Używanie tożsamości zarządzanej w usłudze Azure Kubernetes Fleet Manager

Usługa Azure Kubernetes Fleet Manager używa tożsamości firmy Microsoft Entra do uzyskiwania dostępu do zasobów platformy Azure, takich jak sieci wirtualne platformy Azure, lub do zarządzania długotrwałych działań w tle, takich jak automatyczne uaktualnianie wielu klastrów.

Tożsamość zarządzana umożliwia autoryzowanie dostępu z usługi Fleet Manager do dowolnej usługi obsługującej autoryzację firmy Microsoft Entra bez konieczności zarządzania poświadczeniami lub uwzględnienia ich w kodzie. Do tożsamości zarządzanej przypisujesz rolę kontroli dostępu opartej na rolach (RBAC) platformy Azure, aby przyznać jej uprawnienia do określonego zasobu na platformie Azure. Aby uzyskać więcej informacji na temat kontroli dostępu na podstawie ról platformy Azure, zobacz Co to jest kontrola dostępu oparta na rolach platformy Azure (Azure RBAC)?.

W tym artykule pokazano, jak włączyć następujące typy tożsamości zarządzanej w nowym lub istniejącym rozwiązaniu Azure Kubernetes Fleet Manager:

Tożsamość zarządzana przypisana przez system. Tożsamość zarządzana przypisana przez system jest skojarzona z pojedynczym zasobem platformy Azure, takim jak Fleet Manager. Istnieje tylko w cyklu życia programu Fleet Manager.
Tożsamość zarządzana przypisana przez użytkownika. Tożsamość zarządzana przypisana przez użytkownika to autonomiczny zasób platformy Azure, którego menedżer Fleet Manager może użyć do autoryzowania dostępu do innych usług platformy Azure. Jest on utrwalany oddzielnie od menedżera floty i może być używany przez wiele zasobów platformy Azure.

Aby dowiedzieć się więcej o tożsamościach zarządzanych, zobacz Tożsamości zarządzane dla zasobów platformy Azure.

Zanim rozpoczniesz

Jeśli zamierzasz używać interfejsu wiersza polecenia platformy Azure, upewnij się, że masz zainstalowany interfejs wiersza polecenia platformy Azure w wersji 2.75.0 lub nowszej. Aby dowiedzieć się, jaka wersja jest używana, uruchom polecenie az --version. Jeśli konieczna będzie instalacja lub uaktualnienie, zobacz Instalowanie interfejsu wiersza polecenia platformy Azure.

Przed uruchomieniem przykładów interfejsu wiersza polecenia platformy Azure w tym artykule ustaw subskrypcję jako bieżącą aktywną subskrypcję, wywołując polecenie az account set i przekazując identyfikator subskrypcji.

az account set --subscription <subscription-id>

Utwórz również grupę zasobów platformy Azure, jeśli jeszcze jej nie masz, wywołując az group create polecenie .

az group create \
    --name myResourceGroup \
    --location westus2

Włączanie tożsamości zarządzanej przypisanej przez system

Tożsamość zarządzana przypisana przez system jest tożsamością skojarzoną z usługą Fleet Manager lub innym zasobem platformy Azure. Tożsamość zarządzana przypisana przez system jest powiązana z cyklem życia programu Fleet Manager. Po usunięciu usługi Fleet Manager tożsamość zarządzana przypisana przez system zostanie również usunięta.

Usługa Fleet Manager może użyć przypisanej przez system tożsamości zarządzanej, aby autoryzować dostęp do innych zasobów działających na platformie Azure i wykonywać długotrwałe procesy w tle. Rolę RBAC platformy Azure można przypisać do przypisanej przez system tożsamości zarządzanej w celu udzielenia uprawnień usługi Fleet Manager w celu uzyskania dostępu do określonych zasobów. Jeśli na przykład usługa Fleet Manager musi zarządzać zasobami sieciowymi, możesz przypisać do przypisanej przez system tożsamości zarządzanej rolę RBAC platformy Azure, która przyznaje te uprawnienia.

