Azure AKS中工作负载身份组件版本升级的技术解析

Azure AKS中工作负载身份组件版本升级的技术解析

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

在Kubernetes集群中使用Azure工作负载身份(Workload Identity)时，版本兼容性是一个需要重点考虑的技术因素。近期有用户反馈在AKS 1.29.4集群中，工作负载身份组件仍在使用v1.2.2版本，这导致与Istio原生sidecar模式的兼容性问题。

工作负载身份是Azure提供的一种安全机制，允许Kubernetes中的Pod直接使用Azure AD身份进行认证，而无需显式管理服务主体凭据。该功能通过一个webhook控制器实现，负责处理服务账户令牌的投射和转换。

v1.2.2版本存在一个已知问题：当与Istio服务网格结合使用时，如果启用原生sidecar注入模式，会导致工作负载身份认证失败。这个问题源于sidecar注入过程中对服务账户令牌卷挂载的特殊处理方式。具体表现为Pod无法正确获取Azure AD令牌，进而导致依赖Azure资源访问的应用程序出现认证错误。

该兼容性问题已在工作负载身份v1.3.0版本中得到修复。新版本改进了令牌卷的处理逻辑，确保在Istio sidecar注入场景下仍能保持正常工作。对于使用AKS托管服务的用户，微软已将该更新纳入2024年6月27日的AKS版本发布计划，目前正在全球各区域逐步推送。

对于需要立即使用该功能的用户，可以考虑以下技术方案：

1. 监控AKS发布进度，等待自动更新
2. 评估手动部署工作负载身份组件的可行性
3. 临时使用非原生sidecar模式作为过渡方案

版本升级后，用户将能够无缝结合使用工作负载身份和Istio服务网格，同时享受两者的安全优势。这包括简化云资源访问管理，增强服务间通信的安全性，以及保持服务网格的完整可观测性能力。

作为最佳实践，建议用户在升级前充分测试新版本在特定环境中的表现，特别是涉及服务网格等复杂网络组件的场景。同时，应关注工作负载身份组件与Kubernetes控制平面版本的兼容性矩阵，确保整体环境的稳定性。

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS