Azure kubernetes-多个托管标识？

Question

我们计划在我们的单个Azure kubernetes集群上部署多个应用程序，每个应用程序都将拥有自己的一组Azure资源-例如：Key vault、Storage。

我计划为每个应用程序提供个人托管身份，并提供对相关资源的访问。

我知道AZURE AAD POD identify是配置POD以使用托管标识访问AZURE资源的方法。

但是，如何将多个托管标识添加到Azure kubernetes集群中？这是实现的权利吗？

Answer 1

如前所述，我认为您不能向集群添加多个MSI，您可以只使用系统分配的MSI或用户分配的MSI。

参考-在Azure Kubernetes服务中使用托管标识

在您的情况下，如果要使用不同的服务主体进行身份验证（本质上，MSI也是Azure管理的服务主体），则可以创建多个AD应用程序以及服务主体。

参考-如何：使用门户创建可以访问资源的Azure AD应用程序和服务主体

然后在每个应用程序的代码中，使用ClientSecretCredential进行身份验证。

ClientSecretCredential credential1 = new ClientSecretCredentialBuilder()
     .tenantId(tenantId)
     .clientId(clientId)
     .clientSecret(clientSecret)
     .build();

然后使用凭据创建客户端，例如SecretClient。

SecretClient secretClient = new SecretClientBuilder()
    .vaultUrl("<your-key-vault-url>")
    .credential(credential1)
    .buildClient();