Åtkomst och identitetsalternativ för Azure Kubernetes Service (AKS)

Artikel
09/13/2021
13 minuter för att läsa

Du kan autentisera, auktorisera, skydda och kontrollera åtkomst till Kubernetes-kluster på flera olika sätt.

Med kubernetes rollbaserad åtkomstkontroll (Kubernetes RBAC) kan du endast ge användare, grupper och tjänstkonton åtkomst till de resurser som de behöver.
Med Azure Kubernetes Service (AKS) kan du ytterligare förbättra säkerhets- och behörighetsstrukturen via Azure Active Directory och Azure RBAC.

Kubernetes RBAC och AKS hjälper dig att skydda klusteråtkomsten och ger endast de minsta nödvändiga behörigheterna till utvecklare och operatörer.

Den här artikeln beskriver huvudbegreppen som hjälper dig att autentisera och tilldela behörigheter i AKS.

AKS-tjänstbehörigheter

När du skapar ett kluster genererar eller ändrar AKS resurser som behövs (till exempel virtuella datorer och nätverkskort) för att skapa och köra klustret för användarens räkning. Den här identiteten skiljer sig från klustrets identitetsbehörighet, som skapas när klustret skapas.

Identitet som skapar och använder klusterbehörigheterna

Följande behörigheter krävs av identiteten som skapar och använder klustret.

Behörighet	Anledning
`Microsoft.Compute/diskEncryptionSets/read`	Krävs för att läsa ID för diskkrypteringsuppsättning.
`Microsoft.Compute/proximityPlacementGroups/write`	Krävs för att uppdatera närhetsplaceringsgrupper.
`Microsoft.Network/applicationGateways/read` `Microsoft.Network/applicationGateways/write` `Microsoft.Network/virtualNetworks/subnets/join/action`	Krävs för att konfigurera programgatewayer och ansluta till undernätet.
`Microsoft.Network/virtualNetworks/subnets/join/action`	Krävs för att konfigurera nätverkssäkerhetsgruppen för undernätet när du använder ett anpassat VNET.
`Microsoft.Network/publicIPAddresses/join/action` `Microsoft.Network/publicIPPrefixes/join/action`	Krävs för att konfigurera utgående offentliga IP-adresser på Standard Load Balancer.
`Microsoft.OperationalInsights/workspaces/sharedkeys/read` `Microsoft.OperationalInsights/workspaces/read` `Microsoft.OperationsManagement/solutions/write` `Microsoft.OperationsManagement/solutions/read` `Microsoft.ManagedIdentity/userAssignedIdentities/assign/action`	Krävs för att skapa och uppdatera Log Analytics-arbetsytor och Azure-övervakning för containrar.

Behörigheter för AKS-klusteridentitet

Följande behörigheter används av AKS-klusteridentiteten, som skapas och associeras med AKS-klustret. Varje behörighet används av skälen nedan:

