באמצעות GKE Identity Service אתם יכולים לשלב ספקי זהויות קיימים כדי לאמת משתמשים באשכולות של Google Distributed Cloud. המשתמשים יכולים להתחבר לשרת ה-API של Kubernetes משורת הפקודה באמצעות OpenID Connect (OIDC) או Lightweight Directory Access Protocol (LDAP), או דרך מסוף Google Cloud באמצעות OIDC.
השירות תומך באשכולות של אדמינים, משתמשים, אשכולות היברידיים ואשכולות עצמאיים, ומתחבר למערכות מקומיות כמו Active Directory Federation Services (ADFS) ולספקים ציבוריים כמו Okta. אם בארגון שלכם משתמשים בחשבונות Google, אתם יכולים להשתמש בשער הקישור כדי לנהל את הגישה לאשכול.
סקירה כללית של הארכיטקטורה
GKE Identity Service פועל כ-Pod בתוך מישור הבקרה של האשכול. במהלך שלבי מחזור החיים של האשכול, שרת ה-API מוגדר באופן דינמי להשתמש ב-GKE Identity Service באשכול בתור ה-webhook לאימות של כל הבקשות הנכנסות. שרת ה-API לא יכול להשתמש ב-DNS באשכול. כתוצאה מכך, שרת ה-API מוגדר לגשת ל-GKE Identity Service כגישה למשאב REST. ביומני הביקורת, ההפעלה הזו מתועדת כבקשת CREATE למשאב Services או למשאב proxy על ידי משתמש system:anonymous.
לפני שמתחילים
כדי לבקש מהמשתמשים הסכמה ולאשר את חשבון המשתמש שלהם, משתמשים בתהליך אימות מבוסס-דפדפן. מערכות ללא ממשק משתמש גרפי לא נתמכות.
כדי לבצע אימות דרך מסוף Google Cloud , כל אשכול שרוצים להגדיר צריך להיות רשום ב-fleet של הפרויקט.
תהליך ההגדרה והאפשרויות
GKE Identity Service תומך בספקי זהויות שמשתמשים בפרוטוקולים הבאים:
OpenID Connect (OIDC). אנחנו מספקים הוראות ספציפיות להגדרה של כמה ספקי OpenID פופולריים, כולל Microsoft, אבל אתם יכולים להשתמש בכל ספק שמטמיע את OIDC.
Lightweight Directory Access Protocol (LDAP). אתם יכולים להשתמש ב-GKE Identity Service כדי לבצע אימות באמצעות LDAP עם Active Directory או שרת LDAP.
OIDC
רושמים את GKE Identity Service כלקוח אצל ספק ה-OIDC, לפי ההוראות במאמר הגדרת ספקים ל-GKE Identity Service.
בוחרים אחת מהאפשרויות הבאות להגדרת האשכול:
(מומלץ) מגדירים את האשכולות ברמת ה-fleet לפי ההוראות במאמר הגדרת אשכולות ל-GKE Identity Service ברמת ה-fleet. באפשרות הזאת, הגדרות האימות מנוהלות באופן מרכזי על ידי Google Cloud.
מגדירים את האשכולות בנפרד לפי ההוראות במאמר הגדרת אשכולות ל-GKE Identity Service באמצעות OIDC.
מגדירים את הגישה של המשתמשים לאשכולות, כולל בקרת גישה מבוססת-תפקידים (RBAC), לפי ההוראות במאמר הגדרת גישה של משתמשים ל-GKE Identity Service.
LDAP
כדי להתחיל להשתמש ב-LDAP, פועלים לפי ההוראות במאמר הגדרת GKE Identity Service עם LDAP.
אשכולות גישה
אחרי שמגדירים את GKE Identity Service, המשתמשים יכולים להיכנס לאשכולות שהוגדרו באמצעות שורת הפקודה או מסוף Google Cloud .
(מומלץ) במאמר גישה לאשכולות באמצעות GKE Identity Service מוסבר איך להיכנס לאשכולות רשומים באמצעות מזהה OIDC או LDAP.
במאמר עבודה עם אשכולות ממסוףGoogle Cloud (OIDC בלבד) מוסבר איך נכנסים לאשכולות ממסוף Google Cloud .
פתרון בעיות בתהליך ההתחברות
כדי לפתור בעיות בתהליכי התחברות שמאומתים ישירות בשרת GKE Identity Service באמצעות שם דומיין שמוגדר במלואו (FQDN), אתם יכולים להשתמש בכלי האבחון של GKE Identity Service. כלי האבחון מדמה תהליכי התחברות עם ספק ה-OIDC כדי לזהות במהירות בעיות בהגדרות. הכלי הזה דורש אשכול מגרסה 1.32 ומעלה, ותומך רק ב-OIDC. מידע נוסף זמין במאמר כלי האבחון של GKE Identity Service.