Anmelden

Auf dieser Seite wird beschrieben, wie Sie auf Ihre Arbeitslasten und Ressourcen in der Google Distributed Cloud (GDC) mit Air Gap zugreifen und sie verwalten. Außerdem wird beschrieben, wie Sie sich authentifizieren, kubeconfig-Dateien für einen Management API-Server und einen Kubernetes-Cluster generieren und die Inaktivität von Sitzungen verwalten. Wenn Sie diese Prozesse verstehen, können Sie sicher und zuverlässig auf Ihre Projekte und Arbeitslasten zugreifen.

Sie können über die GDC Console oder die gdcloud CLI auf Ihre Arbeitslasten zugreifen.

Anmelden

So melden Sie sich in der GDC Console oder in einem Cluster an:

Console

Öffnen Sie die folgende URL in einem neuen Browsertab, um auf die Benutzeroberfläche der GDC-Appliance mit Air Gap zuzugreifen:

https://GDC_URL

Ersetzen Sie GDC_URL durch den Domainnamen, den Sie für den Zugriff auf GDC verwenden und den der Infrastrukturadministrator bereitstellt. Wenn Sie eine URL zum ersten Mal öffnen, werden Sie von GDC zur Anmeldeseite Ihres Identitätsanbieters weitergeleitet, sofern der Infrastrukturadministrator die Seite konfiguriert hat.

Die folgende Seite wird beispielsweise angezeigt, nachdem Sie sich in der Console für eine Organisation mit dem Namen `org-1: Console mit dem Begrüßungsbildschirm für das Projekt „org-1“.

CLI

Sie können sich in jedem Cluster anmelden, für den Sie die Berechtigung zum Zugriff haben. Der CLI-Anmeldeprozess ist für alle Cluster gleich. Sie müssen nur den Clusternamen und die zugehörige kubeconfig-Datei angeben und sich separat in jedem Cluster anmelden.

Bevor Sie sich anmelden, müssen Sie Folgendes tun:

  • Laden Sie die gdcloud CLI-Binärdatei herunter und installieren Sie sie auf Ihrem System. Weitere Informationen finden Sie unter gdcloud CLI herunterladen.
  • Richten Sie die Standardkonfiguration der gdcloud CLI ein und initialisieren Sie sie. Achten Sie darauf, die richtige Organisations-URL festzulegen, die zum Abrufen des Endpunkts für die Anmeldekonfiguration verwendet wird. Weitere Informationen finden Sie unter gdcloud CLI installieren.
  • Installieren Sie die kubectl CLI, wie unter Komponenten installieren beschrieben.
  • Installieren Sie das Authentifizierungs-Plug-in gdcloud-k8s-auth-plugin. Weitere Informationen finden Sie unter gdcloud CLI authentifizieren.

So melden Sie sich in einem Cluster an:

  1. Authentifizieren Sie Ihre gdcloud CLI-Instanz, um sich anzumelden. Es gibt zwei Möglichkeiten zur Authentifizierung:

    • Standardmäßige Browseranmeldung:Verwenden Sie diesen Authentifizierungsablauf, wenn Sie sich über einen Browser anmelden.

      gdcloud auth login

    • Anmeldung über ein sekundäres Gerät:Verwenden Sie diesen Authentifizierungsablauf, wenn auf Ihrem Hauptgerät kein Browser verfügbar ist. Bei diesem Ablauf wird die Anmeldung auf dem Hauptgerät ohne Browserzugriff gestartet und auf dem sekundären Gerät mit Browserzugriff fortgesetzt.

      1. Starten Sie die Anmeldung auf Ihrem Hauptgerät ohne Browser:

        gdcloud auth login --no-browser

        Der Befehl auf dem Hauptgerät gibt einen weiteren gdcloud-Befehl aus, den Sie in Schritt c auf dem sekundären Gerät ausführen müssen.

      2. Wiederholen Sie Schritt 1 unter In einem Cluster anmelden, um das Zertifikat auf das sekundäre Gerät herunterzuladen.

      3. Schließen Sie die Anmeldung auf dem sekundären Gerät ab, indem Sie den Befehl eingeben, der in Schritt a auf dem Hauptgerät ausgegeben wurde.

