Gerenciar identidade com o serviço de identidade do GKE

O Serviço de Identidade do GKE permite integrar provedores de identidade para autenticar usuários em clusters do Google Distributed Cloud. Os usuários podem se conectar ao servidor de API Kubernetes pela linha de comando usando o OpenID Connect (OIDC) ou o Protocolo leve de acesso a diretórios (LDAP) ou pelo Google Cloud console usando o OIDC.

O serviço é compatível com clusters de usuário administrador, de usuário, híbridos e independentes, conectando-se a sistemas locais, como o Active Directory Federation Services (ADFS), e provedores públicos, como o Okta. Se a organização usa Contas do Google, use o gateway do Connect para gerenciar o acesso ao cluster.

Informações gerais da arquitetura

O Serviço de Identidade do GKE é executado como um pod dentro do plano de controle do cluster. Durante as fases do ciclo de vida do cluster, o servidor de API é configurado dinamicamente para usar o Serviço de Identidade do GKE no cluster como o webhook de autenticação para todas as solicitações recebidas. O servidor de API não pode usar o DNS no cluster. Como resultado, o servidor de API é configurado para acessar o Serviço de Identidade do GKE como um acesso a recursos REST. Nos registros de auditoria, essa invocação é registrada como uma solicitação CREATE para o recurso de serviços ou proxy por um usuário system:anonymous.

Antes de começar

• Para solicitar o consentimento dos usuários e autorizar a conta de usuário, é usado um fluxo de autenticação baseado em navegador. Sistemas headless não são compatíveis.

• Para autenticar por meio do console do Google Cloud , cada cluster que você quer configurar precisa ser registrado com a frota do projeto.

Processo de configuração e opções

O Serviço de Identidade do GKE é compatível com provedores de identidade usando os seguintes protocolos:

• OpenID Connect (OIDC). Fornecemos instruções específicas para a configuração de alguns provedores OpenID conhecidos, incluindo a Microsoft, mas você pode usar qualquer provedor que implemente o OIDC.

• Protocolo leve de acesso a diretórios (LDAP). É possível usar o Serviço de Identidade do GKE para fazer a autenticação usando LDAP com o Active Directory ou um servidor LDAP.

Observação: se você usar o campo ClientConfig para configurar o Serviço de Identidade do GKE diretamente em um cluster, as atualizações do cluster poderão substituir o campo. Em vez disso, use o campo authentication no recurso personalizado do cluster ou configure o Serviço de Identidade do GKE no nível da frota para que a configuração seja mantida durante uma atualização.

OIDC

1. Registre o Serviço de Identidade do GKE como um cliente com o provedor OIDC seguindo as instruções em Como configurar provedores para o Serviço de Identidade do GKE.

2. Escolha uma destas opções de configuração de cluster:

   • (Recomendado) Configure os clusters no nível da frota seguindo as instruções em Como configurar clusters para o Serviço de Identidade do GKE no nível da frota. Com essa opção, sua configuração de autenticação é gerenciada centralmente pelo Google Cloud.

   • Configure os clusters individualmente seguindo as instruções em Como configurar clusters para o Serviço de Identidade do GKE com o OIDC.

3. Para configurar o acesso do usuário aos clusters, incluindo o controle de acesso baseado em papéis (RBAC, na sigla em inglês), siga as instruções em Como configurar o acesso do usuário para o Serviço de Identidade do GKE.

LDAP

Para começar a usar o LDAP, siga as instruções em Configurar o Serviço de Identidade do GKE com LDAP.

Acessar clusters

Após a configuração do Serviço de Identidade do GKE, os usuários podem fazer login nos clusters configurados usando a linha de comando ou o Google Cloud console.

• (Recomendado) Saiba como fazer login em clusters registrados com o ID do OIDC ou LDAP em Como acessar clusters usando o Serviço de Identidade do GKE.

• Saiba como fazer login em clusters no console do Google Cloud em Trabalhar com clusters no console doGoogle Cloud (somente OIDC).

Resolver problemas no fluxo de login

Para resolver problemas de fluxos de login que se autenticam diretamente no servidor do Serviço de Identidade do GKE com um nome de domínio totalmente qualificado (FQDN), use o utilitário de diagnóstico do Serviço de Identidade do GKE. O utilitário de diagnóstico simula fluxos de login com seu provedor OIDC para identificar rapidamente problemas de configuração. Essa ferramenta requer um cluster da versão 1.32 ou mais recente e é compatível apenas com o OIDC. Para mais informações, consulte o utilitário de diagnóstico do Serviço de Identidade do GKE.