このドキュメントでは、タイムラインとマイルストーン、必要な移行手順など、Identity Service for GKE の非推奨とシャットダウンについて説明します。2025 年 7 月 1 日以降に作成された組織では、Identity Service for GKE は使用できません。バージョン 1.37 以降では、GKE クラスタはどの組織でもこの機能をサポートしていません。
この非推奨は、Google Cloudで実行される GKE クラスタにのみ適用されます。Connect Gateway と Google Distributed Cloud（ソフトウェアのみ）プロダクトで使用できる GKE Identity Service 機能は非推奨ではありません。
タイムラインとマイルストーン
次のタイムラインは、Identity Service for GKE の非推奨とシャットダウンのスケジュールを示しています。
2025 年 7 月 1 日: この日以降に作成された Google Cloud 組織では、Identity Service for GKE がサポートされなくなります。
2026 年 7 月 1 日: バージョン 1.36 以前の Identity Service for GKE は非推奨になります。これらのバージョンでは、マイナー バージョンのサポート終了日まで Identity Service for GKE を引き続き使用できます。
Identity Service for GKE は、バージョン 1.37 以降ではサポートされていません。Identity Service for GKE を使用するクラスタをバージョン 1.37 以降にアップグレードすることはできません。
バージョン 1.37 以降へのアップグレードがブロックされる
Identity Service for GKE を使用するクラスタがある場合、GKE はバージョン 1.37 以降へのクラスタの自動アップグレードと手動アップグレードをブロックします。
自動アップグレードは、マイナー バージョンの標準サポートが終了するまで一時停止されたままになります。クラスタが Extended チャンネルに登録されている場合、自動アップグレードは延長サポートの終了まで一時停止されます。マイナー バージョンのサポート終了日が近づくと、GKE はクラスタを次のマイナー バージョンに自動的にアップグレードします。そのクラスタで Identity Service for GKE が引き続き有効になっている場合、認証ワークフローは失敗します。
クラスタをバージョン 1.37 以降にアップグレードするには、GKE 用 Identity Service を無効にする必要があります。外部 ID プロバイダ（IdP）から認証するには、Workforce Identity 連携を使用します。詳細については、Identity Service for GKE から移行するをご覧ください。
Identity Service for GKE から移行する
サードパーティの IdP からの認証に Identity Service for GKE を使用している場合は、Workforce Identity 連携に移行します。Workforce Identity 連携は複数のプロトコルをサポートし、クラスタにコンポーネントをインストールせず、IAM と統合されています。
次の表に、Workforce Identity 連携と Identity Service for GKE のプリンシパル構文の違いを示します。
| Identity Service for GKE の構文 | Workforce Identity 連携の構文 |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
Workforce Identity 連携を使用するようにクラスタを移行する手順は次のとおりです。
組織と外部 IdP の Workforce Identity 連携を設定します。手順については、Workforce Identity 連携を構成するをご覧ください。
クラスタ内の RoleBinding と ClusterRoleBinding のマニフェストを更新して、Workforce Identity 連携の ID 構文を使用します。以下のいずれかの方法を選択します。
プログラムによる更新:
gke-identity-service-migratorツールをインストールして実行します。手順については、GoogleCloudPlatform/gke-utilitiesリポジトリの README をご覧ください。このツールは、Identity Service for GKE 構文を使用する既存のロールベース アクセス制御バインディングを検索し、対応する Workforce Identity 連携プリンシパル ID を使用する新しいマニフェストを作成します。
手動更新: 認証済みユーザーまたはグループを参照するバインディングごとに、Workforce Identity 連携識別子構文を使用するオブジェクトのマニフェスト ファイルのコピーを個別に作成します。
RoleBinding と ClusterRoleBinding の更新されたマニフェストをクラスタに適用します。
Workforce Identity 連携を使用して認証するときに、ユーザーが同じリソースにアクセスできることをテストします。
クラスタから廃止されたロールベース アクセス制御バインディングを削除します。
Identity Service for GKE を無効にします。
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service