Este documento descreve a descontinuação e o encerramento do serviço de identidade para o GKE, incluindo o cronograma e os marcos, além de etapas de migração que você precisa seguir. O Identity Service para GKE não está disponível em organizações criadas a partir de 1º de julho de 2025. Na versão 1.37 e mais recentes, os clusters do GKE não oferecem suporte a esse recurso em nenhuma organização.
Essa descontinuação se aplica apenas aos clusters do GKE que são executados em Google Cloud. O recurso Serviço de identidade do GKE, disponível no gateway de conexão e para produtos do Google Distributed Cloud (somente software), não foi descontinuado.
Cronograma e marcos
A linha do tempo a seguir descreve a programação de descontinuação e encerramento do serviço de identidade para o GKE:
1º de julho de 2025: o serviço de identidade para GKE não será compatível com organizações do Google Cloud criadas nessa data ou depois dela.
1º de julho de 2026: o serviço de identidade para o GKE será descontinuado na versão 1.36 e anteriores. Essas versões ainda podem usar o serviço de identidade para GKE até a data de fim do suporte da versão secundária.
O Identity Service para GKE não é compatível com a versão 1.37 e mais recente. Não é possível fazer upgrade de clusters que usam o serviço de identidade para GKE para a versão 1.37 ou mais recente.
Upgrades bloqueados para a versão 1.37 e mais recentes
Se você tiver clusters que usam o Identity Service para GKE, o GKE vai bloquear upgrades automáticos e manuais para a versão 1.37 ou mais recente.
Os upgrades automáticos permanecem pausados até o fim do suporte padrão para a versão secundária. Se o cluster estiver inscrito no canal Extended, os upgrades automáticos serão pausados até o fim do suporte estendido. Quando a versão secundária atinge a data de fim do suporte, o GKE faz upgrade automático do cluster para a próxima versão secundária. Se o serviço de identidade para GKE ainda estiver ativado nesse cluster, os fluxos de trabalho de autenticação vão falhar.
Para fazer upgrade do cluster para a versão 1.37 ou mais recente, desative o serviço de identidade para o GKE. Para autenticar de provedores de identidade (IdPs) externos, use a federação de identidade de colaboradores. Para mais informações, consulte Migrar do serviço de identidade para GKE.
Migrar do serviço de identidade para o GKE
Se você usa o serviço de identidade para GKE para autenticar de IdPs de terceiros, migre para a federação de identidade de colaboradores. A federação de identidade de colaboradores é compatível com vários protocolos, não instala componentes no cluster e é integrada ao IAM.
A tabela a seguir descreve a diferença na sintaxe principal entre a Federação de Identidade da Força de Trabalho e o Serviço de identidade para GKE:
| Sintaxe do serviço de identidade para o GKE | Sintaxe da federação de identidade de colaboradores |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
Para migrar um cluster e usar a federação de identidade de colaboradores, siga estas etapas:
Configure a federação de identidade de colaboradores para sua organização e IdP externo. Para instruções, consulte Configurar a federação de identidade de colaboradores.
Atualize os manifestos de todos os RoleBindings e ClusterRoleBindings nos seus clusters para usar a sintaxe do identificador da federação de identidade de colaboradores. Use uma das seguintes opções:
Atualizações programáticas: instale e execute a ferramenta
gke-identity-service-migrator. Para instruções, consulte o README do repositórioGoogleCloudPlatform/gke-utilities.Essa ferramenta encontra vinculações de RBAC atuais que usam a sintaxe do serviço de identidade para GKE e cria novos manifestos que usam os identificadores principais correspondentes da federação de identidade de colaboradores.
Atualizações manuais: para cada vinculação que faz referência a um usuário ou grupo autenticado, crie uma cópia separada do arquivo de manifesto do objeto que usa a sintaxe do identificador da federação de identidade de colaboradores.
Aplique os manifestos atualizados para RoleBindings e ClusterRoleBindings ao cluster.
Teste se os usuários podem acessar os mesmos recursos ao se autenticarem usando a Federação de Identidade de Colaboradores.
Remova as vinculações RBAC obsoletas do cluster.
Desative o serviço de identidade para o GKE:
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service