Einstellung von Identity Service for GKE

In diesem Dokument werden die Einstellung und Abschaltung von Identity Service for GKE beschrieben, einschließlich Zeitachse und Meilensteinen sowie aller Migrationsschritte, die Sie ausführen müssen. Identity Service for GKE ist in Organisationen, die am oder nach dem 1. Juli 2025 erstellt wurden, nicht verfügbar. In Version 1.37 und höher wird dieses Feature in keiner Organisation von GKE-Clustern unterstützt.

Diese Einstellung gilt nur für GKE-Cluster, die unter ausgeführt werden Google Cloud. Das Feature GKE Identity Service, das im Connect-Gateway und für Google Distributed Cloud-Produkte (nur Software) verfügbar ist, wird nicht eingestellt.

Zeitachse und Meilensteine

Die folgende Zeitachse beschreibt den Zeitplan für die Einstellung und Abschaltung von Identity Service for GKE:

  1. 1. Juli 2025: Identity Service for GKE wird in Organisationen, die an oder nach diesem Datum erstellt wurden, nicht unterstützt. in Google Cloud

  2. 1. Juli 2026: Identity Service for GKE wird in Version 1.36 und früher eingestellt. Diese Versionen können Identity Service for GKE bis zum Ende des Supports für die Nebenversion verwenden.

    Identity Service for GKE wird in Version 1.37 und höher nicht unterstützt. Sie können Cluster, die Identity Service for GKE verwenden, nicht auf Version 1.37 oder höher aktualisieren.

Blockierte Upgrades auf Version 1.37 und höher

Wenn Sie Cluster haben, die Identity Service for GKE verwenden, blockiert GKE automatische und manuelle Clusterupgrades auf Version 1.37 oder höher.

Automatische Upgrades bleiben bis zum Ende des Standardsupports für die Nebenversion pausiert. Wenn Ihr Cluster für den Extended Channel registriert ist, werden automatische Upgrades bis zum Ende des erweiterten Supports pausiert. Wenn die Nebenversion das Ende des Supports erreicht, führt GKE automatisch ein Upgrade des Clusters auf die nächste Nebenversion durch. Wenn Identity Service for GKE in diesem Cluster noch aktiviert ist, schlagen Authentifizierungs-Workflows fehl.

Wenn Sie Ihren Cluster auf Version 1.37 oder höher aktualisieren möchten, müssen Sie Identity Service for GKE deaktivieren. Verwenden Sie die Mitarbeiteridentitätsföderation, um sich bei externen Identitätsanbietern (IdPs) zu authentifizieren. Weitere Informationen finden Sie unter Von Identity Service for GKE migrieren.

Von Identity Service for GKE migrieren

Wenn Sie Identity Service for GKE verwenden, um sich bei Drittanbieter-IdPs zu authentifizieren, migrieren Sie zur Mitarbeiteridentitätsföderation. Die Mitarbeiteridentitätsföderation unterstützt mehrere Protokolle, installiert keine Komponenten im Cluster und ist in IAM integriert.

In der folgenden Tabelle wird der Unterschied in der Prinzipal-Syntax zwischen der Mitarbeiteridentitätsföderation und Identity Service for GKE beschrieben:

Syntax von Identity Service for GKE Syntax der Mitarbeiteridentitätsföderation
amal@example.com principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
sre-group principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group

So migrieren Sie einen Cluster zur Verwendung der Mitarbeiteridentitätsföderation:

  1. Richten Sie die Mitarbeiteridentitätsföderation für Ihre Organisation und den externen IdP ein. Eine Anleitung finden Sie unter Mitarbeiteridentitätsföderation konfigurieren.

  2. Aktualisieren Sie die Manifeste für alle RoleBindings und ClusterRoleBindings in Ihren Clustern, um die Syntax für die Kennung der Mitarbeiteridentitätsföderation zu verwenden. Verwenden Sie eine der folgenden Optionen:

    • Programmatische Updates: Installieren und führen Sie das gke-identity-service-migrator Tool aus. Eine Anleitung finden Sie in der GoogleCloudPlatform/gke-utilities README-Datei des Repositorys.

      Dieses Tool sucht nach vorhandenen RBAC-Bindungen, die die Syntax von Identity Service for GKE verwenden, und erstellt neue Manifeste, die die entsprechenden Prinzipal-IDs der Mitarbeiteridentitätsföderation verwenden.

    • Manuelle Updates: Erstellen Sie für jede Bindung, die auf einen authentifizierten Nutzer oder eine authentifizierte Gruppe verweist, eine separate Kopie der Manifestdatei des Objekts, die die Syntax für die Kennung der Mitarbeiteridentitätsföderation verwendet.

  3. Wenden Sie die aktualisierten Manifeste für RoleBindings und ClusterRoleBindings auf Ihren Cluster an.

  4. Testen Sie, ob Nutzer auf dieselben Ressourcen zugreifen können, wenn sie sich mit der Mitarbeiteridentitätsföderation authentifizieren.

  5. Entfernen Sie die veralteten RBAC-Bindungen aus Ihrem Cluster.

  6. Deaktivieren Sie Identity Service for GKE:

    gcloud container clusters update CLUSTER_NAME \
    --no-enable-identity-service