Mengelola akses ke cluster standar

Standard

Dokumen ini menjelaskan cara mengelola izin untuk cluster standar di Google Distributed Cloud (GDC) yang terisolasi menggunakan gdcloud CLI. Cluster standar adalah lingkungan Kubernetes yang dapat dikonfigurasi dan memiliki cakupan project dengan layanan default minimal yang menawarkan fleksibilitas dan kontrol yang lebih besar untuk workload kustom.

Untuk mengetahui informasi selengkapnya tentang cluster standar dan jenis cluster lainnya, lihat Konfigurasi cluster Kubernetes.

Dokumen ini ditujukan untuk audiens dalam grup operator aplikasi, seperti operasi developer atau data scientist, yang perlu mengelola dan mengamankan resource dalam project GDC. Untuk mengetahui informasi selengkapnya, lihat Audiens untuk dokumentasi GDC dengan air gap.

Sebelum memulai

Sebelum mengelola akses ke cluster standar, Anda harus memiliki izin yang diperlukan dan menyiapkan lingkungan.

Meminta peran IAM

Hubungi Admin IAM Organisasi Anda untuk meminta peran berikut berdasarkan tugas yang perlu Anda lakukan:

• Admin IAM Project (project-iam-admin): membuat, memperbarui, dan menghapus binding peran untuk cluster standar dalam project.
• Admin Cluster Standar (standard-cluster-admin): membuat, memperbarui, dan menghapus binding peran dalam cluster standar tertentu.

Menyiapkan lingkungan Anda

• Unduh dan instal gdcloud CLI, jika Anda belum melakukannya.

• Instal kubectl CLI.

Memberikan izin untuk akses cluster standar

Pengguna dengan peran Admin IAM Project (project-iam-admin) dapat memberikan peran yang diperlukan kepada pengguna lain untuk mengelola akses dalam cluster standar:

1. Login dengan penyedia identitas yang dikonfigurasi menggunakan gdcloud CLI.

2. Berikan peran Admin Cluster Standar (standard-cluster-admin) kepada pengguna untuk project tersebut. Perintah ini mengikat pengguna ke peran tersebut, sehingga mereka dapat mengelola akses dalam cluster standar.

   Lihat Deskripsi peran yang telah ditetapkan dan Definisi peran untuk project guna mengetahui informasi selengkapnya tentang peran.

   gdcloud projects add-iam-policy-binding PROJECT \
     --role=ROLE \
     --member=user:USER_ACCOUNT
   

   Ganti variabel berikut:

   • PROJECT: nama project tempat cluster standar berada.
   • ROLE: nama peran yang ingin Anda berikan (seperti standard-cluster-admin).
   • USER_ACCOUNT: akun pengguna yang ingin Anda berikan peran, termasuk awalan penyedia identitas yang terkait dengan organisasi Anda (seperti [e-mail]). Awalan spesifik yang digunakan bergantung pada konfigurasi IdP organisasi Anda. Lihat Menghubungkan ke penyedia identitas untuk mengetahui informasi selengkapnya.

   Contoh berikut memberikan peran Admin Cluster Standar kepada [e-mail], dengan asumsi awalan penyedia identitas adalah fop- untuk project foo:

   gdcloud projects add-iam-policy-binding foo \
     --role=standard-cluster-admin \
     --member=user:[e-mail]
   

Mengelola akses dalam cluster standar

Pengguna dengan peran Admin Cluster Standar (standard-cluster-admin) dapat memberikan akses dalam cluster standar:

1. Login dengan penyedia identitas yang dikonfigurasi menggunakan gdcloud CLI.

2. Buat file kubeconfig untuk cluster standar menggunakan flag --standard. Flag ini diperlukan untuk menargetkan cluster standar.

   export KUBECONFIG=KUBECONFIG_FILE
   gdcloud clusters get-credentials STANDARD_CLUSTER_NAME --standard --project=PROJECT
   

   Ganti variabel berikut:

   • KUBECONFIG_FILE: jalur ke file kubeconfig seperti standard-cluster-kubeconfig.yaml.
   • STANDARD_CLUSTER_NAME: nama cluster standar.
   • PROJECT: nama project tempat cluster standar berada.

3. Tentukan izin dalam cluster standar menggunakan kubectl.

   Pengguna dengan izin standard-cluster-admin dapat membuat objek Role dan ClusterRole kustom. Untuk memberikan izin ini, mereka dapat membuat objek Rolebinding dan ClusterRoleBinding yang sesuai untuk mengikat peran ke subjek tertentu, seperti pengguna atau akun layanan.

   Catatan: Pengguna hanya dapat memberikan izin yang sudah mereka miliki. Mereka tidak dapat menggunakan akses ini untuk meningkatkan izin mereka sendiri.

   Contoh berikut menggunakan kubectl untuk membuat Role kustom contoh bernama test-role di namespace test:

   kubectl apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: test-role
     namespace: test
   rules:
   - apiGroups:
     - ""
     resources:
     - configmaps
     verbs:
     - get
   EOF
   

   Contoh berikut membuat RoleBinding untuk Role bernama test-role di namespace test. Contoh ini memberikan izin kepada pengguna [e-mail] dengan awalan penyedia identitas fop-, serta ke ServiceAccount bernama my-service-account di namespace default:

   kubectl apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: test-role-binding
     namespace: test
   subjects:
   - kind: User
     name: [e-mail]
     apiGroup: rbac.authorization.k8s.io
   - kind: ServiceAccount
     name: my-service-account
     namespace: default
   roleRef:
     kind: Role
     name: test-role
     apiGroup: rbac.authorization.k8s.io
   EOF