    Dadurch wird ein Browser geöffnet, in dem Sie sich beim konfigurierten Identitätsanbieter anmelden können. Geben Sie den Nutzernamen und das Passwort ein, die Sie bei der ersten Einrichtung der gdcloud CLI festgelegt haben, um sich anzumelden.

  2. Exportieren Sie die kubeconfig-Datei Ihrer Nutzeridentität als Variable:

    export KUBECONFIG=/tmp/admin-kubeconfig-with-user-identity.yaml

  3. Generieren Sie eine kubeconfig-Datei mit Ihrer Nutzeridentität:

    gdcloud clusters get-credentials CLUSTER_NAME

    Eine kubeconfig-Datei wird mit Ihrer Nutzeridentität generiert. Die folgende YAML-Datei zeigt ein Beispiel:

    apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: <REDACTED>
    server: https://10.200.0.32:443
  name: cluster-name
contexts:
- context:
    cluster: cluster-name
    user: cluster-name-anthos-default-user
  name: cluster-name-cluster-name-anthos-default-user
current-context: cluster-name-cluster-name-anthos-default-user
kind: Config
preferences: {}
users:
- name: cluster-name-anthos-default-user
  user:
    exec:
        apiVersion: client.authentication.k8s.io/v1
        args:
        - --audience=root-admin
        command: gdcloud-k8s-auth-plugin
        env: null
        installHint: Run 'gdcloud components install gdcloud-k8s-auth-plugin' to use plugin
        interactiveMode: Never
        provideClusterInfo: false

  4. Wenn Sie prüfen möchten, ob Sie auf den Cluster zugreifen können, melden Sie sich mit der generierten kubeconfig-Datei mit einer Nutzeridentität an:

    kubectl --kubeconfig /tmp/admin-kubeconfig-with-user-identity.yaml version

Abmelden

So melden Sie sich von der GDC Console ab:

Console

Klicken Sie in der Menüleiste auf „Abmelden“.

CLI

So melden Sie sich von der Befehlszeile ab:

gdcloud auth revoke

kubeconfig-Datei manuell generieren

Wenn Sie Ressourcen mit der kubectl CLI verwalten, indem Sie KRM APIs direkt aufrufen, müssen Sie die kubeconfig-Datei für den Cluster generieren, der Ihre Ressource hostet. Das hängt vom Ressourcentyp ab, den Sie verwalten. In der Dokumentation der Ressource finden Sie die kubeconfig-Datei, die Sie benötigen.

Führen Sie die entsprechende Einrichtung basierend auf Ihrem Ressourcentyp aus.

Management API-Serverressourcen

Führen Sie die folgenden Schritte aus, um die kubeconfig-Datei für den Management API-Server zu generieren:

  1. Legen Sie die Umgebungsvariable MANAGEMENT_API_SERVER fest:

    export MANAGEMENT_API_SERVER="root-admin"

  2. Generieren Sie die kubeconfig-Datei des Management API-Servers und validieren Sie die Anmeldedaten:

    export KUBECONFIG=${HOME}/${MANAGEMENT_API_SERVER:?}-kubeconfig.yaml
rm ${KUBECONFIG:?}
gdcloud clusters get-credentials ${MANAGEMENT_API_SERVER:?}
[[ $(kubectl config current-context) == *${MANAGEMENT_API_SERVER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"

    Mit dem Befehl rm ${KUBECONFIG:?} wird die vorhandene kubeconfig-Datei im Home-Verzeichnis entfernt. Wenn Sie eine neue kubeconfig-Datei generieren, wird die vorhandene Datei überschrieben. Wenn Sie die vorhandene Datei nicht überschreiben oder entfernen möchten, sichern Sie sie an einem anderen sicheren Ort.

