Questo documento descrive il ritiro e la disattivazione del servizio Identity Service for GKE, inclusi la sequenza temporale, le tappe fondamentali e gli eventuali passaggi di migrazione che devi eseguire. Identity Service for GKE non è disponibile nelle organizzazioni create a partire dal 1° luglio 2025. Nelle versioni 1.37 e successive, i cluster GKE non supportano questa funzionalità in nessuna organizzazione.
Questo ritiro si applica solo ai cluster GKE in esecuzione su Google Cloud. La funzionalità GKE Identity Service disponibile nel gateway di connessione e per i prodotti Google Distributed Cloud (solo software) non è ritirata.
Timeline e traguardi
La seguente cronologia descrive la pianificazione del ritiro e della disattivazione di Identity Service per GKE:
1° luglio 2025: il servizio di identità per GKE non è supportato nelle Google Cloud organizzazioni create a partire da questa data.
1° luglio 2026: Identity Service per GKE è ritirato nella versione 1.36 e precedenti. Queste versioni possono ancora utilizzare Identity Service for GKE fino alla data di fine del supporto per la versione secondaria.
Identity Service per GKE non è supportato nella versione 1.37 e successive. Non puoi eseguire l'upgrade dei cluster che utilizzano Identity Service for GKE alla versione 1.37 o successive.
Upgrade bloccati alla versione 1.37 e successive
Se hai cluster che utilizzano Identity Service per GKE, GKE blocca gli upgrade automatici e manuali dei cluster alla versione 1.37 o successive.
Gli upgrade automatici rimangono in pausa fino alla fine del supporto standard per la versione secondaria. Se il tuo cluster è registrato nel canale esteso, gli upgrade automatici vengono sospesi fino alla fine del supporto esteso. Quando la versione secondaria raggiunge la data di fine del supporto, GKE esegue automaticamente l'upgrade del cluster alla versione secondaria successiva. Se Identity Service for GKE è ancora abilitato in quel cluster, i flussi di lavoro di autenticazione non andranno a buon fine.
Per eseguire l'upgrade del cluster alla versione 1.37 o successive, devi disabilitare Identity Service per GKE. Per l'autenticazione da provider di identità (IdP) esterni, utilizza la federazione delle identità per la forza lavoro. Per maggiori informazioni, consulta la pagina Eseguire la migrazione dal servizio di identità per GKE.
Esegui la migrazione da Identity Service per GKE
Se utilizzi Identity Service for GKE per l'autenticazione da provider di identità di terze parti, esegui la migrazione alla federazione delle identità per la forza lavoro. Federazione delle identità per la forza lavoro supporta più protocolli, non installa componenti nel cluster ed è integrata con IAM.
La seguente tabella descrive la differenza nella sintassi principale tra Workforce Identity Federation e Identity Service for GKE:
| Sintassi di Identity Service per GKE | Sintassi della federazione delle identità per la forza lavoro |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
Per eseguire la migrazione di un cluster in modo che utilizzi la federazione delle identità per la forza lavoro:
Configura la federazione delle identità per la forza lavoro per la tua organizzazione e l'IdP esterno. Per istruzioni, consulta Configurare la federazione delle identità per la forza lavoro.
Aggiorna i manifest per tutti i RoleBinding e ClusterRoleBinding nei tuoi cluster in modo che utilizzino la sintassi dell'identificatore della federazione delle identità per la forza lavoro. Utilizza una delle seguenti opzioni:
Aggiornamenti programmatici: installa ed esegui lo strumento
gke-identity-service-migrator. Per istruzioni, consulta il file README del repositoryGoogleCloudPlatform/gke-utilities.Questo strumento trova i binding RBAC esistenti che utilizzano la sintassi di Identity Service per GKE e crea nuovi manifest che utilizzano gli identificatori dei principal della federazione delle identità per la forza lavoro corrispondenti.
Aggiornamenti manuali: per ogni binding che fa riferimento a un utente o un gruppo autenticato, crea una copia separata del file manifest dell'oggetto che utilizza la sintassi dell'identificatore della federazione delle identità per la forza lavoro.
Applica i manifest aggiornati per RoleBindings e ClusterRoleBindings al tuo cluster.
Verifica che gli utenti possano accedere alle stesse risorse quando eseguono l'autenticazione utilizzando la federazione delle identità per la forza lavoro.
Rimuovi i binding RBAC obsoleti dal cluster.
Disabilita il servizio di identità per GKE:
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service