Servicio de identidad de GKE te permite integrar proveedores de identidad existentes para autenticar usuarios en clústeres de Google Distributed Cloud. Los usuarios pueden conectarse al servidor de la API de Kubernetes desde la línea de comandos con OpenID Connect (OIDC) o el Protocolo ligero de acceso a directorios (LDAP), o a través de la consola de Google Cloud con OIDC.
El servicio admite clústeres de administrador, de usuario, híbridos y autónomos, y se conecta a sistemas locales, como Servicios de federación de Active Directory (ADFS) y proveedores públicos, como Okta. Si tu organización usa Cuentas de Google, utiliza la puerta de enlace de Connect para administrar el acceso al clúster.
Descripción general de la arquitectura
El servicio de identidad de GKE se ejecuta como un Pod dentro del plano de control del clúster. Durante las fases del ciclo de vida del clúster, el servidor de la API se configura de forma dinámica
para usar el servicio de identidad de GKE en el clúster como el webhook de autenticación para
todas las solicitudes entrantes. El servidor de la API no puede usar el DNS
en el clúster. Como resultado, el servidor de la API
se configura para acceder al Servicio de identidad de GKE como un acceso a recursos
de REST. En los registros de auditoría, esta invocación se registra como una solicitud CREATE al
recurso de Services o proxy por parte de un usuario system:anonymous.
Antes de comenzar
Para solicitar el consentimiento de los usuarios y autorizar su cuenta de usuario, se usa un flujo de autenticación basado en el navegador. Los sistemas sin interfaz gráfica no son compatibles.
Para realizar la autenticación a través de la consola de Google Cloud , cada clúster que desees configurar debe estar registrado en tu flota de proyectos.
Proceso y opciones de configuración
GKE Identity Service admite proveedores de identidad mediante los siguientes protocolos:
OpenID Connect (OIDC). Proporcionamos instrucciones específicas para la configuración de algunos proveedores de OpenID populares, incluido Microsoft, pero puedes usar cualquier proveedor que implemente OIDC.
Protocolo ligero de acceso a directorios (LDAP). Puedes usar Servicio de identidad de GKE para autenticar con LDAP con Active Directory o un servidor LDAP.
OIDC
Registra Servicio de identidad de GKE como cliente con tu proveedor de OIDC siguiendo las instrucciones que se indican en Configura proveedores para Servicio de identidad de GKE.
Elige entre las siguientes opciones de configuración del clúster:
Configura tus clústeres a nivel de la flota según las instrucciones de Configura clústeres para el Servicio de identidad de GKE a nivel de flota (recomendado). Con esta opción, Google Cloudadministra la configuración de autenticación de forma centralizada.
Configurar los clústeres de forma individual con las instrucciones en Configura clústeres para Servicio de identidad de GKE con OIDC.
Configura el acceso de usuarios a tus clústeres, incluido el control de acceso basado en roles (RBAC), con las instrucciones de Configura el acceso de usuarios para Servicio de identidad de GKE.
LDAP
Para comenzar a usar LDAP, sigue las instrucciones que se indican en Configura el Servicio de identidad de GKE con LDAP.
Clústeres de acceso
Después de configurar el Servicio de identidad de GKE, los usuarios pueden acceder a los clústeres configurados con la línea de comandos o la consola de Google Cloud .
(Recomendado) Obtén información para acceder a clústeres registrados con tu ID de OIDC o LDAP en Accede a clústeres con Servicio de identidad de GKE.
Obtén información para acceder a los clústeres desde la consola de Google Cloud en Trabaja con clústeres desde la consola deGoogle Cloud (solo OIDC).
Soluciona problemas del flujo de acceso
Para solucionar problemas de los flujos de acceso que se autentican directamente en el servidor de Servicio de identidad de GKE con un nombre de dominio completamente calificado (FQDN), puedes usar la utilidad de diagnóstico de Servicio de identidad de GKE. La utilidad de diagnóstico simula flujos de acceso con tu proveedor de OIDC para identificar rápidamente problemas de configuración. Esta herramienta requiere un clúster de la versión 1.32 o posterior y solo admite OIDC. Para obtener más información, consulta Utilidad de diagnóstico del Servicio de identidad de GKE.