Behörighet	Anledning
`Microsoft.ContainerService/managedClusters/*`	Krävs för att skapa användare och driva klustret
`Microsoft.Network/loadBalancers/delete` `Microsoft.Network/loadBalancers/read` `Microsoft.Network/loadBalancers/write`	Krävs för att konfigurera lastbalanserare för en LoadBalancer-tjänst.
`Microsoft.Network/publicIPAddresses/delete` `Microsoft.Network/publicIPAddresses/read` `Microsoft.Network/publicIPAddresses/write`	Krävs för att hitta och konfigurera offentliga IP-adresser för en LoadBalancer-tjänst.
`Microsoft.Network/publicIPAddresses/join/action`	Krävs för att konfigurera offentliga IP-adresser för en LoadBalancer-tjänst.
`Microsoft.Network/networkSecurityGroups/read` `Microsoft.Network/networkSecurityGroups/write`	Krävs för att skapa eller ta bort säkerhetsregler för en LoadBalancer-tjänst.
`Microsoft.Compute/disks/delete` `Microsoft.Compute/disks/read` `Microsoft.Compute/disks/write` `Microsoft.Compute/locations/DiskOperations/read`	Krävs för att konfigurera AzureDisks.
`Microsoft.Storage/storageAccounts/delete` `Microsoft.Storage/storageAccounts/listKeys/action` `Microsoft.Storage/storageAccounts/read` `Microsoft.Storage/storageAccounts/write` `Microsoft.Storage/operations/read`	Krävs för att konfigurera lagringskonton för AzureFile eller AzureDisk.
`Microsoft.Network/routeTables/read` `Microsoft.Network/routeTables/routes/delete` `Microsoft.Network/routeTables/routes/read` `Microsoft.Network/routeTables/routes/write` `Microsoft.Network/routeTables/write`	Krävs för att konfigurera vägtabeller och vägar för noder.
`Microsoft.Compute/virtualMachines/read`	Krävs för att hitta information för virtuella datorer i en VMAS, till exempel zoner, feldomän, storlek och datadiskar.
`Microsoft.Compute/virtualMachines/write`	Krävs för att koppla AzureDisks till en virtuell dator i en VMAS.
`Microsoft.Compute/virtualMachineScaleSets/read` `Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read` `Microsoft.Compute/virtualMachineScaleSets/virtualmachines/instanceView/read`	Krävs för att hitta information för virtuella datorer i en VM-skalningsuppsättning, till exempel zoner, feldomän, storlek och datadiskar.
`Microsoft.Network/networkInterfaces/write`	Krävs för att lägga till en virtuell dator i en VMAS till en lastbalanseringsadresspool.
`Microsoft.Compute/virtualMachineScaleSets/write`	Krävs för att lägga till en VM-skalningsuppsättning till en lastbalanserares serveradresspooler och skala ut noder i en VM-skalningsuppsättning.
`Microsoft.Compute/virtualMachineScaleSets/virtualmachines/write`	Krävs för att koppla AzureDisks och lägga till en virtuell dator från en VM-skalningsuppsättning till lastbalanseraren.
`Microsoft.Network/networkInterfaces/read`	Krävs för att söka efter interna IP-adresser och lastbalanseringsadresspooler för virtuella datorer i en VMAS.
`Microsoft.Compute/virtualMachineScaleSets/virtualMachines/networkInterfaces/read`	Krävs för att söka efter interna IP-adresser och lastbalanseringsadresspooler för en virtuell dator i en VM-skalningsuppsättning.
`Microsoft.Compute/virtualMachineScaleSets/virtualMachines/networkInterfaces/ipconfigurations/publicipaddresses/read`	Krävs för att hitta offentliga IP-adresser för en virtuell dator i en VM-skalningsuppsättning.
`Microsoft.Network/virtualNetworks/read` `Microsoft.Network/virtualNetworks/subnets/read`	Krävs för att verifiera om det finns ett undernät för den interna lastbalanseraren i en annan resursgrupp.
`Microsoft.Compute/snapshots/delete` `Microsoft.Compute/snapshots/read` `Microsoft.Compute/snapshots/write`	Krävs för att konfigurera ögonblicksbilder för AzureDisk.
`Microsoft.Compute/locations/vmSizes/read` `Microsoft.Compute/locations/operations/read`	Krävs för att hitta storlekar för virtuella datorer för att hitta AzureDisk-volymbegränsningar.

Ytterligare behörigheter för klusteridentitet

När du skapar ett kluster med specifika attribut behöver du följande ytterligare behörigheter för klusteridentiteten. Eftersom dessa behörigheter inte tilldelas automatiskt måste du lägga till dem i klusteridentiteten när den har skapats.

Behörighet	Anledning
`Microsoft.Network/networkSecurityGroups/write` `Microsoft.Network/networkSecurityGroups/read`	Krävs om du använder en nätverkssäkerhetsgrupp i en annan resursgrupp. Krävs för att konfigurera säkerhetsregler för en LoadBalancer-tjänst.
`Microsoft.Network/virtualNetworks/subnets/read` `Microsoft.Network/virtualNetworks/subnets/join/action`	Krävs om du använder ett undernät i en annan resursgrupp, till exempel ett anpassat VNET.
`Microsoft.Network/routeTables/routes/read` `Microsoft.Network/routeTables/routes/write`	Krävs om du använder ett undernät som är associerat med en vägtabell i en annan resursgrupp, till exempel ett anpassat VNET med en anpassad vägtabell. Krävs för att verifiera om det redan finns ett undernät för undernätet i den andra resursgruppen.
`Microsoft.Network/virtualNetworks/subnets/read`	Krävs om du använder en intern lastbalanserare i en annan resursgrupp. Krävs för att kontrollera om det redan finns ett undernät för den interna lastbalanseraren i resursgruppen.
`Microsoft.Network/privatednszones/*`	Krävs om du använder en privat DNS-zon i en annan resursgrupp, till exempel en anpassad privateDNSZone.

