Mit GKE Identity Service können Sie vorhandene Identitätsanbieter einbinden, um Nutzer bei Google Distributed Cloud-Clustern zu authentifizieren. Nutzer können über die Befehlszeile mithilfe von OpenID Connect (OIDC) oder Lightweight Directory Access Protocol (LDAP) oder über die Google Cloud Console mithilfe von OIDC eine Verbindung zum Kubernetes API-Server herstellen.
Der Dienst unterstützt Administrator-, Nutzer-, Hybrid- und eigenständige Cluster und stellt eine Verbindung zu lokalen Systemen wie Active Directory Federation Services (ADFS) und öffentlichen Anbietern wie Okta her. Wenn Ihre Organisation Google-Konten verwendet, nutzen Sie das Connect-Gateway, um den Clusterzugriff zu verwalten.
Architektur
Der GKE Identity Service wird als Pod in der Cluster-Steuerungsebene ausgeführt. Während der Lebenszyklusphasen des Clusters wird der API-Server dynamisch so konfiguriert, dass der clusterinterne GKE Identity Service als Authentifizierungs-Webhook für alle eingehenden Anfragen verwendet wird. Der API-Server kann kein clusterinternes DNS verwenden. Daher ist der API-Server so konfiguriert, dass er auf den GKE Identity Service als REST-Ressourcenzugriff zugreift. In Audit-Logs wird dieser Aufruf als CREATE-Anfrage an die Dienste- oder Proxy-Ressource durch einen system:anonymous-Nutzer aufgezeichnet.
Hinweis
Bei einem browserbasierten Authentifizierungsvorgang werden die Nutzer zur Zustimmung aufgefordert, um ihr Nutzerkonto zu autorisieren. Monitorlose Systeme werden nicht unterstützt.
Zur Authentifizierung über die Google Cloud Console muss jeder Cluster, den Sie konfigurieren möchten, bei Ihrer Projektflotte registriert sein.
Einrichtungsprozess und -optionen
GKE Identity Service unterstützt Identitätsanbieter mit den folgenden Protokollen:
OpenID Connect (OIDC). Für einige bekannte OpenID-Anbieter, darunter Microsoft, werden spezifische Informationen zur Einrichtung bereitgestellt. Sie können aber auch einen beliebigen Anbieter verwenden, der OIDC implementiert.
Lightweight Directory Access Protocol (LDAP) Sie können GKE Identity Service verwenden, um sich mit LDAP bei Active Directory oder einem LDAP-Server zu authentifizieren.
OIDC
Registrieren Sie GKE Identity Service als Client bei Ihrem OIDC-Anbieter. Folgen Sie dazu der Anleitung unter Anbieter für GKE Identity Service konfigurieren.
Wählen Sie eine der folgenden Clusterkonfigurationsoptionen aus:
(Empfohlen) Konfigurieren Sie Ihre Cluster auf Flottenebene gemäß der Anleitung unter Cluster für GKE Identity Service auf Flottenebene konfigurieren. Bei dieser Option wird Ihre Authentifizierungskonfiguration zentral von Google Cloudverwaltet.
Konfigurieren Sie Ihre Cluster einzeln. Folgen Sie dazu der Anleitung unter Cluster für GKE Identity Service mit OIDC konfigurieren.
Richten Sie den Nutzerzugriff auf Ihre Cluster einschließlich rollenbasierter Zugriffssteuerung ein. Folgen Sie dazu der Anleitung unter Nutzerzugriff für GKE Identity Service einrichten.
LDAP
Folgen Sie der Anleitung unter GKE Identity Service mit LDAP einrichten, um mit LDAP zu beginnen.
Auf Cluster zugreifen
Nachdem GKE Identity Service eingerichtet wurde, können sich Nutzer entweder über die Befehlszeile oder die Google Cloud Console bei konfigurierten Clustern anmelden.
(Empfohlen) Wie Sie sich mit Ihrer OIDC- oder LDAP-ID bei registrierten Clustern anmelden, erfahren Sie unter Mit GKE Identity Service auf Cluster zugreifen.
Informationen zur Anmeldung bei Clustern über die Google Cloud Console finden Sie unter Über dieGoogle Cloud Console mit Clustern arbeiten (nur OIDC).
Fehlerbehebung beim Anmeldevorgang
Zur Fehlerbehebung bei Anmeldeabläufen, die sich direkt auf dem GKE Identity Service-Server mit einem voll qualifizierten Domainnamen (FQDN) authentifizieren, können Sie das GKE Identity Service-Diagnosetool verwenden. Das Diagnosetool simuliert Anmeldeabläufe mit Ihrem OIDC-Anbieter, um Konfigurationsprobleme schnell zu identifizieren. Für dieses Tool ist ein Cluster der Version 1.32 oder höher erforderlich und es wird nur OIDC unterstützt. Weitere Informationen finden Sie unter Diagnosetool für GKE Identity Service.