Usar uma identidade gerenciada no Gerenciador de Frotas do Kubernetes do Azure

Quando você cria um novo Fleet Manager no portal do Azure, uma identidade gerenciada atribuída pelo sistema é criada automaticamente.

Você pode verificar se a identidade gerenciada atribuída pelo sistema está habilitada verificando a folha Identidade na seção Configurações do Fleet Manager. O status está ativado e a ID do objeto (principal) é preenchida (não mostrada na imagem).

Crie um Fleet Manager usando o az fleet create comando, passando o --enable-managed-identity parâmetro para habilitar a identidade gerenciada atribuída pelo sistema.

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --location westus2 \
    --enable-managed-identity

A saída do comando indica que o tipo de identidade é SystemAssigned e inclui a ID da entidade de segurança e o locatário.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

Você pode gerenciar a identidade gerenciada do Fleet Manager usando a folha Identidade na seção Configurações do Fleet Manager.

1. Habilite a identidade gerenciada atribuída pelo sistema definindo o status atribuído pelo sistema como Ativado e selecionando Salvar.

   

2. Selecione Sim na caixa de diálogo de confirmação.

3. Após alguns instantes, o Status muda para Ativado e a ID do Objeto (entidade de segurança) é preenchida (não mostrada na imagem).

   

Para atualizar um Fleet Manager existente para usar uma identidade gerenciada atribuída pelo sistema, execute o comando az fleet update com o --enable-managed-identity parâmetro definido como true.

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity true

A saída do comando indica que o tipo de identidade é SystemAssigned e inclui a ID da entidade de segurança e o locatário.

{
  "eTag": "\"13003f4b-0000-1b00-0000-68900c3c0000\"",
  "hubProfile": null,
  "id": "/subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerService/fleets/myFleetName",
  "identity": {
    "principalId": "<principal-id>",
    "tenantId": "<tenant-id>",
    "type": "SystemAssigned",
    "userAssignedIdentities": null
  },
  "location": "westus2",
  "name": "flt-mgr-02",
  "provisioningState": "Succeeded",
  "resourceGroup": "myResourceGroup",
  "status": {
    "lastOperationError": null,
    "lastOperationId": "d31e866c-a3d3-46ab-8a97-094bc4672d35"
  },
  "systemData": {
    "createdAt": "2025-08-04T01:26:17.588030+00:00",
    "createdBy": "",
    "createdByType": "User",
    "lastModifiedAt": "2025-08-04T01:26:17.588030+00:00",
    "lastModifiedBy": "",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.ContainerService/fleets"
}

1. Selecione a guia atribuições de função do Azure na folha Identidade do Fleet Manager. Isso abre o painel atribuições de função do Azure .

   

2. Selecione Adicionar atribuição de função para abrir o painel Adicionar atribuição de função e insira:

   • Escopo – selecione Grupo de recursos.

   • Assinatura – escolha a assinatura do Azure que contém o grupo de recursos que você deseja usar.

   • Grupo de recursos – selecione o grupo de recursos.

   • Função – escolha a função que você deseja atribuir à identidade gerenciada atribuída pelo sistema do Fleet Manager (por exemplo, Colaborador de Rede).

     

3. Selecione Salvar para atribuir a função à identidade gerenciada atribuída pelo sistema do Fleet Manager.

1. Obter a ID da entidade de segurança da identidade gerenciada atribuída pelo sistema

   Para atribuir uma função RBAC do Azure à identidade gerenciada atribuída pelo sistema do Fleet Manager, primeiro você precisa da ID da entidade de segurança para a identidade gerenciada. Obtenha a ID principal da identidade gerenciada atribuída pelo sistema do Fleet Manager chamando o az fleet show comando.

   # Get the principal ID for a system-assigned managed identity.
   CLIENT_ID=$(az fleet show \
       --name myFleetName \
       --resource-group myResourceGroup \
       --query identity.principalId \
       --output tsv)
   

2. Atribuir uma função RBAC do Azure à identidade gerenciada atribuída pelo sistema

   Para conceder uma permissão de identidade gerenciada atribuída pelo sistema a um recurso no Azure, chame o az role assignment create comando para atribuir uma função RBAC do Azure à identidade gerenciada.

   Por exemplo, atribua a função Network Contributor ao grupo de recursos personalizado usando o comando az role assignment create. Para o --scope parâmetro, forneça a ID do recurso para o grupo de recursos do Fleet Manager.

   az role assignment create \
       --assignee $CLIENT_ID \
       --role "Network Contributor" \
       --scope "<fleet-manager-resource-group-id>"
   

Siga as etapas na documentação criar uma identidade gerenciada atribuída pelo usuário.

