AKS Private Cluster의 Identity 관리 구조 이해

1. ControlPlane vs Kubelet Identity 분리 이해

1) Control Plane Identity

• 역할: AKS 클러스터 자체를 관리하는 주체
• 관리 대상:
  • Azure 리소스 생성/관리 (Load Balancer, Public IP, Disk 등)
  • Virtual Network 연동
  • Azure DNS Zone 관리 (Private Cluster의 경우)
  • Managed Identity 할당/관리

2) Kubelet Identity

• 역할: 각 노드의 kubelet 에이전트가 사용하는 Identity
• 관리 대상:
  • ACR에서 이미지 Pull
  • Azure Disk/File 마운트
  • Key Vault 접근 (CSI Driver 사용 시)
  • 노드 레벨의 Azure 리소스 접근

 

2. SystemAssigned 사용 시 동작 방식

aks_identity_type = "SystemAssigned" # HCL 코드

이 경우:

• Control Plane: SystemAssigned Managed Identity 생성 (AKS 리소스에 자동 연결)
• Kubelet: MC_ 리소스 그룹에 별도의 Managed Identity 자동 생성 (<cluster-name>-agentpool)

 

3. UserAssigned로 통합 관리하는 방법

필요한 권한 정리

1) Control Plane에 필요한 권한:

1. Network Contributor (VNet/Subnet에 대해)
   • 목적: LB, Public IP 등 네트워크 리소스 관리
2. Managed Identity Operator (Kubelet Identity에 대해)
   • 목적: Kubelet Identity를 노드에 할당
3. Private DNS Zone Contributor (Private DNS Zone에 대해)
   • 목적: Private Cluster API 엔드포인트 DNS 관리

2) Kubelet에 필요한 권한:

1. AcrPull (ACR에 대해)
   • 목적: 컨테이너 이미지 Pull
2. Managed Identity Operator (자기 자신에 대해 - optional)
   • 목적: Pod Identity 사용 시
3. Storage Blob Data Contributor (Storage Account에 대해 - 필요 시)
   • 목적: Blob Driver 사용 시