En este documento, se describen la baja y el cierre de Identity Service for GKE, incluidos los plazos y los hitos, y los pasos de migración que debes seguir. Identity Service para GKE no está disponible en las organizaciones que se crearon a partir del 1 de julio de 2025. En la versión 1.37 y posteriores, los clústeres de GKE no admiten esta función en ninguna organización.
Esta baja solo se aplica a los clústeres de GKE que se ejecutan enGoogle Cloud. La función Servicio de identidad de GKE que está disponible en la puerta de enlace de conexión y para los productos de Google Distributed Cloud (solo software) no está obsoleta.
Cronograma y eventos importantes
En la siguiente cronología, se describe el programa de baja y cierre de Identity Service para GKE:
1 de julio de 2025: Identity Service para GKE no es compatible con las organizaciones Google Cloud que se crean a partir de esta fecha.
1 de julio de 2026: Identity Service para GKE dejó de estar disponible en la versión 1.36 y anteriores. Estas versiones aún pueden usar Identity Service para GKE hasta la fecha de finalización de la compatibilidad de la versión secundaria.
Identity Service for GKE no es compatible con la versión 1.37 ni con versiones posteriores. No puedes actualizar los clústeres que usan Identity Service para GKE a la versión 1.37 o posterior.
Se bloquearon las actualizaciones a la versión 1.37 y posteriores
Si tienes clústeres que usan Identity Service para GKE, GKE bloqueará las actualizaciones automáticas y manuales del clúster a la versión 1.37 o posterior.
Las actualizaciones automáticas permanecerán pausadas hasta el final de la asistencia estándar para la versión secundaria. Si tu clúster está inscrito en el canal extendido, las actualizaciones automáticas se pausarán hasta el final de la asistencia extendida. Cuando la versión secundaria alcanza la fecha de finalización de la asistencia, GKE actualiza automáticamente el clúster a la siguiente versión secundaria. Si Identity Service for GKE sigue habilitado en ese clúster, los flujos de trabajo de autenticación fallarán.
Para actualizar tu clúster a la versión 1.37 o posterior, debes inhabilitar Identity Service para GKE. Para autenticarte desde proveedores de identidad externos (IdP), usa la federación de identidades de personal. Si deseas obtener más información, consulta Migra desde Identity Service for GKE.
Migra desde Identity Service para GKE
Si dependes de Identity Service for GKE para autenticarte desde IdPs externos, migra a la federación de identidades para personal. La federación de Workforce Identity admite varios protocolos, no instala componentes en el clúster y se integra con IAM.
En la siguiente tabla, se describe la diferencia en la sintaxis de la entidad principal entre Workforce Identity Federation y Identity Service for GKE:
| Sintaxis de Identity Service para GKE | Sintaxis de la federación de identidades de personal |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
Para migrar un clúster para que use la federación de identidades de personal, sigue estos pasos:
Configura la federación de identidades de personal para tu organización y el IdP externo. Si deseas obtener instrucciones, consulta Configura la federación de identidades de personal.
Actualiza los manifiestos de todos los RoleBindings y ClusterRoleBindings en tus clústeres para usar la sintaxis del identificador de la federación de identidades de personal. Usa una de las siguientes opciones:
Actualizaciones programáticas: Instala y ejecuta la herramienta
gke-identity-service-migrator. Para obtener instrucciones, consulta el README del repositorio deGoogleCloudPlatform/gke-utilities.Esta herramienta encuentra las vinculaciones de RBAC existentes que usan la sintaxis de Identity Service for GKE y crea manifiestos nuevos que usan los identificadores principales correspondientes de la federación de identidades de personal.
Actualizaciones manuales: Para cada vinculación que haga referencia a un usuario o grupo autenticado, crea una copia independiente del archivo de manifiesto del objeto que use la sintaxis del identificador de la federación de identidades de personal.
Aplica los manifiestos actualizados para RoleBindings y ClusterRoleBindings a tu clúster.
Prueba que los usuarios puedan acceder a los mismos recursos cuando se autentiquen con la federación de Workforce Identity.
Quita las vinculaciones de RBAC obsoletas de tu clúster.
Inhabilita Identity Service para GKE:
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service