Utiliser une identité managée dans Azure Kubernetes Fleet Manager

Lorsque vous créez un Fleet Manager dans le portail Azure, une identité managée affectée par le système est automatiquement créée.

Vous pouvez vérifier que l’identité managée affectée par le système est activée en vérifiant le panneau Identité dans la section Paramètres de Fleet Manager. L’état est activé et l’ID d’objet (principal) est renseigné (non affiché dans l’image).

Créez un Gestionnaire de flotte à l’aide de la az fleet create commande, en passant le --enable-managed-identity paramètre pour activer l’identité managée affectée par le système.

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --location westus2 \
    --enable-managed-identity

La sortie de la commande indique que le type d’identité est SystemAssigned et inclut l’ID de principal et le locataire.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

Vous pouvez gérer l’identité managée De Fleet Manager à l’aide du panneau Identité dans la section Paramètres de Fleet Manager.

1. Activez l’identité managée affectée par le système en définissant l’état affecté par le systèmesur Activé et en sélectionnant Enregistrer.

   

2. Sélectionnez Oui dans la boîte de dialogue de confirmation.

3. Après quelques instants, l’état passe à Activé et l’ID d’objet (principal) est renseigné (non affiché dans l’image).

   

Pour mettre à jour un Fleet Manager existant pour utiliser une identité managée affectée par le système, exécutez la commande az fleet update avec le --enable-managed-identity paramètre défini truesur .

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity true

La sortie de la commande indique que le type d’identité est SystemAssigned et inclut l’ID de principal et le locataire.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

1. Sélectionnez l’onglet Attributions de rôles Azure dans le panneau Identité de Fleet Manager. Le volet Attributions de rôles Azure s’ouvre.

   

2. Sélectionnez Ajouter une attribution de rôle pour ouvrir le volet Ajouter une attribution de rôle , puis entrez :

   • Étendue : sélectionnez Groupe de ressources.

   • Abonnement : choisissez l’abonnement Azure contenant le groupe de ressources que vous souhaitez utiliser.

   • Groupe de ressources : sélectionnez le groupe de ressources.

   • Rôle : choisissez le rôle que vous souhaitez attribuer à l’identité managée affectée par le système de Fleet Manager (par exemple, Contributeur réseau).

     

3. Sélectionnez Enregistrer pour attribuer le rôle à l’identité managée affectée par le système de Fleet Manager.

1. Obtenir l’ID de principal de l’identité managée affectée par le système

   Pour attribuer un rôle RBAC Azure à l’identité managée affectée par le système de Fleet Manager, vous devez d’abord disposer de l’ID de principal pour l’identité managée. Obtenez l’ID principal de l’identité managée affectée par le système de Fleet Manager en appelant la az fleet show commande.

   # Get the principal ID for a system-assigned managed identity.
   CLIENT_ID=$(az fleet show \
       --name myFleetName \
       --resource-group myResourceGroup \
       --query identity.principalId \
       --output tsv)
   

2. Attribuer un rôle RBAC Azure à l’identité managée affectée par le système

   Pour accorder une autorisation d’identité managée affectée par le système à une ressource dans Azure, appelez la az role assignment create commande pour attribuer un rôle RBAC Azure à l’identité managée.

   Par exemple, attribuez le rôle Network Contributor sur le groupe de ressources personnalisé en utilisant la commande az role assignment create. Pour le --scope paramètre, indiquez l’ID de ressource du groupe de ressources pour Fleet Manager.

   az role assignment create \
       --assignee $CLIENT_ID \
       --role "Network Contributor" \
       --scope "<fleet-manager-resource-group-id>"
   

Suivez les étapes décrites dans la documentation de création d’une identité managée affectée par l’utilisateur.

1. Créez une identité managée affectée par l’utilisateur.

   Si vous n’avez pas encore de ressource d’identité managée affectée par l’utilisateur, créez-en une à l’aide de la commande az identity create.

   az identity create \
       --name myIdentity \
       --resource-group myResourceGroup
   

   Votre sortie doit ressembler à l’exemple suivant :

   {                                  
     "clientId": "<client-id>",
     "clientSecretUrl": "<clientSecretUrl>",
     "id": "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity", 
     "location": "westus2",
     "name": "myIdentity",
     "principalId": "<principal-id>",
     "resourceGroup": "myResourceGroup",                       
     "tags": {},
     "tenantId": "<tenant-id>",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. Obtenir l’ID de principal de l’identité managée affectée par l’utilisateur

   Pour obtenir l’ID de principal de l’identité managée affectée par l’utilisateur, appelez az identity show et interrogez sur la propriété principalId :