AKS-nodåtkomst

Som standard krävs inte nodåtkomst för AKS. Följande åtkomst krävs för noden om en viss komponent används.

Access	Anledning
`kubelet`	Krävs för att kunden ska bevilja MSI-åtkomst till ACR.
`http app routing`	Krävs för skrivbehörighet till "slumpmässigt namn".aksapp.io.
`container insights`	Krävs för att kunden ska kunna bevilja behörighet till Log Analytics-arbetsytan.

Kubernetes RBAC

Kubernetes RBAC ger detaljerad filtrering av användaråtgärder. Med den här kontrollmekanismen:

Du tilldelar användare eller användargrupper behörighet att skapa och ändra resurser eller visa loggar från att köra programarbetsbelastningar.
Du kan begränsa behörigheterna till ett enda namnområde eller över hela AKS-klustret.
Du skapar roller för att definiera behörigheter och tilldelar sedan dessa roller till användare med rollbindningar.

Mer information finns i Använda Kubernetes RBAC-auktorisering.

Roller och ClusterRoles

Roller

Innan du tilldelar behörigheter till användare med Kubernetes RBAC definierar du användarbehörigheter som en roll. Bevilja behörigheter inom ett namnområde med hjälp av roller.

Anteckning

Kubernetes-roller beviljar behörigheter; De nekar inte behörigheter.

Om du vill bevilja behörigheter över hela klustret eller till klusterresurser utanför ett visst namnområde kan du i stället använda ClusterRoles.

ClusterRoles

En ClusterRole beviljar och tillämpar behörigheter på resurser i hela klustret, inte ett specifikt namnområde.

RoleBindings och ClusterRoleBindings

När du har definierat roller för att bevilja behörigheter till resurser tilldelar du dessa Kubernetes RBAC-behörigheter med en RoleBinding. Om ditt AKS-kluster integreras med Azure Active Directory (Azure AD)beviljar RoleBindings behörigheter till Azure AD-användare för att utföra åtgärder i klustret. Se hur du i Kontrollera åtkomst till klusterresurser med kubernetes rollbaserad åtkomstkontroll och Azure Active Directory identiteter.

RoleBindings

Tilldela roller till användare för ett visst namnområde med hjälp av RoleBindings. Med RoleBindings kan du logiskt åtse ett enda AKS-kluster, vilket endast gör det möjligt för användare att komma åt programresurserna i deras tilldelade namnområde.

Om du vill binda roller över hela klustret eller till klusterresurser utanför ett visst namnområde använder du i stället ClusterRoleBindings.

ClusterRoleBinding

Med en ClusterRoleBinding binder du roller till användare och tillämpar på resurser i hela klustret, inte ett specifikt namnområde. Med den här metoden kan du ge administratörer eller supporttekniker åtkomst till alla resurser i AKS-klustret.

Anteckning

Microsoft/AKS utför alla klusteråtgärder med användarmedgivande under en inbyggd Kubernetes-roll och aks-service inbyggd rollbindning aks-service-rolebinding .

Den här rollen gör det möjligt för AKS att felsöka och diagnostisera klusterproblem, men kan inte ändra behörigheter, skapa roller eller rollbindningar eller andra åtgärder med hög behörighet. Rollåtkomst aktiveras endast under aktiva supportärenden med JIT-åtkomst (just-in-time). Läs mer om AKS-supportprinciper.

Kubernetes-tjänstkonton

Tjänstkonton är en av de primära användartyperna i Kubernetes. Kubernetes-API:et innehåller och hanterar tjänstkonton. Autentiseringsuppgifter för tjänstkonto lagras som Kubernetes-hemligheter, så att de kan användas av auktoriserade poddar för att kommunicera med API-servern. De flesta API-begäranden tillhandahåller en autentiseringstoken för ett tjänstkonto eller ett normalt användarkonto.

Vanliga användarkonton ger mer traditionell åtkomst för mänskliga administratörer eller utvecklare, inte bara tjänster och processer. Kubernetes tillhandahåller ingen identitetshanteringslösning för att lagra vanliga användarkonton och lösenord, men du kan integrera externa identitetslösningar i Kubernetes. För AKS-kluster är den här integrerade identitetslösningen Azure AD.

