報を更新する必要があります。

az aks update-credentials \
    --resource-group myResourceGroup \
    --name myAKSCluster \
    --reset-aad \
    --aad-server-app-id <SERVER APPLICATION ID> \
    --aad-server-app-secret <SERVER APPLICATION SECRET> \
    --aad-client-app-id <CLIENT APPLICATION ID>

次のステップ

この記事では、サービスプリンシパルと Microsoft Entra アプリケーションの各資格情報を更新またはローテーションする方法について説明しました。 AKS クラスター内のワークロードにマネージド ID を使用する方法の詳細については、AKS の認証と認可のベストプラクティスに関する記事を参照してください。

Azure Kubernetes Service (AKS) クラスターの資格情報を更新またはローテーションする

開始する前に

AKS クラスター用の新しいサービス プリンシパルを更新または作成する

サービス プリンシパルの有効期限を確認する

既存のサービス プリンシパルの資格情報をリセットする

新しいサービス プリンシパルを作成する

サービス プリンシパル資格情報で AKS クラスターを更新する