Abilitazione di IAP per GKE

Questa pagina spiega come proteggere un'istanza Google Kubernetes Engine (GKE) con Identity-Aware Proxy (IAP).

Panoramica

IAP è integrato tramite Ingress per GKE. Questa integrazione ti consente di controllare l'accesso a livello di risorsa per i dipendenti anziché utilizzare una VPN.

In un cluster GKE, il traffico in entrata viene gestito dal bilanciamento del carico HTTP(S), un componente di Cloud Load Balancing. Il bilanciatore del carico HTTP(S) viene in genere configurato dal controller Kubernetes Ingress. Il controller Ingress riceve le informazioni di configurazione da un oggetto Ingress Kubernetes associato a uno o più oggetti Service. Ogni oggetto Service contiene informazioni di routing utilizzate per indirizzare una richiesta in arrivo a un determinato pod e a una determinata porta.

A partire dalla versione 1.10.5-gke.3 di Kubernetes, puoi aggiungere la configurazione per il bilanciatore del carico associando un servizio a un oggetto BackendConfig. BackendConfig è una definizione di risorsa personalizzata (CRD) definita nel repository kubernetes/ingress-gce.

Il controller Kubernetes Ingress legge le informazioni di configurazione da BackendConfig e configura il bilanciatore del carico di conseguenza. Un elemento BackendConfig contiene informazioni di configurazione specifiche per Cloud Load Balancing e ti consente di definire una configurazione separata per ogni servizio di backend del bilanciamento del carico HTTP(S).

Prima di iniziare

Per abilitare IAP per GKE, devi disporre di quanto segue:

  • Un Google Cloud progetto della console con la fatturazione abilitata.
  • Un gruppo di una o più istanze GKE, gestito da un bilanciatore del carico HTTPS. Il bilanciatore del carico deve essere creato automaticamente quando crei un oggetto Ingress in un cluster GKE.
  • Un nome di dominio registrato all'indirizzo del bilanciatore del carico.
  • Il codice dell'app per verificare che tutte le richieste abbiano un'identità.

IAP utilizza un client OAuth gestito da Google per autenticare gli utenti. Solo gli utenti all'interno dell'organizzazione possono accedere all'applicazione con funzionalità IAP. Se vuoi consentire l'accesso a utenti esterni all'organizzazione, consulta Attivare l'IAP per le applicazioni esterne.

Attivazione di IAP

Se non hai configurato la schermata per il consenso OAuth del progetto, ti verrà chiesto di farlo. Per configurare la schermata per il consenso OAuth, consulta Configurazione della schermata per il consenso OAuth.

Se esegui cluster GKE 1.24 o versioni successive, puoi configurare IAP e GKE utilizzando l'API Kubernetes Gateway. Per farlo, completa i seguenti passaggi, quindi segui le istruzioni riportate in Configura IAP. Non configurare BackendConfig.

Configurazione dell'accesso IAP

  1. Vai alla pagina Identity-Aware Proxy.
    Vai alla pagina Identity-Aware Proxy
  2. Seleziona il progetto che vuoi proteggere con IAP.

  3. Seleziona la casella di controllo accanto alla risorsa a cui vuoi concedere l'accesso.

    Se non vedi una risorsa, assicurati che sia stata creata e che il controller Ingress di BackendConfig Compute Engine sia sincronizzato.

    Per verificare che il servizio di backend sia disponibile, esegui questo comando gcloud:

    gcloud compute backend-services list
  4. Nel riquadro laterale a destra, fai clic su Aggiungi entità.
  5. Nella finestra di dialogo Aggiungi entità visualizzata, inserisci gli indirizzi email dei gruppi o delle persone che devono avere il ruolo Utente applicazione web con protezione IAP per il progetto.

    I seguenti tipi di entità possono avere questo ruolo:

    • Account Google: user@gmail.com
    • Gruppo Google: admins@googlegroups.com
    • Service account: server@example.gserviceaccount.com
    • Dominio Google Workspace: example.com

    Assicurati di aggiungere un Account Google a cui hai accesso.

  6. Seleziona Cloud IAP > Utente applicazione web con protezione IAP dall'elenco a discesa Ruoli.
  7. Fai clic su Salva.

Configurazione di BackendConfig

Puoi configurare un BackendConfig per IAP aggiungendo un blocco iap.

Aggiunta di un blocco iap a BackendConfig

Per configurare BackendConfig per IAP, devi specificare il valore enabled. Assicurati di disporre dell'autorizzazione compute.backendServices.update e aggiungi il blocco iap a BackendConfig.

Per le versioni di GKE 1.16.8-gke.3 e successive, utilizza la versione dell'API cloud.google.com/v1. Se utilizzi una versione precedente di GKE, utilizza cloud.google.com/v1beta1. 

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: CONFIG_DEFAULT
  namespace: my-namespace
spec:
  iap:
    enabled: true

Associa una porta di servizio a un BackendConfig

Devi anche associare le porte di servizio a BackendConfig per attivare IAP. Un modo per creare questa associazione è impostare tutte le porte per il servizio in modo predefinito su BackendConfig, cosa che puoi fare aggiungendo la seguente annotazione alla risorsa di servizio: 

metadata:
  annotations:
    beta.cloud.google.com/backend-config: '{"default": "CONFIG_DEFAULT"}'

Verifica BackendConfig

Per testare la configurazione, esegui kubectl get event. Se visualizzi il messaggio "no BackendConfig for service port exists", significa che hai associato una porta di servizio a BackendConfig, ma la risorsa BackendConfig non è stata trovata. Questo errore può verificarsi se non hai creato la risorsa BackendConfig, se l'hai creata nello spazio dei nomi errato o se hai digitato in modo errato il riferimento nell'annotazione di servizio.

Disattivazione di IAP

Per disattivare IAP, devi impostare enabled su false in BackendConfig. Se elimini il blocco IAP da BackendConfig, le impostazioni verranno mantenute. Ad esempio, se IAP è abilitato ed elimini il blocco, IAP rimarrà attivo.

Passaggi successivi