   CLIENT_ID=$(az identity show \
       --name myIdentity \
       --resource-group myResourceGroup \
       --query principalId \
       --output tsv)
   

3. Obtenir l’ID de ressource de l’identité managée affectée par l’utilisateur

   Pour créer un Gestionnaire de flotte avec une identité managée affectée par l’utilisateur, vous avez besoin de l’ID de ressource pour la nouvelle identité managée. Pour obtenir l’ID de ressource de l’identité managée affectée par l’utilisateur, appelez az identity show and query on the id property :

   RESOURCE_ID=$(az identity show \
       --name myIdentity \
       --resource-group myResourceGroup \
       --query id \
       --output tsv)
   

1. Accédez à la ressource d’identité managée.

2. Sélectionnez l’onglet Attributions de rôles Azure dans le volet de navigation gauche de la ressource d’identité managée. Le volet Attributions de rôles Azure s’ouvre.

   

3. Sélectionnez Ajouter une attribution de rôle pour ouvrir le volet Ajouter une attribution de rôle , puis entrez :

   • Étendue : sélectionnez Groupe de ressources.

   • Abonnement : choisissez l’abonnement Azure contenant le groupe de ressources que vous souhaitez utiliser.

   • Groupe de ressources : sélectionnez le groupe de ressources.

   • Rôle : choisissez le rôle que vous souhaitez attribuer à l’identité managée (par exemple, Contributeur réseau).

     

4. Sélectionnez Enregistrer pour attribuer le rôle à l’identité managée.

Utilisez la az role assignment create commande pour attribuer un rôle à l’identité managée affectée par l’utilisateur.

L’exemple suivant attribue le rôle Contributeur réseau pour accorder les autorisations d’identité pour accéder aux ressources réseau. L’attribution de rôle est étendue au groupe de ressources Fleet Manager.

az role assignment create \
    --assignee $CLIENT_ID \
    --role "Network Contributor" \
    --scope "<fleet-manager-resource-group-id>"

Vous ne pouvez pas créer un Fleet Manager avec une identité managée affectée par l’utilisateur dans le portail Azure. Vous pouvez modifier le type d’identité Fleet Manager par l’utilisateur affecté après la création de Fleet Manager ou utiliser Azure CLI.

Créez un Gestionnaire de flotte avec l’identité managée affectée par l’utilisateur à l’aide de la az fleet create commande avec le --assign-identity paramètre. Transmettez l’ID de ressource pour l’identité managée affectée par l’utilisateur :

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --assign-identity $RESOURCE_ID

Vous pouvez gérer l’identité managée De Fleet Manager à l’aide du panneau Identité dans la section Paramètres de Fleet Manager.

1. Basculez vers l’onglet Identité managée affectée par l’utilisateur en sélectionnant Utilisateur affecté.

   

2. Sélectionnez + Ajouter pour ouvrir le volet Ajouter une identité managée affectée par l’utilisateur .

   • Abonnement : choisissez l’abonnement Azure contenant l’identité managée affectée par l’utilisateur que vous souhaitez utiliser.
   • Identités managées affectées par l’utilisateur : recherchez l’identité managée affectée par l’utilisateur que vous souhaitez utiliser.

   

3. Sélectionnez Ajouter pour ajouter l’identité managée affectée par l’utilisateur à Fleet Manager.

4. Après quelques instants, la liste affectée par l’utilisateur change et l’identité managée affectée par l’utilisateur est répertoriée.

   

Pour mettre à jour un Fleet Manager existant pour utiliser une identité managée affectée par l’utilisateur, appelez la az fleet update commande. Incluez le paramètre --assign-identity et transmettez l’ID de ressource pour l’identité managée affectée par l’utilisateur :

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

La sortie d’une mise à jour de Fleet Manager réussie pour utiliser une identité managée affectée par l’utilisateur doit ressembler à l’exemple de sortie suivant :

  "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
      }
    }
  },

Vous pouvez vérifier les paramètres d’identité managée de Fleet Manager à l’aide du panneau Identité dans la section Paramètres de Fleet Manager.

Vérifiez à la fois les sections attribuées par le système et l’utilisateur pour déterminer le type d’identité managée activé.

Pour déterminer le type d’identité managée que votre Fleet Manager existant utilise, appelez la commande az fleet show et interrogez la propriété de type de l’identité.

az fleet show \
    --name myFleetName \
    --resource-group myResourceGroup \
    --query identity.type \
    --output tsv       

La réponse est SystemAssigned ou UserAssigned.