Mer information om identitetsalternativen i Kubernetes finns i Kubernetes-autentisering.

Azure AD-integrering

Förbättra din AKS-klustersäkerhet med Azure AD-integrering. Azure AD bygger på årtionden av företagsidentitetshantering och är en molnbaserad katalog- och identitetshanteringstjänst för flera innehavare som kombinerar viktiga katalogtjänster, åtkomsthantering för program och identitetsskydd. Med Azure AD kan du integrera lokala identiteter i AKS-kluster för att tillhandahålla en enda källa för kontohantering och säkerhet.

Azure Active Directory med AKS-kluster

Med Azure AD-integrerade AKS-kluster kan du ge användare eller grupper åtkomst till Kubernetes-resurser inom ett namnområde eller i klustret.

För att hämta kubectl en konfigurationskontext kör en användare kommandot az aks get-credentials.
När en användare interagerar med AKS-klustret med uppmanas de att logga in med kubectl sina autentiseringsuppgifter för Azure AD.

Den här metoden ger en enda källa för hantering av användarkonton och autentiseringsuppgifter för lösenord. Användaren kan bara komma åt resurserna enligt klusteradministratörens definition.

Azure AD-autentisering tillhandahålls till AKS-kluster med OpenID Anslut. OpenID Anslut är ett identitetslager som bygger på OAuth 2.0-protokollet. Mer information om OpenID-Anslut finns i dokumentationen för Open ID Connect. Inifrån Kubernetes-klustret används Webhook-tokenautentisering för att verifiera autentiseringstoken. Webhook-tokenautentisering konfigureras och hanteras som en del av AKS-klustret.

Webhook och API-server

Webhook- och API-serverautentiseringsflöde

Som du ser i bilden ovan anropar API-servern AKS-webhook-servern och utför följande steg:

kubectlanvänder Azure AD-klientprogrammet för att logga in användare med beviljandeflödet för OAuth 2.0-enhetsauktorisering.
Azure AD tillhandahåller en access_token, id_token och en refresh_token.
Användaren gör en begäran till kubectl med en access_token från kubeconfig .
kubectl skickar access_token API Server.
API-servern konfigureras med auth WebHook-servern för att utföra verifieringen.
Webhook-autentiseringsservern bekräftar att JSON Web Token signatur är giltig genom att kontrollera den offentliga signeringsnyckeln för Azure AD.
Serverprogrammet använder användarautentiseringsuppgifter för att fråga efter gruppmedlemskap för den inloggade användaren från MS Graph-API:et.
Ett svar skickas till API-servern med användarinformation som användarens huvudnamnsanspråk (UPN) för åtkomsttoken och användarens gruppmedlemskap baserat på objekt-ID:t.
API:et utför ett auktoriseringsbeslut baserat på Kubernetes Role/RoleBinding.
När auktoriserats returnerar API-servern ett svar till kubectl .
kubectl ger feedback till användaren.

Lär dig hur du integrerar AKS med Azure AD med vår AKS-hanterade Azure AD-integreringsguide.

Rollbaserad Azure-åtkomstkontroll

Rollbaserad åtkomstkontroll i Azure (RBAC) är ett auktoriseringssystem som bygger på Azure Resource Manager som ger dig en mer fullständig åtkomsthantering av Azure-resurser.

RBAC-system	Description
Kubernetes RBAC	Utformad för att fungera med Kubernetes-resurser i ditt AKS-kluster.
Azure RBAC	Utformad för att fungera med resurser i din Azure-prenumeration.

Med Azure RBAC skapar du en rolldefinition som beskriver vilka behörigheter som ska tillämpas. Sedan tilldelar du en användare eller grupp den här rolldefinitionen via en rolltilldelning för ett visst omfång. Omfånget kan vara en enskild resurs, en resursgrupp eller i hela prenumerationen.

Mer information finns i Vad är rollbaserad åtkomstkontroll i Azure (Azure RBAC)?

Det finns två åtkomstnivåer som krävs för att fullständigt driva ett AKS-kluster:

Få åtkomst till AKS-resursen i din Azure-prenumeration.
- Kontrollera skalning eller uppgradering av klustret med hjälp av AKS-API:erna.
- Hämta kubeconfig .
Åtkomst till Kubernetes-API:et. Den här åtkomsten styrs av antingen:
- Kubernetes RBAC (traditionellt).
- Integrera Azure RBAC med AKS för Kubernetes-auktorisering.

