19.3. 配置 Microsoft Entra ID 联邦

先决条件

• 您可以访问 Microsoft Azure 中的集群和集成资源。

先决条件

• 您有一个公共 OpenID Connect (OIDC)配置存储桶，带有 OpenShift Container Platform 服务帐户签名者密钥。

  如需更多信息，请参阅 OpenShift Container Platform 文档中的 "带有简短凭证的模式 "。

• 您有一个 Microsoft Entra ID 用户分配的管理身份。
• 您可以使用分配角色分配的权限访问 Microsoft Azure 订阅。

流程

• 要将联邦身份凭证添加到用户提供的受管身份，请运行以下命令：

  $ az identity federated-credential create \
      --name "${FEDERATED_CREDENTIAL_NAME}" \
      --identity-name "${MANAGED_IDENTITY_NAME}" \1
      --resource-group "${RESOURCE_GROUP}" \
      --issuer "${OIDC_ISSUER_URL}" \2
      --subject system:serviceaccount:stackrox:central \ 3
      --audience openshift

  Copy to clipboard

  1

  受管身份必须具有联邦的所有权限。

  2

  签发者必须与 OpenShift Container Platform 集群的服务帐户令牌签发者匹配。

  3

  要进行委派的扫描，请将 subject 设置为 system:serviceaccount:stackrox:sensor。

  有关如何使用 Microsoft Entra ID 管理的身份配置简短令牌的更多信息，请参阅 配置用户分配的受管身份以信任外部身份提供程序 (Microsoft Azure 文档)。