手動でサービスプリンシパルを作成する方法

この記事をベースにデプロイしています。（ほぼそのまま記載部分あり）

ローカル環境

macOS Big Sur 11.3
python 3.8.3

前提条件

Azure環境がすでに用意されていること（テナント/サブスクリプション）。
ローカル環境に「azure cli」がインストールされていること。

事前準備

ローカルの環境変数に以下を定義しておきます。
- ACR_NAME=acr0ituru
- ACR_RES_GROUP=rg_ituru_acr
- SP_NAME=sp_ituru_acr
- AKS_CLUSTER_NAME=ituruAKSCluster
- AKS_RES_GROUP=rg_ituru_aks_cp

Azure にログイン

azure cli バージョンの確認

$ az version                    

{
  "azure-cli": "2.26.1",
  "azure-cli-core": "2.26.1",
  "azure-cli-telemetry": "1.0.6",
  "extensions": {
    "azure-iot": "0.10.13"
  }
}

使用するテナントのAzure環境へのログイン

$ az login --tenant <tenant_id>

使用サブスクリプションを定義します。

$ az account set --subscription '<サブスクリプション名>'

Azure Container Registry

ACR リソースグループの作成

$ az group create --resource-group $ACR_RES_GROUP --location japaneast

ACRのレジストリ作成

ACRのレジストリを作成します。

$ az acr create --resource-group $ACR_RES_GROUP --name $ACR_NAME --sku Standard --location japaneast

数分後、コマンドが完了し、クラスターに関する情報が JSON 形式で返されます。loginServerが、"acr0ituru.azurecr.io"（指定したACR名）になっていることを確認します。

AKS と ACR の連携のためのサービスプリンシバルの定義

ACR のリソースIDの取得

$ ACR_ID=$(az acr show --name $ACR_NAME --query id --output tsv)

サービスプリンシパルのクライアントIDとシークレットの取得

SP_PASSWD=$(az ad sp create-for-rbac --name $SP_NAME --role Reader --scopes $ACR_ID --query password --output tsv)
APP_ID=$(az ad sp list --display-name $SP_NAME --query '[].{ID:appId}' --output tsv)

Azure Kubernetes Service

AKS リソースグループの作成

$ az group create --name $AKS_RES_GROUP --location japaneast

クラスターの監視を有効にする

Microsoft.OperationsManagement と Microsoft.OperationalInsights がサブスクリプションで登録されていることを確認します。

$ az provider show -n Microsoft.OperationsManagement -o table
$ az provider show -n Microsoft.OperationalInsights -o table

登録されていない場合は、次を使用して、Microsoft.OperationsManagement と Microsoft.OperationalInsights を登録します。

$ az provider register --namespace Microsoft.OperationsManagement
$ az provider register --namespace Microsoft.OperationalInsights

AKS クラスターの作成

クラスターを 3 つのノードで作成します。ACRとAKS連携のためのパラーメータも定義します。

$ az aks create \
  --name $AKS_CLUSTER_NAME \
  --resource-group $AKS_RES_GROUP \
  --node-count 3 \
  --enable-addons monitoring \
  --node-vm-size Standard_DS2_v2 \
  --generate-ssh-keys \
  --service-principal $APP_ID \
  --client-secret $SP_PASSWD

数分後、コマンドが完了し、クラスターに関する情報が JSON 形式で返されます。

Kubernetesクラスタ接続のための認証情報の取得

$ az aks get-credentials --admin --resource-group $AKS_RES_GROUP --name $AKS_CLUSTER_NAME

.kube/configファイルに接続情報を書き込むことで、ローカルからクラスタ操作できるようになります。

kubectlコマンドを使ったクラスターの操作

ローカルから、kubectlコマンド実行してみる

kubectl をローカルにインストールします

$ az aks install-cli

接続先クラスターの確認

$ kubectl config view

クラスターの情報確認

$ kubectl cluster-info

クラスター上で動く Node の確認

$ kubectl get node

-o=wideをつけると、Nodeの追加情報表示（IPやOSバージョン等）

$ kubectl get node -o=wide

３台のNodeのうち、1台の詳細確認

$ kubectl describe node $(kubectl get node -o=jsonpath='{.items[0].metadata.name}')

ヘルプ

$ kubectl help

ACR および AKS の操作

イメージを ACR にインポートする

$ az acr import  -n $ACR_NAME --source docker.io/library/nginx:latest --image nginx:v1

ACR から AKS にサンプルイメージをデプロイする

デプロイするマニフェスト

acr-nginx.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx0-deployment
  labels:
    app: nginx0-deployment
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx0
  template:
    metadata:
      labels:
        app: nginx0
    spec:
      containers:
      - name: nginx
        image: acr0ituru.azurecr.io/nginx:v1
        ports:
        - containerPort: 80

デプロイの実施

$ kubectl apply -f acr-nginx.yaml

Podの確認

$ kubectl get pods

番外編：課金回避のためのリソースグループの削除

リソースグループ、コンテナーサービス、およびすべての関連リソースを削除します。

az group delete --name $AKS_RES_GROUP --yes --no-wait
az group delete --name $ACR_RES_GROUP --yes --no-wait

参考情報

以下の情報を参考にさせていただきました。感謝申し上げます。
az ad sp create-for-rbac は何をやっているのか
 Azure AD のサービスプリンシパルを 3 つのユースケースから眺めてみた