10.5. Zero Trust Workload Identity Manager の OIDC フェデレーション

手順

1. 次のコマンドを実行して、Azure にログインします。

   $ az login

   Copy to Clipboard Toggle word wrap

2. Azure サブスクリプションとテナントの変数を設定します。

   $ export SUBSCRIPTION_ID=$(az account list --query "[?isDefault].id" -o tsv) 

   1

   
   $ export TENANT_ID=$(az account list --query "[?isDefault].tenantId" -o tsv) 

   2

   
   $ export LOCATION=centralus 

   3

   Copy to Clipboard Toggle word wrap

   1

   一意のサブスクリプション識別子。

   2

   Azure Active Directory インスタンスの ID。

   3

   リソースを作成する Azure リージョン。

3. リソースの変数名を定義します。

   $ export NAME=ztwim 

   1

   
   $ export RESOURCE_GROUP="${NAME}-rg" 

   2

   
   $ export STORAGE_ACCOUNT="${NAME}storage" 

   3

   
   $ export STORAGE_CONTAINER="${NAME}storagecontainer" 

   4

   
   $ export USER_ASSIGNED_IDENTITY_NAME="${NAME}-identity" 

   5

   Copy to Clipboard Toggle word wrap

   1

   すべてのリソースのベース名。

   2

   リソースグループの名前。

   3

   ストレージアカウントの名前。

   4

   ストレージコンテナーの名前。

   5

   マネージド ID の名前。

4. リソースグループを作成します。

   $ az group create \
     --name "${RESOURCE_GROUP}" \
     --location "${LOCATION}"

   Copy to Clipboard Toggle word wrap

手順

1. コンテンツを保存するために使用する新しいストレージアカウントを作成します。

   $ az storage account create \
     --name ${STORAGE_ACCOUNT} \
     --resource-group ${RESOURCE_GROUP} \
     --location ${LOCATION} \
     --encryption-services blob

   Copy to Clipboard Toggle word wrap

2. 新しく作成したストレージアカウントのストレージ ID を取得します。

   $ export STORAGE_ACCOUNT_ID=$(az storage account show -n ${STORAGE_ACCOUNT} -g ${RESOURCE_GROUP} --query id --out tsv)

   Copy to Clipboard Toggle word wrap

3. 新しく作成したストレージアカウント内にストレージコンテナーを作成し、Blob のストレージをサポートするための場所を提供します。

   $ az storage container create \
     --account-name ${STORAGE_ACCOUNT} \
     --name ${STORAGE_CONTAINER} \
     --auth-mode login

   Copy to Clipboard Toggle word wrap

手順

1. 新しいユーザーマネージド ID を作成し、そのユーザーマネージド ID に関連付けられている関連サービスプリンシパルのクライアント ID を取得します。

   $ az identity create \
     --name ${USER_ASSIGNED_IDENTITY_NAME} \
     --resource-group ${RESOURCE_GROUP}
   
   $ export IDENTITY_CLIENT_ID=$(az identity show --resource-group "${RESOURCE_GROUP}" --name "${USER_ASSIGNED_IDENTITY_NAME}" --query 'clientId' -otsv)

   Copy to Clipboard Toggle word wrap

2. ユーザーマネージド ID に関連付けられているサービスプリンシパルにロールを関連付けます。

   $ az role assignment create \
     --role "Storage Blob Data Contributor" \
     --assignee "${IDENTITY_CLIENT_ID}" \
     --scope ${STORAGE_ACCOUNT_ID}

   Copy to Clipboard Toggle word wrap

手順

1. アプリケーション名と namespace を設定します。

   $ export APP_NAME=workload-app
   $ export APP_NAMESPACE=demo

   Copy to Clipboard Toggle word wrap

2. namespace を作成します。

   $ oc create namespace $APP_NAMESPACE

   Copy to Clipboard Toggle word wrap

3. アプリケーションの Secret を作成します。

   $ oc apply -f - << EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   stringData:
     AAD_AUTHORITY: https://login.microsoftonline.com/
     AZURE_AUDIENCE: "api://AzureADTokenExchange"
     AZURE_TENANT_ID: "${TENANT_ID}"
     AZURE_CLIENT_ID: "${IDENTITY_CLIENT_ID}"
     BLOB_STORE_ACCOUNT: "${STORAGE_ACCOUNT}"
     BLOB_STORE_CONTAINER: "${STORAGE_CONTAINER}"
   EOF