Włączanie tożsamości zarządzanej przypisanej przez system w nowym programie Fleet Manager

Portal Azure
Interfejs wiersza polecenia platformy Azure

Podczas tworzenia nowego programu Fleet Manager w witrynie Azure Portal zostanie automatycznie utworzona tożsamość zarządzana przypisana przez system.

Możesz sprawdzić, czy tożsamość zarządzana przypisana przez system jest włączona, sprawdzając blok Tożsamość w sekcji Ustawienia programu Fleet Manager. Stan to Włączone, a identyfikator obiektu (podmiot zabezpieczeń) jest wypełniany (nie pokazano na ilustracji).

Utwórz usługę Fleet Manager przy użyciu az fleet create polecenia , przekazując --enable-managed-identity parametr w celu włączenia tożsamości zarządzanej przypisanej przez system.

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --location westus2 \
    --enable-managed-identity

Dane wyjściowe polecenia wskazują typ tożsamości SystemAssigned i zawiera identyfikator podmiotu zabezpieczeń i dzierżawy.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

Aktualizowanie istniejącego programu Fleet Manager w celu używania tożsamości zarządzanej przypisanej przez system

Portal Azure
Interfejs wiersza polecenia platformy Azure

Tożsamość zarządzaną programu Fleet Manager można zarządzać przy użyciu bloku Tożsamość w sekcji Ustawienia programu Fleet Manager.

Włącz tożsamość zarządzaną przypisaną przez system, ustawiając stan Przypisane przez system na Wł . i wybierając pozycję Zapisz.
Wybierz pozycję Tak w oknie dialogowym potwierdzenia.
Po kilku chwilach stan zmieni się na Włączone , a identyfikator obiektu (podmiot zabezpieczeń) zostanie wypełniony (nie pokazany na ilustracji).

Aby zaktualizować istniejącą usługę Fleet Manager do korzystania z tożsamości zarządzanej przypisanej przez system, uruchom polecenie az fleet update z parametrem ustawionym --enable-managed-identity na true.

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity true

Dane wyjściowe polecenia wskazują typ tożsamości SystemAssigned i zawiera identyfikator podmiotu zabezpieczeń i dzierżawy.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

Dodawanie przypisania roli dla tożsamości zarządzanej przypisanej przez system

Rolę RBAC platformy Azure można przypisać do przypisanej przez system tożsamości zarządzanej w celu udzielenia uprawnień usługi Fleet Manager w innym zasobie platformy Azure. Kontrola dostępu oparta na rolach platformy Azure obsługuje zarówno wbudowane, jak i niestandardowe definicje ról, które określają poziomy uprawnień. Aby uzyskać więcej informacji na temat przypisywania ról RBAC platformy Azure, zobacz Kroki przypisywania roli platformy Azure.

Po przypisaniu roli RBAC platformy Azure do tożsamości zarządzanej należy zdefiniować zakres roli. Ogólnie rzecz biorąc, najlepszym rozwiązaniem jest ograniczenie zakresu roli do minimalnych uprawnień wymaganych przez tożsamość zarządzaną. Aby uzyskać więcej informacji na temat określania zakresu ról RBAC platformy Azure, zobacz Omówienie zakresu kontroli dostępu opartej na rolach platformy Azure.

Uwaga / Notatka

Propagacja uprawnień udzielonych tożsamości zarządzanej usługi Fleet Manager może potrwać do 60 minut.