1. Criar uma identidade gerenciada atribuída pelo usuário.

   Se você ainda não tiver um recurso de identidade gerenciada atribuída pelo usuário, crie um usando o comando az identity create.

   az identity create \
       --name myIdentity \
       --resource-group myResourceGroup
   

   Sua saída deve ser parecida com o seguinte exemplo de saída:

   {                                  
     "clientId": "<client-id>",
     "clientSecretUrl": "<clientSecretUrl>",
     "id": "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity", 
     "location": "westus2",
     "name": "myIdentity",
     "principalId": "<principal-id>",
     "resourceGroup": "myResourceGroup",                       
     "tags": {},
     "tenantId": "<tenant-id>",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. Obter a ID da entidade de segurança da identidade gerenciada atribuída pelo usuário

   Para obter a ID principal da identidade gerenciada atribuída pelo usuário, chame az identity show e realize a consulta sobre a propriedade principalId.

   CLIENT_ID=$(az identity show \
       --name myIdentity \
       --resource-group myResourceGroup \
       --query principalId \
       --output tsv)
   

3. Obter a ID do recurso da identidade gerenciada atribuída pelo usuário

   Para criar um Fleet Manager com uma identidade gerenciada atribuída pelo usuário, você precisa da ID do recurso para a nova identidade gerenciada. Para obter a ID do recurso da identidade gerenciada atribuída pelo usuário, chame az identity show e consulte na id propriedade:

   RESOURCE_ID=$(az identity show \
       --name myIdentity \
       --resource-group myResourceGroup \
       --query id \
       --output tsv)
   

1. Navegue até o recurso de identidade gerenciada.

2. Selecione a guia atribuições de função do Azure na navegação esquerda do recurso de identidade gerenciada. Isso abre o painel atribuições de função do Azure .

   

3. Selecione Adicionar atribuição de função para abrir o painel Adicionar atribuição de função e insira:

   • Escopo – selecione Grupo de recursos.

   • Assinatura – escolha a assinatura do Azure que contém o grupo de recursos que você deseja usar.

   • Grupo de recursos – selecione o grupo de recursos.

   • Função – escolha a função que você deseja atribuir à identidade gerenciada (por exemplo, Colaborador de Rede).

     

4. Selecione Salvar para atribuir a função à identidade gerenciada.

Use o az role assignment create comando para atribuir uma função à identidade gerenciada atribuída pelo usuário.

O exemplo a seguir atribui a função Colaborador de Rede para conceder as permissões de identidade para acessar recursos de rede. A atribuição de função tem como escopo o grupo de recursos do Fleet Manager.

az role assignment create \
    --assignee $CLIENT_ID \
    --role "Network Contributor" \
    --scope "<fleet-manager-resource-group-id>"

Você não pode criar um Fleet Manager com uma identidade gerenciada atribuída pelo usuário no portal do Azure. Você pode alterar o tipo de identidade do Fleet Manager para atribuído pelo usuário após a criação do Fleet Manager ou usar a CLI do Azure.

Crie um Fleet Manager com a identidade gerenciada atribuída pelo usuário usando o az fleet create comando com o --assign-identity parâmetro. Passe a ID do recurso para a identidade gerenciada atribuída pelo usuário:

az fleet create \
    --resource-group myResourceGroup \
    --name myFleetName \
    --assign-identity $RESOURCE_ID

Você pode gerenciar a identidade gerenciada do Fleet Manager usando a folha Identidade na seção Configurações do Fleet Manager.

1. Alterne para a guia de identidade gerenciada atribuída pelo usuário selecionando Usuário atribuído.

   

2. Selecione + Adicionar para abrir o painel Adicionar identidade gerenciada atribuída pelo usuário .

   • Assinatura – escolha a assinatura do Azure que contém a identidade gerenciada atribuída pelo usuário que você deseja usar.
   • Identidades gerenciadas atribuídas pelo usuário – pesquise a identidade gerenciada atribuída pelo usuário que você deseja usar.

   

3. Selecione Adicionar para adicionar a identidade gerenciada atribuída pelo usuário ao Fleet Manager.

4. Após alguns instantes, a lista atribuída pelo usuário muda e a identidade gerenciada atribuída pelo usuário é listada.

   

Para atualizar um Fleet Manager existente para usar uma identidade gerenciada atribuída pelo usuário, chame o az fleet update comando. Inclua o parâmetro --assign-identity e passe a ID do recurso para a identidade gerenciada atribuída pelo usuário:

az fleet update \
    --resource-group myResourceGroup \
    --name myFleetName \
    --enable-managed-identity \
    --assign-identity $RESOURCE_ID

A saída de uma atualização bem-sucedida do Fleet Manager para usar uma identidade gerenciada atribuída pelo usuário deve ser semelhante à seguinte saída de exemplo:

  "identity": {
    "principalId": null,
    "tenantId": null,
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
        "clientId": "<client-id>",
        "principalId": "<principal-id>"
      }
    }
  },

Você pode verificar as configurações de identidade gerenciada do Fleet Manager usando a folha Identidade na seção Configurações do Fleet Manager.

Verifique as seções atribuídas pelo sistema e pelo usuário para determinar qual tipo de identidade gerenciada está habilitada.

Para determinar qual tipo de identidade gerenciada o Fleet Manager existente está usando, chame o comando az fleet show e consulte a propriedade type da identidade.

az fleet show \
    --name myFleetName \
    --resource-group myResourceGroup \
    --query identity.type \
    --output tsv       

A resposta é SystemAssigned ou UserAssigned.