   Copy to Clipboard Toggle word wrap

手順

1. アプリケーションをデプロイするには、以下に記載のコマンドブロック全体をコピーし、ターミナルに直接貼り付けます。Enter キーを押します。

   $ oc apply -f - << EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   ---
   kind: Deployment
   apiVersion: apps/v1
   metadata:
     name: $APP_NAME
     namespace: $APP_NAMESPACE
   spec:
     selector:
       matchLabels:
         app: $APP_NAME
     template:
       metadata:
         labels:
           app: $APP_NAME
           deployment: $APP_NAME
       spec:
         serviceAccountName: $APP_NAME
         containers:
           - name: $APP_NAME
             image: "registry.redhat.io/ubi9/python-311:latest"
             command:
               - /bin/bash
               - "-c"
               - |
                 #!/bin/bash
                 pip install spiffe azure-cli
   
                 cat << EOF > /opt/app-root/src/get-spiffe-token.py
                 #!/opt/app-root/bin/python
                 from spiffe import JwtSource
                 import argparse
                 parser = argparse.ArgumentParser(description='Retrieve SPIFFE Token.')
                 parser.add_argument("-a", "--audience", help="The audience to include in the token", required=True)
                 args = parser.parse_args()
                 with JwtSource() as source:
                   jwt_svid = source.fetch_svid(audience={args.audience})
                   print(jwt_svid.token)
                 EOF
   
                 chmod +x /opt/app-root/src/get-spiffe-token.py
                 while true; do sleep 10; done
             envFrom:
             - secretRef:
                 name: $APP_NAME
             env:
               - name: SPIFFE_ENDPOINT_SOCKET
                 value: unix:///run/spire/sockets/spire-agent.sock
             securityContext:
               allowPrivilegeEscalation: false
               capabilities:
                 drop:
                   - ALL
               readOnlyRootFilesystem: false
               runAsNonRoot: true
               seccompProfile:
                 type: RuntimeDefault
             ports:
               - containerPort: 8080
                 protocol: TCP
             volumeMounts:
               - name: spiffe-workload-api
                 mountPath: /run/spire/sockets
                 readOnly: true
         volumes:
           - name: spiffe-workload-api
             csi:
               driver: csi.spiffe.io
               readOnly: true
   EOF

   Copy to Clipboard Toggle word wrap

検証

1. workload-app Pod が正常に実行されていることを確認します。

   $ oc get pods -n $APP_NAMESPACE

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                             READY     STATUS      RESTARTS      AGE
   workload-app-5f8b9d685b-abcde    1/1       Running     0             60s

   Copy to Clipboard Toggle word wrap

2. SPIFFE JWT Token (SVID-JWT) を取得します。

   # Get the pod name dynamically
   $ POD_NAME=$(oc get pods -n $APP_NAMESPACE -l app=$APP_NAME -o jsonpath='{.items[0].metadata.name}')
   
   # Execute the script inside the pod
   $ oc exec -it $POD_NAME -n $APP_NAMESPACE -- \
     /opt/app-root/src/get-spiffe-token.py -a "api://AzureADTokenExchange"

   Copy to Clipboard Toggle word wrap

手順

1. SPIFFE Workload API から JWT トークンを取得し、Pod 内に含まれている Azure CLI にログインします。

   $ oc rsh -n $APP_NAMESPACE deployment/$APP_NAME
   
   $ export TOKEN=$(/opt/app-root/src/get-spiffe-token.py --audience=$AZURE_AUDIENCE)
   $ az login --service-principal \
     -t ${AZURE_TENANT_ID} \
     -u ${AZURE_CLIENT_ID} \
     --federated-token ${TOKEN}

   Copy to Clipboard Toggle word wrap

2. アプリケーションワークロード Pod を使用して新しいファイルを作成し、そのファイルを Blob Storage にアップロードします。

   $ echo “Hello from OpenShift” > openshift-spire-federated-identities.txt
   $ az storage blob upload \
     --account-name ${BLOB_STORE_ACCOUNT} \
     --container-name ${BLOB_STORE_CONTAINER} \
     --name openshift-spire-federated-identities.txt \
     --file openshift-spire-federated-identities.txt \
     --auth-mode login

   Copy to Clipboard Toggle word wrap

手順

1. vault Pod へのリモートシェルを開きます。

   $ oc rsh -n vault statefulset/vault

   Copy to Clipboard Toggle word wrap

2. Vault を初期化して、アンシールキーと root トークンを取得します。

   $ vault operator init -key-shares=1 -key-threshold=1 -format=json

   Copy to Clipboard Toggle word wrap

3. 前のコマンドで受け取ったアンシールキーと root トークンをエクスポートします。

   $ export UNSEAL_KEY=<Your-Unseal-Key>
   $ export ROOT_TOKEN=<Your-Root-Token>

   Copy to Clipboard Toggle word wrap

4. アンシールキーを使用して Vault をアンシールします。

   $ vault operator unseal -format=json $UNSEAL_KEY

   Copy to Clipboard Toggle word wrap
5. Exit と入力して Pod を終了します。

手順

1. Vault Pod で別のシェルセッションを開きます。

   $ oc rsh -n vault statefulset/vault

   Copy to Clipboard Toggle word wrap

2. この新しいセッション内で root トークンを再度エクスポートし、ログインします。

   $ export ROOT_TOKEN=<Your-Root-Token>
   $ vault login "${ROOT_TOKEN}"