Portal Azure
Interfejs wiersza polecenia platformy Azure

Wybierz kartę Przypisania ról platformy Azure w bloku Tożsamość usługi Fleet Manager. Spowoduje to otwarcie okienka Przypisania ról platformy Azure .
Wybierz pozycję Dodaj przypisanie roli , aby otworzyć okienko Dodawanie przypisania roli i wprowadź:
- Zakres — wybierz pozycję Grupa zasobów.
- Subskrypcja — wybierz subskrypcję platformy Azure zawierającą grupę zasobów, której chcesz użyć.
- Grupa zasobów — wybierz grupę zasobów.
- Rola — wybierz rolę, którą chcesz przypisać do przypisanej przez system tożsamości zarządzanej programu Fleet Manager (na przykład Współautor sieci).
Wybierz pozycję Zapisz , aby przypisać rolę do przypisanej przez system tożsamości zarządzanej programu Fleet Manager.

Pobieranie identyfikatora podmiotu zabezpieczeń tożsamości zarządzanej przypisanej przez system

Aby przypisać rolę RBAC platformy Azure do przypisanej przez system tożsamości zarządzanej usługi Fleet Manager, musisz najpierw uzyskać identyfikator podmiotu zabezpieczeń dla tożsamości zarządzanej. Pobierz identyfikator podmiotu zabezpieczeń tożsamości zarządzanej przypisanej przez system programu Fleet Manager, wywołując az fleet show polecenie .
```
# Get the principal ID for a system-assigned managed identity.
CLIENT_ID=$(az fleet show \
    --name myFleetName \
    --resource-group myResourceGroup \
    --query identity.principalId \
    --output tsv)
```
Przypisywanie roli RBAC platformy Azure do przypisanej przez system tożsamości zarządzanej

Aby udzielić przypisanej przez system tożsamości zarządzanej uprawnień do zasobu na platformie Azure, wywołaj az role assignment create polecenie , aby przypisać rolę RBAC platformy Azure do tożsamości zarządzanej.

Na przykład przypisz Network Contributor rolę w niestandardowej grupie zasobów przy użyciu az role assignment create polecenia . W przypadku parametru --scope podaj identyfikator zasobu dla grupy zasobów dla usługi Fleet Manager.
```
az role assignment create \
    --assignee $CLIENT_ID \
    --role "Network Contributor" \
    --scope "<fleet-manager-resource-group-id>"
```

Włączanie tożsamości zarządzanej przypisanej przez użytkownika

Tożsamość zarządzana przypisana przez użytkownika jest autonomicznym zasobem platformy Azure. Podczas tworzenia usługi Fleet Manager z tożsamością zarządzaną przypisaną przez użytkownika przed utworzeniem usługi Fleet Manager musi istnieć zasób tożsamości zarządzanej przypisanej przez użytkownika.

Tworzenie tożsamości zarządzanej przypisanej przez użytkownika

Jeśli nie masz jeszcze zasobu tożsamości zarządzanej przypisanej przez użytkownika, utwórz go przy użyciu witryny Azure Portal lub interfejsu wiersza polecenia platformy Azure.

Portal Azure
Interfejs wiersza polecenia platformy Azure

Wykonaj kroki opisane w dokumentacji tworzenia tożsamości zarządzanej przypisanej przez użytkownika.

Utwórz tożsamość zarządzaną przypisaną przez użytkownika.

Jeśli nie masz jeszcze zasobu tożsamości zarządzanej przypisanej przez użytkownika, utwórz go przy użyciu az identity create polecenia .

az identity create \
    --name myIdentity \
    --resource-group myResourceGroup

Dane wyjściowe powinny przypominać następujące przykładowe dane wyjściowe:

{                                  
  "clientId": "<client-id>",
  "clientSecretUrl": "<clientSecretUrl>",
  "id": "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity", 
  "location": "westus2",
  "name": "myIdentity",
  "principalId": "<principal-id>",
  "resourceGroup": "myResourceGroup",                       
  "tags": {},
  "tenantId": "<tenant-id>",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

Pobieranie identyfikatora podmiotu zabezpieczeń tożsamości zarządzanej przypisanej przez użytkownika

