Microsoft Azure Red Hat OpenShift でのマネージド ID およびワークロード ID の一般提供

Microsoft Azure Red Hat OpenShift クラスタ向けのマネージド ID とワークロード ID のサポートの一般提供 (GA) が開始されました。フルマネージドサービスである Azure Red Hat OpenShift は、アプリケーションを大規模に構築、デプロイ、管理するための、信頼性が高く、包括的で一貫性のあるアプリケーション・プラットフォームです。これは Red Hat と Microsoft によって共同で運用され、設計されており、統合されたサポートエクスペリエンスを提供することで、組織は基盤となるインフラストラクチャの管理ではなく、アプリケーションの構築とデプロイに集中できます。 

これは、Azure Red Hat OpenShift クラスタが他の Azure リソースにアクセスする方法におけるセキュリティ体制を強化する重要なマイルストーンとなります。これにより、サービスプリンシパルの認証情報の管理に伴う複雑さを解消し、より効率的で安全な認証プロセスを採用できます。

マネージド ID を使用する理由

以前のブログ で説明したように、マネージド ID は、クライアントシークレットなどの長期的な認証情報を有効期間の短いトークンに置き換えることで、セキュリティを大幅に強化します。このアプローチでは、トークンの有効期間が短く、権限が狭く定義されているため、侵害に関連するリスクが最小限に抑えられます。さらに、シークレット、キー、および証明書の手動管理とローテーションが不要になるため、運用上のオーバーヘッドが削減されるという利点もあります。 

マネージド ID の使用方法

Azure Red Hat OpenShift クラスタにマネージド ID を使用するには、Azure Red Hat OpenShift コンポーネントごとにユーザー割り当てのマネージド ID を作成し、必要なリソースへの適切なロールの割り当てが必要になります。Azure Red Hat OpenShift では、ユーザーに割り当てられた複数のマネージド ID を使用します。それぞれが特定の Operator またはコンポーネントにマッピングされています。これらの ID は特定のビルトインされたロールに関連付けられ、各ロールの割り当て範囲は最小特権の原則に基づいています。この準備が完了したら、クラスタの作成にこれらの ID を使用できます。

GA リリースでは、Azure Resource Manager (ARM)、Bicep、または現在のコマンドライン・インターフェース (CLI) 拡張機能を使用して、マネージド ID を使用する Azure Red Hat OpenShift クラスタをプロビジョニングできます。この機能はまもなく Azure CLI および Azure ポータルでネイティブに利用できるようになる予定です。詳細なガイドについては、Azure Red Hat OpenShift でのマネージド ID について理解するを参照してください。

アプリケーションでの ID の使用

この文脈は、これを「ワークロード ID」と呼びます。Microsoft Azure のドキュメントのワークロード ID とは では、これは「ソフトウェアエンティティが何らかのシステムで認証するために必要なもの」と定義されています。Azure Red Hat OpenShift クラスタの場合、ユーザー割り当てのマネージド ID を使用して、アプリケーションが他の Azure サービスにアクセスできるようにできます。

たとえば、シークレットや長期認証情報を共有せずに、特定のアプリケーションに単一の Key Vault またはストレージアカウントへの読み取り専用アクセス権を付与できます。 

これを実際にアプリケーションに実装するための一般的なワークフローは次のとおりです。

1. ユーザー割り当てのマネージド ID を作成する
2. 目的の Azure リソースに対するロールの割り当てを実行する
3. Kubernetes サービスアカウントを作成し、適切なアノテーションを設定する
4. フェデレーションされた認証情報を作成する
5. アプリケーションをデプロイし、適切なラベルとサービスアカウントが設定されていることを確認する

詳細については、Azure Red Hat OpenShift マネージド ID クラスタでワークロード ID を使用してアプリケーションをデプロイして構成するを参照してください。

プレビュー期間中に作成されたマネージド ID クラスターはどうなりますか？

既存のマネージド ID クラスタに対して必要なアクションはありません。プレビュー期間中に作成されたクラスタはすべて、自動的に GA ステータスに移行し、本番環境での使用が完全にサポートされるようになります。変更、移行、再デプロイの必要はありません。 

サービスプリンシパルを現在使用しているクラスタは影響を受けず、マネージド ID ベースのクラスタへの移行はサポートされないことに注意してください。

開始方法 

Azure Red Hat OpenShift でのマネージド ID について理解するから始まる製品ドキュメントを確認してください。このドキュメントでは、クラスタを正常にデプロイするために必要な概念、コンポーネント、考慮事項について説明しています。CLI とポータルのエクスペリエンスについては最終的な調整段階にあり、ARM、Bicep、または既存の CLI 拡張機能を使用してクラスタを作成できます。拡張機能を使用して作成されたクラスタは、GA として完全にサポートされます。

まとめ

Azure Red Hat OpenShift のマネージド ID およびワークロード ID 機能が一般提供されるようになり、クラスタを Azure サービスにより簡単かつ安全に接続できるようになりました。サービスプリンシパルのシークレットを管理する代わりに、有効期間の短いトークンを取得できるため、作業が軽減され、セキュリティが向上します。ワークロード ID を使用すると、アプリケーションは Azure リソースへの安全で微調整されたアクセスも得ることができます。ARM、Bicep、または CLI 拡張機能を使用して、新しいクラスタですぐに使い始めることができます。また、既存のマネージド ID プレビュークラスタをお持ちの場合は、自動的に GA サポートの対象となります。Azure Red Hat OpenShift の詳細については、以下のリソースをご覧ください。

• ドキュメント
• Azure Red Hat OpenShift 製品概要
• マネージド ID を使用した Azure Red Hat OpenShift への AI ワークロードのデプロイ