   Copy to Clipboard Toggle word wrap

3. secret/ パスでキー/値シークレットエンジンを有効にし、テストシークレットを作成します。

   $ export NAME=ztwim
   $ vault secrets enable -path=secret kv
   $ vault kv put secret/$NAME version=v0.1.0

   Copy to Clipboard Toggle word wrap

手順

1. ローカルマシンで、SPIRE 認証局 (CA) バンドルを取得し、ファイルに保存します。

   $ oc get cm -n zero-trust-workload-identity-manager spire-bundle -o jsonpath='{ .data.bundle\.crt }' > oidc_provider_ca.pem

   Copy to Clipboard Toggle word wrap

2. Vault Pod シェルに戻り、一時ファイルを作成し、oidc_provider_ca.pem の内容をそこに貼り付けます。

   $ cat << EOF > /tmp/oidc_provider_ca.pem
   -----BEGIN CERTIFICATE-----
   <Paste-Your-Certificate-Content-Here>
   -----END CERTIFICATE-----
   EOF

   Copy to Clipboard Toggle word wrap

3. JWT 設定に必要な環境変数を設定します。

   $ export APP_DOMAIN=<Your-App-Domain>
   $ export JWT_ISSUER_ENDPOINT="oidc-discovery.$APP_DOMAIN"
   $ export OIDC_URL="https://$JWT_ISSUER_ENDPOINT"
   $ export OIDC_CA_PEM="$(cat /tmp/oidc_provider_ca.pem)"

   Copy to Clipboard Toggle word wrap

4. JWT 認証方法を有効にし、OIDC プロバイダーの詳細を使用して認証方法を設定します。

   $ export ROLE="${NAME}-role"
   $ vault auth enable jwt
   $ vault write auth/jwt/config \
     oidc_discovery_url=$OIDC_URL \
     oidc_discovery_ca_pem="$OIDC_CA_PEM" \
     default_role=$ROLE

   Copy to Clipboard Toggle word wrap

5. 先ほど作成したシークレットへの読み取りアクセスを許可する ztwim-policy という名前のポリシーを作成します。

   $ export POLICY="${NAME}-policy"
   $ vault policy write $POLICY -<<EOF
   path "secret/$NAME" {
       capabilities = ["read"]
   }
   EOF

   Copy to Clipboard Toggle word wrap

6. 特定の SPIFFE ID を持つワークロードにポリシーをバインドする JWT ロールを作成します。

   $ export APP_NAME=client
   $ export APP_NAMESPACE=demo
   $ export AUDIENCE=$APP_NAME
   $ vault write auth/jwt/role/$ROLE -<<EOF
   {
     "role_type": "jwt",
     "user_claim": "sub",
     "bound_audiences": "$AUDIENCE",
     "bound_claims_type": "glob",
     "bound_claims": {
       "sub": "spiffe://$APP_DOMAIN/ns/$APP_NAMESPACE/sa/$APP_NAME"
     },
     "token_ttl": "24h",
     "token_policies": "$POLICY"
   }
   EOF

   Copy to Clipboard Toggle word wrap

手順

1. ローカルマシンで、アプリケーションの環境変数を設定します。

   $ export APP_NAME=client
   $ export APP_NAMESPACE=demo
   $ export AUDIENCE=$APP_NAME

   Copy to Clipboard Toggle word wrap

2. Kubernetes マニフェストを適用して、デモアプリケーションの namespace、サービスアカウント、およびデプロイメントを作成します。このデプロイメントでは、SPIFFE CSI ドライバーソケットがマウントされます。

   $ oc apply -f - <<EOF
   # ... (paste the full YAML from your provided code here) ...
   EOF

   Copy to Clipboard Toggle word wrap

手順

1. 実行中のクライアント Pod 内でコマンドを実行して、JWT-SVID を取得します。

   $ oc -n $APP_NAMESPACE exec -it $(oc get pod -o=jsonpath='{.items[*].metadata.name}' -l app=$APP_NAME -n $APP_NAMESPACE) \
     -- /opt/spire/bin/spire-agent api fetch jwt \
     -socketPath /run/spire/sockets/spire-agent.sock \
     -audience $AUDIENCE

   Copy to Clipboard Toggle word wrap

2. 出力からトークンをコピーし、ローカルマシン上で環境変数としてエクスポートします。

   $ export IDENTITY_TOKEN=<Your-JWT-Token>

   Copy to Clipboard Toggle word wrap

3. curl を使用して JWT トークンを Vault ログインエンドポイントに送信し、Vault クライアントトークンを取得します。

   $ export ROLE="${NAME}-role"
   $ VAULT_TOKEN=$(curl -s --request POST --data '{ "jwt": "'"${IDENTITY_TOKEN}"'", "role": "'"${ROLE}"'"}' "${VAULT_ADDR}"/v1/auth/jwt/login | jq -r '.auth.client_token')

   Copy to Clipboard Toggle word wrap