Aby uzyskać identyfikator podmiotu zabezpieczeń tożsamości zarządzanej przypisanej przez użytkownika, wywołaj metodę az identity show i wykonaj zapytanie dotyczące principalId właściwości:
```
CLIENT_ID=$(az identity show \
    --name myIdentity \
    --resource-group myResourceGroup \
    --query principalId \
    --output tsv)
```
Pobieranie identyfikatora zasobu tożsamości zarządzanej przypisanej przez użytkownika

Aby utworzyć usługę Fleet Manager z tożsamością zarządzaną przypisaną przez użytkownika, potrzebujesz identyfikatora zasobu dla nowej tożsamości zarządzanej. Aby uzyskać identyfikator zasobu tożsamości zarządzanej przypisanej przez użytkownika, wywołaj polecenie az identity show i zapytanie dotyczące id właściwości:
```
RESOURCE_ID=$(az identity show \
    --name myIdentity \
    --resource-group myResourceGroup \
    --query id \
    --output tsv)
```

Przypisywanie roli RBAC platformy Azure do tożsamości zarządzanej przypisanej przez użytkownika

Przed utworzeniem programu Fleet Manager dodaj przypisanie roli dla tożsamości zarządzanej.

Uwaga / Notatka

Propagacja uprawnień udzielonych tożsamości zarządzanej programu Fleet Manager może potrwać do 60 minut.

Portal Azure
Interfejs wiersza polecenia platformy Azure

Przejdź do zasobu tożsamości zarządzanej.
Wybierz kartę Przypisania ról platformy Azure w obszarze nawigacji po lewej stronie zasobu tożsamości zarządzanej. Spowoduje to otwarcie okienka Przypisania ról platformy Azure .
Wybierz pozycję Dodaj przypisanie roli , aby otworzyć okienko Dodawanie przypisania roli i wprowadź:
- Zakres — wybierz pozycję Grupa zasobów.
- Subskrypcja — wybierz subskrypcję platformy Azure zawierającą grupę zasobów, której chcesz użyć.
- Grupa zasobów — wybierz grupę zasobów.
- Rola — wybierz rolę, którą chcesz przypisać do tożsamości zarządzanej (na przykład Współautor sieci).
Wybierz pozycję Zapisz , aby przypisać rolę do tożsamości zarządzanej.

Użyj polecenia , az role assignment create aby przypisać rolę do tożsamości zarządzanej przypisanej przez użytkownika.

W poniższym przykładzie przypisano rolę Współautor sieci w celu udzielenia tożsamości uprawnień dostępu do zasobów sieciowych. Przypisanie roli jest ograniczone do grupy zasobów Fleet Manager.

az role assignment create \
    --assignee $CLIENT_ID \
    --role "Network Contributor" \
    --scope "<fleet-manager-resource-group-id>"

Tworzenie programu Fleet Manager przy użyciu tożsamości zarządzanej przypisanej przez użytkownika

Uwaga / Notatka

Regiony USDOD Central, USDOD East i USGov Iowa w chmurze Azure US Government nie obsługują tworzenia usługi Fleet Manager z tożsamością zarządzaną przypisaną przez użytkownika.

Portal Azure
Interfejs wiersza polecenia platformy Azure

Nie można utworzyć programu Fleet Manager z tożsamością zarządzaną przypisaną przez użytkownika w witrynie Azure Portal. Typ tożsamości Fleet Manager można zmienić na przypisany przez użytkownika po utworzeniu programu Fleet Manager lub użyć interfejsu wiersza polecenia platformy Azure.

Utwórz usługę Fleet Manager z tożsamością zarządzaną przypisaną przez użytkownika przy użyciu az fleet create polecenia z parametrem --assign-identity . Przekaż identyfikator zasobu dla tożsamości zarządzanej przypisanej przez użytkownika:

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --assign-identity $RESOURCE_ID

Aktualizowanie istniejącego programu Fleet Manager w celu używania tożsamości zarządzanej przypisanej przez użytkownika

Portal Azure
Interfejs wiersza polecenia platformy Azure

Tożsamość zarządzaną programu Fleet Manager można zarządzać przy użyciu bloku Tożsamość w sekcji Ustawienia programu Fleet Manager.

