GKE Identity Service ti consente di integrare i provider di identità esistenti per autenticare gli utenti nei cluster Google Distributed Cloud. Gli utenti possono connettersi al server API Kubernetes dalla riga di comando utilizzando OpenID Connect (OIDC) o Lightweight Directory Access Protocol (LDAP) oppure tramite la console Google Cloud utilizzando OIDC.
Il servizio supporta cluster di amministrazione, utente, ibridi e autonomi, connettendosi a sistemi on-premise come Active Directory Federation Services (ADFS) e provider pubblici come Okta. Se la tua organizzazione utilizza Account Google, utilizza il gateway di connessione per gestire l'accesso ai cluster.
Panoramica dell'architettura
GKE Identity Service viene eseguito come pod all'interno del control plane del cluster. Durante le fasi del ciclo di vita del cluster, il server API viene configurato dinamicamente per utilizzare GKE Identity Service nel cluster come webhook di autenticazione per tutte le richieste in entrata. Il server API non è in grado di utilizzare il DNS in-cluster. Di conseguenza, il server API è configurato per accedere a GKE Identity Service come accesso alle risorse REST. Negli audit log, questa chiamata viene registrata come richiesta CREATE alla risorsa Services o proxy da parte di un utente system:anonymous.
Prima di iniziare
Per chiedere il consenso agli utenti e autorizzare il loro account utente, viene utilizzato un flusso di autenticazione basato su browser. I sistemi headless non sono supportati.
Per eseguire l'autenticazione tramite la console Google Cloud , ogni cluster che vuoi configurare deve essere registrato nel parco risorse del progetto.
Procedura di configurazione e opzioni
GKE Identity Service supporta i provider di identità che utilizzano i seguenti protocolli:
OpenID Connect (OIDC). Forniamo istruzioni specifiche per la configurazione di alcuni provider OpenID più diffusi, tra cui Microsoft, ma puoi utilizzare qualsiasi provider che implementi OIDC.
Lightweight Directory Access Protocol (LDAP). Puoi utilizzare GKE Identity Service per l'autenticazione tramite LDAP con Active Directory o un server LDAP.
OIDC
Registra GKE Identity Service come client presso il tuo provider OIDC seguendo le istruzioni riportate in Configurazione dei provider per GKE Identity Service.
Scegli una delle seguenti opzioni di configurazione del cluster:
(Consigliato) Configura i cluster a livello di parco risorse seguendo le istruzioni riportate in Configurazione dei cluster per GKE Identity Service a livello di parco risorse. Con questa opzione, la configurazione di autenticazione viene gestita centralmente da Google Cloud.
Configura i cluster singolarmente seguendo le istruzioni riportate in Configura i cluster per GKE Identity Service con OIDC.
Configura l'accesso degli utenti ai tuoi cluster, incluso controllo dell'accesso basato su ruoli (RBAC), seguendo le istruzioni riportate in Configura l'accesso degli utenti per GKE Identity Service.
LDAP
Per iniziare a utilizzare LDAP, segui le istruzioni riportate in Configura GKE Identity Service con LDAP.
Accedi ai cluster
Dopo aver configurato GKE Identity Service, gli utenti possono accedere ai cluster configurati utilizzando la riga di comando o la console Google Cloud .
(Consigliato) Scopri come accedere ai cluster registrati con il tuo ID OIDC o LDAP in Accesso ai cluster utilizzando GKE Identity Service.
Scopri come accedere ai cluster dalla console Google Cloud in Utilizza i cluster dalla consoleGoogle Cloud (solo OIDC).
Risolvi i problemi relativi al flusso di accesso
Per risolvere i problemi relativi ai flussi di accesso che eseguono l'autenticazione direttamente sul server GKE Identity Service con un nome di dominio completo (FQDN), puoi utilizzare l'utilità di diagnostica di GKE Identity Service. L'utilità di diagnostica simula i flussi di accesso con il tuo provider OIDC per identificare rapidamente i problemi di configurazione. Questo strumento richiede un cluster versione 1.32 o successiva e supporta solo OIDC. Per saperne di più, consulta Utilità di diagnostica di GKE Identity Service.