Kubernetes-Clusterressourcen

Führen Sie die folgenden Schritte aus, um die kubeconfig-Datei für den Bare-Metal-Kubernetes-Cluster zu generieren:

  1. Legen Sie die Umgebungsvariable KUBERNETES_CLUSTER fest:

    export KUBERNETES_CLUSTER="root-infra"

  2. Generieren Sie die kubeconfig-Datei des Kubernetes-Clusters und validieren Sie die Anmeldedaten:

    export KUBECONFIG=${HOME}/${KUBERNETES_CLUSTER:?}-kubeconfig.yaml
rm ${KUBECONFIG:?}
gdcloud clusters get-credentials ${KUBERNETES_CLUSTER:?}
[[ $(kubectl config current-context) == *${KUBERNETES_CLUSTER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"

    Mit dem Befehl rm ${KUBECONFIG:?} wird die vorhandene kubeconfig-Datei im Home-Verzeichnis entfernt. Wenn Sie eine neue kubeconfig-Datei generieren, wird die vorhandene Datei überschrieben. Wenn Sie die vorhandene Datei nicht überschreiben oder entfernen möchten, sichern Sie sie an einem anderen sicheren Ort.

Abmeldung bei Inaktivität der Sitzung

Nach 15 oder mehr Minuten Inaktivität in einer Sitzung werden Sie von der GDC Console und der gdcloud CLI abgemeldet. GDC betrachtet die Inaktivität der Sitzung als einen Zeitraum während einer offenen Sitzung ohne aktive Interaktion von Ihnen, z. B. ohne Cursor- oder Tastaturbewegung. Eine aktive Sitzung dauert bei Nutzeraktivität bis zu 12 Stunden.

Console

Bei Inaktivität der Sitzung werden Sie von der GDC Console abgemeldet. Zwei Minuten bevor Sie von der GDC Console aufgrund von Inaktivität abgemeldet werden, wird ein Dialogfeld angezeigt, in dem Sie vor der Abmeldung gewarnt werden:

Die Console-Benutzeroberfläche zeigt ein Dialogfeld mit einem Timer von 99 Sekunden an, bevor der Nutzer aufgrund von Inaktivität abgemeldet wird.

Nachdem Sie aufgrund von Inaktivität abgemeldet wurden, wird der folgende Bildschirm angezeigt:

Die Console-Benutzeroberfläche zeigt den Anmeldebildschirm mit einem Banner an, das Text zur Abmeldung aus der Sitzung enthält: „Sie wurden vom System abgemeldet, weil Ihre Sitzung zu lange inaktiv war. Melden Sie sich noch einmal an oder wenden Sie sich an Ihren Administrator, um Hilfe zu erhalten.'

Wenn Sie sich wieder in der GDC Console anmelden möchten, wählen Sie Ihren Identitätsanbieter aus und geben Sie Ihre Anmeldedaten ein. Wenn Sie einen Dienst wie das Monitoring-Dashboard verwenden und Sie von der GDC Console aufgrund von Inaktivität abgemeldet werden, melden Sie sich wieder an, um Zugriff zu erhalten.

CLI

Bei Inaktivität der Sitzung werden Sie von der gdcloud CLI abgemeldet. Wenn Sie nach der Abmeldung durch die gdcloud CLI versuchen, einen Befehl auszuführen, wird ein Autorisierungsfehler angezeigt:

Error: error when creating kube client: unable to create k8sclient: Unauthorized

Wenn Sie sich wieder in der gdcloud CLI anmelden möchten, folgen Sie der Anleitung unter Anmelden.

kubectl

Die gdcloud CLI lässt Ihre kubeconfig-Dateien nach Inaktivität der Sitzung ablaufen. Wenn Sie nach Inaktivität versuchen, einen kubectl-Befehl auszuführen, wird ein Autorisierungsfehler angezeigt:

error: You must be logged in to the server (Unauthorized)

Wenn Sie sich wieder anmelden und Ihre kubeconfig-Datei verwenden möchten, folgen Sie der Anleitung unter Anmelden. Bei jedem Sitzungs-Timeout müssen Sie Ihre kubeconfig-Dateien neu generieren.

Anmeldungen und neue Nutzeraktivitäten beobachten

Aktivitäten wie die Anmeldung werden als Audit-Logs exportiert. Weitere Informationen zum Ansehen von Audit-Logs finden Sie unter Audit-Logs.