Przejdź do karty tożsamości zarządzanej przypisanej przez użytkownika, wybierając pozycję Przypisane przez użytkownika.
Wybierz pozycję + Dodaj , aby otworzyć okienko Dodawanie tożsamości zarządzanej przypisanej przez użytkownika .
- Subskrypcja — wybierz subskrypcję platformy Azure zawierającą tożsamość zarządzaną przypisaną przez użytkownika, której chcesz użyć.
- Tożsamości zarządzane przypisane przez użytkownika — wyszukaj tożsamość zarządzaną przypisaną przez użytkownika, której chcesz użyć.
Wybierz pozycję Dodaj , aby dodać tożsamość zarządzaną przypisaną przez użytkownika do usługi Fleet Manager.
Po kilku chwilach lista przypisana przez użytkownika zmieni się i zostanie wyświetlona tożsamość zarządzana przypisana przez użytkownika.

Aby zaktualizować istniejącą usługę Fleet Manager w celu używania tożsamości zarządzanej przypisanej przez użytkownika, wywołaj az fleet update polecenie . Uwzględnij --assign-identity parametr i przekaż identyfikator zasobu dla tożsamości zarządzanej przypisanej przez użytkownika:

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

Dane wyjściowe pomyślnej aktualizacji programu Fleet Manager do korzystania z tożsamości zarządzanej przypisanej przez użytkownika powinny przypominać następujące przykładowe dane wyjściowe:

  "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
      }
    }
  },

Określanie typu tożsamości zarządzanej w użyciu

Portal Azure
Interfejs wiersza polecenia platformy Azure

Ustawienia tożsamości zarządzanej programu Fleet Manager można sprawdzić przy użyciu bloku Tożsamość w sekcji Ustawienia programu Fleet Manager.

Sprawdź sekcje Przypisane przez system i Użytkownik, aby określić, który typ tożsamości zarządzanej jest włączony.

Aby określić, jakiego typu tożsamości zarządzanej używa istniejący menedżer Fleet Manager, wywołaj polecenie az fleet show i wykonaj zapytanie dotyczące właściwości typu tożsamości.

az fleet show \
    --name myFleetName \
    --resource-group myResourceGroup \
    --query identity.type \
    --output tsv

Odpowiedź to SystemAssigned lub UserAssigned.

Dalsze kroki

Użyj szablonów usługi Azure Resource Manager , aby utworzyć zarządzaną usługę Fleet Manager z obsługą tożsamości.

Sprzężenie zwrotne

Czy ta strona była pomocna?

Last updated on 2025-08-13

Udostępnij przez

Używanie tożsamości zarządzanej w usłudze Azure Kubernetes Fleet Manager

Zanim rozpoczniesz

Włączanie tożsamości zarządzanej przypisanej przez system

Włączanie tożsamości zarządzanej przypisanej przez system w nowym programie Fleet Manager

Aktualizowanie istniejącego programu Fleet Manager w celu używania tożsamości zarządzanej przypisanej przez system

Dodawanie przypisania roli dla tożsamości zarządzanej przypisanej przez system

Włączanie tożsamości zarządzanej przypisanej przez użytkownika

Tworzenie tożsamości zarządzanej przypisanej przez użytkownika

Przypisywanie roli RBAC platformy Azure do tożsamości zarządzanej przypisanej przez użytkownika

Tworzenie programu Fleet Manager przy użyciu tożsamości zarządzanej przypisanej przez użytkownika

Aktualizowanie istniejącego programu Fleet Manager w celu używania tożsamości zarządzanej przypisanej przez użytkownika

Określanie typu tożsamości zarządzanej w użyciu

Dalsze kroki

Sprzężenie zwrotne

Dodatkowe źródła