Azure RBAC för att auktorisera åtkomst till AKS-resursen

Med Azure RBAC kan du ge dina användare (eller identiteter) detaljerad åtkomst till AKS-resurser i en eller flera prenumerationer. Du kan till exempel använda rollen Azure Kubernetes Service för att skala och uppgradera klustret. Under tiden har en annan användare Azure Kubernetes Service administratörsrollen endast behörighet att hämta kubeconfig administratörsrollen .

Du kan också ge användaren den allmänna deltagarrollen. Med den allmänna deltagarrollen kan användarna utföra ovanstående behörigheter och alla åtgärder som är möjliga på AKS-resursen, förutom att hantera behörigheter.

Använd Azure RBAC för att definiera åtkomst till Kubernetes-konfigurationsfilen i AKS.

Azure RBAC för Kubernetes-auktorisering

Med Azure RBAC-integrering använder AKS en Kubernetes Authorization-webhookserver så att du kan hantera Azure AD-integrerade Resursbehörigheter och tilldelningar för Kubernetes-kluster med hjälp av rolldefinitioner och rolltilldelningar i Azure.

Azure RBAC för Kubernetes-auktoriseringsflöde

Som du ser i diagrammet ovan följer alla förfrågningar till Kubernetes-API:et samma Azure Active Directory autentiseringsflödenär du använder Azure RBAC-integreringen.

Om identiteten som gör begäran finns i Azure AD teamindelar Azure Kubernetes RBAC för att auktorisera begäran. Om identiteten finns utanför Azure AD (d.v.s. ett Kubernetes-tjänstkonto) kommer auktoriseringen att avse den normala Kubernetes RBAC.

I det här scenariot använder du Azure RBAC-mekanismer och API:er för att tilldela användare inbyggda roller eller skapa anpassade roller, precis som med Kubernetes-roller.

Med den här funktionen ger du inte bara användare behörigheter till AKS-resursen över prenumerationer, utan du konfigurerar även rollen och behörigheterna för i vart och ett av dessa kluster som styr Kubernetes API-åtkomst. Du kan till exempel ge rollen Azure Kubernetes Service RBAC Reader i prenumerationsomfånget. Rollmottagaren kommer att kunna visa och hämta alla Kubernetes-objekt från alla kluster utan att ändra dem.

Viktigt

Du måste aktivera Azure RBAC för Kubernetes-auktorisering innan du använder den här funktionen. Mer information och stegvisa anvisningar finns i instruktionerna i Använda Azure RBAC för Kubernetes-auktorisering.

Inbyggda roller

AKS tillhandahåller följande fyra inbyggda roller. De liknar de inbyggda Kubernetes-rollerna med några skillnader, till exempel stöd för CRD: er. Se den fullständiga listan över åtgärder som tillåts av varje inbyggd Azure-roll.

Roll	Beskrivning
Azure Kubernetes Service RBAC-läsare	Tillåter skrivskyddade åtkomst för att se de flesta objekt i ett namnområde. Tillåter inte visning av roller eller rollbindningar. Tillåter inte visning av `Secrets` . Läsning av innehållet ger åtkomst till autentiseringsuppgifter i namnområdet, vilket skulle tillåta API-åtkomst som alla i namnområdet (en form av `Secrets` `ServiceAccount` `ServiceAccount` behörighetseskalering).
Azure Kubernetes Service RBAC Writer	Tillåter läs-/skrivåtkomst till de flesta objekt i ett namnområde. Tillåter inte visning eller ändring av roller eller rollbindningar. Tillåter åtkomst till och körning av poddar som alla ServiceAccount i namnområdet, så den kan användas för att få API-åtkomstnivåer för alla `Secrets` ServiceAccount i namnområdet.
Azure Kubernetes Service RBAC-administratör	Tillåter administratörsåtkomst som är avsedd att beviljas inom ett namnområde. Tillåter läs-/skrivåtkomst till de flesta resurser i ett namnområde (eller klusteromfång), inklusive möjligheten att skapa roller och rollbindningar i namnområdet. Tillåter inte skrivåtkomst till resurskvoten eller till själva namnområdet.
Azure Kubernetes Service RBAC-klusteradministratör	Tillåter superanvändaråtkomst att utföra åtgärder på alla resurser. Ger fullständig kontroll över alla resurser i klustret och i alla namnområden.

