In diesem Dokument werden die Einstellung und Abschaltung von Identity Service für GKE beschrieben, einschließlich des Zeitplans und der Meilensteine sowie aller Migrationsschritte, die Sie ausführen müssen. Identity Service for GKE ist nicht in Organisationen verfügbar, die am oder nach dem 1. Juli 2025 erstellt wurden. In Version 1.37 und höher wird diese Funktion in GKE-Clustern in keiner Organisation unterstützt.
Diese Einstellung gilt nur für GKE-Cluster, die aufGoogle Cloudausgeführt werden. Die Funktion GKE Identity Service, die im Connect-Gateway und für Google Distributed Cloud-Produkte (nur Software) verfügbar ist, ist nicht eingestellt.
Zeitachse und Meilensteine
Die folgende Zeitachse beschreibt den Zeitplan für die Einstellung von Identity Service for GKE:
1. Juli 2025: Identity Service for GKE wird in Google Cloud -Organisationen, die an oder nach diesem Datum erstellt werden, nicht unterstützt.
1. Juli 2026: Identity Service for GKE wird in Version 1.36 und niedriger eingestellt. Diese Versionen können Identity Service for GKE bis zum Enddatum des Supports für die Nebenversion weiterhin verwenden.
Identity Service for GKE wird in Version 1.37 und höher nicht unterstützt. Sie können keine Cluster, die Identity Service for GKE verwenden, auf Version 1.37 oder höher aktualisieren.
Blockierte Upgrades auf Version 1.37 und höher
Wenn Sie Cluster haben, die Identity Service für GKE verwenden, blockiert GKE automatische und manuelle Clusterupgrades auf Version 1.37 oder höher.
Automatische Upgrades bleiben bis zum Ende des Standardsupports für die Nebenversion pausiert. Wenn Ihr Cluster für den Extended Channel registriert ist, werden automatische Upgrades bis zum Ende des erweiterten Supports pausiert. Wenn die Nebenversion das Ende des Supports erreicht, führt GKE automatisch ein Upgrade des Clusters auf die nächste Nebenversion durch. Wenn Identity Service for GKE in diesem Cluster weiterhin aktiviert ist, schlagen Authentifizierungsabläufe fehl.
Wenn Sie Ihren Cluster auf Version 1.37 oder höher aktualisieren möchten, müssen Sie Identity Service for GKE deaktivieren. Verwenden Sie die Mitarbeiteridentitätsföderation, um sich bei externen Identitätsanbietern (Identity Providers, IdPs) zu authentifizieren. Weitere Informationen finden Sie unter Von Identity Service für GKE migrieren.
Von Identity Service for GKE migrieren
Wenn Sie Identity Service for GKE für die Authentifizierung über Drittanbieter-IdPs verwenden, migrieren Sie zur Mitarbeiteridentitätsföderation. Die Mitarbeiteridentitätsföderation unterstützt mehrere Protokolle, installiert keine Komponenten im Cluster und ist in IAM integriert.
In der folgenden Tabelle wird der Unterschied in der Prinzipal-Syntax zwischen der Workforce Identity-Föderation und Identity Service for GKE beschrieben:
| Identity Service for GKE-Syntax | Syntax für die Mitarbeiteridentitätsföderation |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
So migrieren Sie einen Cluster zur Verwendung der Workforce Identity-Föderation:
Richten Sie die Mitarbeiteridentitätsföderation für Ihre Organisation und Ihren externen IdP ein. Eine Anleitung finden Sie unter Mitarbeiteridentitätsföderation konfigurieren.
Aktualisieren Sie die Manifeste für alle RoleBindings und ClusterRoleBindings in Ihren Clustern, damit die Syntax für Workforce Identity-Föderations-IDs verwendet wird. Verwenden Sie eine der folgenden Optionen:
Programmatische Updates: Installieren und Ausführen des
gke-identity-service-migrator-Tools. Eine Anleitung finden Sie in der README-Datei desGoogleCloudPlatform/gke-utilities-Repositorys.Mit diesem Tool werden vorhandene RBAC-Bindungen mit der Syntax von Identity Service for GKE gesucht und neue Manifeste mit den entsprechenden Prinzipal-IDs der Workforce Identity-Föderation erstellt.
Manuelle Aktualisierungen: Erstellen Sie für jede Bindung, die auf einen authentifizierten Nutzer oder eine authentifizierte Gruppe verweist, eine separate Kopie der Manifestdatei des Objekts, in der die Kennungssyntax der Workforce Identity Federation verwendet wird.
Wenden Sie die aktualisierten Manifeste für RoleBindings und ClusterRoleBindings auf Ihren Cluster an.
Testen Sie, ob Nutzer auf dieselben Ressourcen zugreifen können, wenn sie sich mit der Workforce Identity-Föderation authentifizieren.
Entfernen Sie die veralteten RBAC-Bindungen aus Ihrem Cluster.
Identity Service for GKE deaktivieren:
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service