Red Hat Summit19.3. Microsoft Entra ID フェデレーションの設定
RHACS インテグレーションでは、マネージドアイデンティティーまたはワークロードアイデンティティーを使用して Microsoft Azure に対して認証できます。Microsoft Azure インテグレーションでマネージドアイデンティティーまたはワークロードアイデンティティーを使用して認証を有効にする場合は、新しい Microsoft Azure Container Registry (ACR) インテグレーションの作成時に Use workload identity チェックボックスをオンにします。
Azure マネージドアイデンティティーの詳細は、Azure リソースのマネージドアイデンティティーとは (Microsoft Azure ドキュメント) を参照してください。
Azure ワークロードアイデンティティーの詳細は、Workload identity federation (Microsoft Azure ドキュメント) を参照してください。
ワークロードアイデンティティーを通じて RHACS Pod に関連付けられたアイデンティティーには、インテグレーションのための IAM 権限が必要です。たとえば、Microsoft ACR と統合するためのワークロードアイデンティティーを設定するには、レジストリーを含むスコープに Reader ロールを割り当てます。
Microsoft Azure IAM ロールの詳細は、Azure RBAC ドキュメント (Microsoft Azure ドキュメント) を参照してください。
19.3.1. Microsoft Azure Kubernetes Service の設定
Microsoft Azure Kubernetes Service (AKS) で Red Hat Advanced Cluster Security for Kubernetes (RHACS) を実行すると、Microsoft Entra ID マネージドアイデンティティーを使用して有効期間の短いトークンを設定できます。
前提条件
- Microsoft Azure 内のクラスターおよびインテグレーションリソースにアクセスできる。
手順
外部 IdP と、Microsoft Entra ID 内のユーザーが割り当てたマネージドアイデンティティーまたはアプリケーションとの間に信頼関係を作成します。
詳細は、Workload Identity Federation (Microsoft Azure ドキュメント) を参照してください。
次のコマンドを実行して、RHACS サービスアカウントにアノテーションを付けます。
$ oc annotate serviceaccount \1 central \2 --namespace stackrox \ azure.workload.identity/client-id=<CLIENT_ID> 3
出力例
serviceaccount/central annotated
19.3.2. OpenShift Container Platform の設定
OpenShift Container Platform 上で Red Hat Advanced Cluster Security for Kubernetes (RHACS) を実行すると、Microsoft Entra ID マネージドアイデンティティーを使用して有効期間の短いトークンを設定できます。
前提条件
OpenShift Container Platform サービスアカウント署名者キーを含むパブリックな OpenID Connect (OIDC) 設定バケットがある。
詳細は、OpenShift Container Platform ドキュメントの コンポーネントの短期認証情報を使用した手動モード を参照してください。
- Microsoft Entra ID ユーザー割り当てマネージドアイデンティティーがある。
- ロール割り当て権限を持つ Microsoft Azure サブスクリプションにアクセスできます。
手順
フェデレーション対応アイデンティティーの認証情報をユーザーが割り当てたマネージドアイデンティティーに追加するには、次の例のようにコマンドを実行します。
$ az identity federated-credential create \ --name "${FEDERATED_CREDENTIAL_NAME}" \ --identity-name "${MANAGED_IDENTITY_NAME}" \1 --resource-group "${RESOURCE_GROUP}" \ --issuer "${OIDC_ISSUER_URL}" \2 --subject system:serviceaccount:stackrox:central \ 3 --audience openshiftMicrosoft Entra ID マネージドアイデンティティーを使用して有効期間の短いトークンを設定する方法の詳細は、Configure a user-assigned managed identity to trust an external identity provider (Microsoft Azure ドキュメント) を参照してください。