Sammanfattning

Visa tabellen för en snabb sammanfattning av hur användare kan autentisera till Kubernetes när Azure AD-integrering har aktiverats. I samtliga fall är användarens kommandosekvens:

Kör az login för att autentisera till Azure.
Kör az aks get-credentials för att ladda ned autentiseringsuppgifter för klustret till .kube/config .
Kör kubectl kommandon.
- Det första kommandot kan utlösa webbläsarbaserad autentisering för att autentisera till klustret, enligt beskrivningen i följande tabell.

I Azure Portal hittar du:

Det rollbe beviljande (Azure RBAC-rollbe bevilja) som refereras till i den andra kolumnen visas Access Control fliken.
Klusteradministratören för Azure AD-gruppen visas på fliken Konfiguration.
- Finns även med --aad-admin-group-object-ids parameternamn i Azure CLI.

Description	Rolls beviljande krävs	Klusteradministratör för Azure AD-grupper	När du ska använda detta
Äldre administratörsinloggning med klientcertifikat	Administratörsroll för Azure Kubernetes. Den här rollen kan användas med flaggan , som laddar ned ett äldre `az aks get-credentials` `--admin` klusteradministratörscertifikat (inte Azure AD) till användarens `.kube/config` . Det här är det enda syftet med administratörsrollen för Azure Kubernetes.	saknas	Om du blockeras permanent genom att du inte har åtkomst till en giltig Azure AD-grupp med åtkomst till klustret.
Azure AD med manuella (kluster)Rollbindningar	Azure Kubernetes-användarroll . Rollen "Användare" `az aks get-credentials` kan användas utan `--admin` flaggan . (Det här är det enda syftet med "Azure Kubernetes-användarroll".) Resultatet i ett Azure AD-aktiverat kluster är nedladdningen av en tom post i , som utlöser webbläsarbaserad autentisering när den `.kube/config` används för första gången av `kubectl` .	Användaren finns inte i någon av dessa grupper. Eftersom användaren inte finns i klusteradministratörsgrupper styrs deras rättigheter helt av rollbindningar eller ClusterRoleBindings som har ställts in av klusteradministratörer. Rollbindningarna (klustret) nominerar Azure AD-användare eller Azure AD-grupper som sina `subjects` . Om inga sådana bindningar har ställts in kan användaren inte skriva ut några `kubectl` kommandon.	Om du vill ha mer information om åtkomstkontroll och inte använder Azure RBAC för Kubernetes-auktorisering. Observera att den användare som uppsättningar bindningarna måste logga in med någon av de andra metoderna som anges i den här tabellen.
Azure AD efter medlem i administratörsgruppen	Samma som ovan	Användaren är medlem i någon av de grupper som anges här. AKS genererar automatiskt en ClusterRoleBinding som binder alla grupper i listan till `cluster-admin` Kubernetes-rollen. Användare i dessa grupper kan därför köra alla `kubectl` kommandon som `cluster-admin` .	Om du enkelt vill ge användarna fullständiga administratörsrättigheter och inte använder Azure RBAC för Kubernetes-auktorisering.
Azure AD med Azure RBAC för Kubernetes-auktorisering	Två roller: Först Azure Kubernetes-användarrollen (som ovan). För det andra, en av "Azure Kubernetes Service RBAC..." roller som anges ovan eller ditt eget anpassade alternativ.	Fältet Administratörsroller på fliken Konfiguration är irrelevant när Azure RBAC för Kubernetes-auktorisering är aktiverat.	Du använder Azure RBAC för Kubernetes-auktorisering. Den här metoden ger dig en mer fullständig kontroll utan att du behöver konfigurera RoleBindings eller ClusterRoleBindings.

Nästa steg

Information om hur du kommer igång med Azure AD och Kubernetes RBAC finns i Integrera Azure Active Directory med AKS.
Associerade metodtips finns i Metodtips för autentisering och auktorisering i AKS.
Information om hur du kommer igång med Azure RBAC för Kubernetes-auktorisering finns i Använda Azure RBAC för att auktorisera åtkomst i Azure Kubernetes Service-klustret (AKS).
Information om hur du kommer igång med kubeconfig att skydda filen finns i Begränsa åtkomsten till klusterkonfigurationsfilen

Mer information om grundläggande Kubernetes- och AKS-begrepp finns i följande artiklar: