Boundary项目中的Azure动态主机目录配置指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_01186/article/details/148552153

Boundary项目中的Azure动态主机目录配置指南

boundary Boundary enables identity-based access management for dynamic infrastructure. 项目地址: https://gitcode.com/gh_mirrors/bo/boundary

什么是Boundary的Azure动态主机目录

Boundary是一款现代化的安全远程访问解决方案，它通过动态主机目录功能可以自动发现并管理Azure云环境中的资源。这种机制特别适合云环境中频繁变化的资源管理场景。

动态主机目录的核心优势在于自动化发现和注册Azure资源，无需手动添加或删除主机。Boundary通过Azure Resource Manager (ARM) API与Azure云平台集成，能够识别以下资源类型：

标准Azure虚拟机
Azure虚拟机规模集（支持灵活和统一编排模式）

配置前的准备工作

在开始配置之前，您需要准备以下Azure凭证信息：

Azure Active Directory应用的租户/目录ID
具有读取权限的订阅ID
服务主体的客户端/应用ID
Azure生成的客户端密钥值

这些凭证将用于Boundary与Azure API的安全通信。

创建Azure动态主机目录

通过管理界面创建

登录Boundary管理控制台
选择目标组织和项目
导航至"主机目录"部分
点击"新建主机目录"
填写以下关键信息：
- 类型选择"动态"
- 提供商选择"Azure"
- 输入Azure认证所需的四个关键凭证
- 注意：当前版本中，Azure主机目录不支持凭证轮换功能

通过命令行创建

使用Boundary CLI工具可以更高效地创建主机目录，特别适合自动化部署场景：

boundary host-catalogs create plugin \
  -scope-id $PROJECT_ID \
  -plugin-name azure \
  -attr disable_credential_rotation=true \
  -attr tenant_id=env://ARM_TENANT_ID \
  -attr subscription_id=env://ARM_SUBSCRIPTION_ID \
  -attr client_id=env://ARM_CLIENT_ID \
  -secret secret_value=env://ARM_CLIENT_SECRET

通过Terraform创建

对于基础设施即代码(IaC)实践，可以使用Terraform配置：

resource "boundary_host_catalog_plugin" "azure_host_catalog" {
  name        = "Azure Catalog"
  description = "Azure Host Catalog"
  scope_id    = boundary_scope.project.id
  plugin_name = "azure"

  attributes_json = jsonencode({
    "tenant_id"       = "ARM_TENANT_ID",
    "subscription_id" = "ARM_SUBSCRIPTION_ID"
    "client_id"       = "ARM_CLIENT_ID"
    "disable_credential_rotation" = true })
  secrets_json = jsonencode({
    "secret_value" = "ARM_CLIENT_SECRET"})
}

创建主机集(Host Set)

主机集用于定义哪些Azure资源应该被包含在Boundary的管理范围内，通过ARM过滤器实现精确控制。

通过管理界面创建

导航至已创建的动态主机目录
选择"主机集"标签页
点击"新建"
为集合命名并提供描述信息

通过命令行创建

boundary host-sets create plugin \
  -name database \
  -host-catalog-id $HOST_CATALOG_ID \
  -attr filter="tagName eq 'service-type' and tagValue eq 'database'"

通过Terraform创建

resource "boundary_host_set_plugin" "azure_host_set" {
  name        = "Azure Set"
  description = "Azure Host Set"
  host_catalog_id  = boundary_scope.azure_host_catalog.id
  attributes_json = jsonencode({
    "filter" = "tagName eq 'service-type' and tagValue eq 'database'" })
}