Allgemeine Verfügbarkeit für gemanagte Identität und Workload-Identität auf Microsoft Azure Red Hat OpenShift

Die Unterstützung für gemanagte Identitäten und Workload-Identitäten ist jetzt allgemein verfügbar (GA) für Microsoft Azure Red Hat OpenShift-Cluster. Als vollständig gemanagtes Angebot bietet Azure Red Hat OpenShift eine bewährte, umfassende und konsistente Anwendungsplattform für die Entwicklung, Bereitstellung und Verwaltung Ihrer Anwendungen in großem Umfang. Die Lösung wird gemeinsam von Red Hat und Microsoft betrieben und entwickelt. Dadurch erhalten Unternehmen einen integrierten Support und können sich auf die Entwicklung und Bereitstellung von Anwendungen konzentrieren, anstatt die zugrunde liegende Infrastruktur zu verwalten. 

Dies ist ein wichtiger Meilenstein, der die Sicherheit für den Zugriff Ihrer Azure Red Hat OpenShift Cluster auf andere Azure-Ressourcen verbessert. Auf diese Weise können Sie die Komplexität bei der Verwaltung von Zugangsdaten für Dienstprinzipale beseitigen und einen optimierten und sicheren Authentifizierungsprozess nutzen.

Gründe für die Verwendung von verwalteten Identitäten

Wie in unserem vorherigen Blog erläutert, erhöhen verwaltete Identitäten die Sicherheit erheblich, indem langfristige Anmeldeinformationen, wie z. B. Client-Secrets, durch kurzlebige Token ersetzt werden. Dieser Ansatz minimiert das Risiko, das mit einer Gefährdung aufgrund der kurzen Lebensdauer eines Tokens und der eng gefassten Berechtigungen verbunden ist. Ein weiterer Vorteil ist die Reduzierung des Betriebsaufwands, da die manuelle Verwaltung und Rotation von Secrets, Schlüsseln und Zertifikaten entfällt. 

Verwendung von verwalteten Identitäten

Um verwaltete Identitäten für einen Azure Red Hat OpenShift Cluster zu verwenden, müssen Sie benutzerseitig zugewiesene, verwaltete Identitäten für jede Azure Red Hat OpenShift-Komponente erstellen und die entsprechenden Rollenzuweisungen für die erforderlichen Ressourcen bereitstellen. Azure Red Hat OpenShift verwendet mehrere von Nutzenden zugewiesene gemanagte Identitäten, die jeweils einem bestimmten Operator oder einer bestimmten Komponente zugeordnet sind. Diese Identitäten sind mit einer bestimmten integrierten Rolle verknüpft, wobei jede Rollenzuweisung gemäß dem Prinzip der geringsten Privilegien (Least Privilege) erfolgt. Sobald dies abgeschlossen ist, können Sie diese bei der Erstellung des Clusters verwenden.

Mit der GA-Version können Sie gemanagte Azure Red Hat OpenShift Cluster mithilfe von Azure Resource Manager (ARM), Bicep oder der aktuellen Befehlszeilenschnittstelle (CLI) bereitstellen. Wir werden diese Funktion in Kürze nativ in der Azure CLI und über das Azure-Portal aktivieren. Einen ausführlichen Guide finden Sie im Artikel Verwaltete Identitäten in Azure Red Hat OpenShift verstehen.

Verwenden von Identitäten für Ihre Anwendungen

In diesem Zusammenhang bezeichnen wir dies als „Workload-Identitäten“. Gemäß der Microsoft Azure-Dokumentation unter Was sind Workload-Identitäten? wird dies als „etwas, das Ihre Software-Entität zur Authentifizierung bei einem bestimmten System benötigt“ beschrieben. Für einen Azure Red Hat OpenShift Cluster können Sie eine benutzerseitig zugewiesene verwaltete Identität verwenden, um Ihren Anwendungen den Zugriff auf andere Azure-Dienste zu ermöglichen.

Sie können beispielsweise einer bestimmten Anwendung einen Lesezugriff auf einen einzelnen Key Vault oder ein Storage-Konto gewähren, ohne Secrets oder langfristige Anmeldeinformationen zu teilen. 

Um dies für Ihre Anwendungen zu implementieren, ist der allgemeine Workflow wie folgt:

1. Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität.
2. Führen Sie eine Rollenzuweisung für die gewünschte Azure-Ressource durch.
3. Erstellen Sie ein Kubernetes-Servicekonto und legen Sie die korrekten Anmerkungen fest.
4. Erstellen Sie verbundene Anmeldeinformationen.
5. Stellen Sie Ihre Anwendung bereit und stellen Sie sicher, dass die korrekte Bezeichnung und das Servicekonto festgelegt sind.

Weitere Informationen finden Sie unter Bereitstellen und Konfigurieren einer Anwendung mit Workload-Identität in einem von Azure Red Hat OpenShift verwalteten Identitäts-Cluster.

Was geschieht mit gemanagten Identitäts-Clustern, die während der Vorschauphase erstellt wurden?

Die gute Nachricht ist, dass für bestehende gemanagte Identitäts-Cluster keine Maßnahmen erforderlich sind. Cluster, die während der Vorschauphase erstellt wurden, werden automatisch in den GA-Status überführt und werden nun vollständig für den Produktionseinsatz unterstützt. Es sind keine Änderungen, Migrationen oder erneute Bereitstellungen erforderlich. 

Beachten Sie, dass Cluster, die derzeit einen Dienstprinzipal verwenden, nicht betroffen sind und die Migration zu einem gemanagten Identitäts-Cluster nicht unterstützt wird.

Erste Schritte 

Lesen Sie die Produktdokumentation, beginnend mit Einführung in verwaltete Identitäten in Azure Red Hat OpenShift. Dort werden die Konzepte, Komponenten und Überlegungen erläutert, die für eine erfolgreiche Bereitstellung eines Clusters erforderlich sind. Während die CLI- und Portal-Funktionen finalisiert werden, können Cluster mit ARM, Bicep oder der vorhandenen CLI-Erweiterung erstellt werden. Cluster, die mit der Erweiterung erstellt wurden, werden als GA vollständig unterstützt.

Fazit

Die Funktionen für gemanagte Identitäten und Workload-Identitäten für Azure Red Hat OpenShift sind jetzt allgemein verfügbar. Dadurch wird es einfacher und sicherer, Ihre Cluster mit Azure-Diensten zu verbinden. Anstatt die Secrets von Dienstprinzipalen zu verwalten, erhalten Sie kurzlebige Token, was für Sie weniger Aufwand und mehr Sicherheit bedeutet. Mit Workload-Identität erhalten Ihre Anwendungen sogar einen sicheren, optimierten Zugriff auf Azure-Ressourcen. Sie können sofort loslegen und die Lösung für neue Cluster mit ARM, Bicep oder der CLI-Erweiterung verwenden. Nutzende mit bestehenden Preview-Clustern mit gemanagten Identitäten werden automatisch vom GA-Support abgedeckt. Weitere Informationen zu Azure Red Hat OpenShift finden Sie in diesen Ressourcen:

• Dokumentation
• Produktübersicht: Azure Red Hat OpenShift
• Bereitstellung von KI-Workloads in Azure Red Hat OpenShift mit gemanagten Identitäten