本文說明 GKE 適用的 Identity Service 淘汰和關閉事宜，包括時間表、里程碑，以及您必須採取的遷移步驟。如果機構是在 2025 年 7 月 1 日當天或之後建立，就無法使用 GKE 的身分識別服務。在 1.37 以上版本中，GKE 叢集不支援任何機構的這項功能。
這項淘汰措施僅適用於在Google Cloud上執行的 GKE 叢集。連結閘道和 Google Distributed Cloud (僅限軟體) 產品提供的 GKE 身分認證服務 功能並未淘汰。
時間表和里程碑
以下時間表說明 GKE 適用的 Identity Service 的淘汰和停用時程：
2025 年 7 月 1 日：如果機構是在這天或之後建立 Google Cloud ，則不支援 GKE 適用的 Identity Service。
2026 年 7 月 1 日：GKE 適用的 Identity Service 將在 1.36 版和更早版本中淘汰。在子版本的支援期限結束前，這些版本仍可使用 GKE 的 Identity Service。
GKE 1.37 以上版本不支援 Identity Service for GKE。如果叢集使用 GKE 適用的 Identity Service，就無法升級至 1.37 以上版本。
封鎖升級至 1.37 以上版本
如果叢集使用 GKE 適用的 Identity Service，GKE 會禁止自動和手動將叢集升級至 1.37 以上版本。
在子版本的標準支援期結束前，自動升級功能會維持暫停狀態。如果叢集已註冊延長版管道，自動升級作業會暫停，直到延長版支援服務結束為止。子版本達到支援期限時，GKE 會自動將叢集升級至下一個子版本。如果該叢集仍啟用 GKE 適用的 Identity Service，驗證工作流程就會失敗。
如要將叢集升級至 1.37 以上版本，請務必停用 GKE 的 Identity Service。如要透過外部識別資訊提供者 (IdP) 進行驗證，請使用員工身分聯盟。詳情請參閱「從 GKE Identity Service 遷移」。
從 GKE 適用的 Identity Service 遷移
如果您依賴 GKE 專用的 Identity Service，從第三方 IdP 進行驗證，請改用員工身分聯盟。員工身分聯盟支援多種通訊協定，不會在叢集中安裝元件，並與 IAM 整合。
下表說明 Workforce Identity Federation 與 GKE 適用的 Identity Service 之間，主體語法的差異：
| GKE 適用的 Identity Service 語法 | 員工身分聯盟語法 |
|---|---|
amal@example.com |
principal://iam.googleapis.com/locations/global/workforcePools/full-time-employees/subject/amal@example.com
|
sre-group |
principalSet://iam.googleapis.com/locations/global/workforcePools/full-time-employees/group/sre-group
|
如要遷移叢集以使用 Workforce Identity Federation，請按照下列步驟操作：
為機構和外部 IdP 設定員工身分聯盟。 如需操作說明，請參閱「設定員工身分聯盟」。
更新叢集中任何 RoleBinding 和 ClusterRoleBinding 的資訊清單，使用員工身分聯盟 ID 語法。請使用下列其中一種方式：
透過程式更新：安裝並執行
gke-identity-service-migrator工具。如需操作說明，請參閱GoogleCloudPlatform/gke-utilities存放區 README。這項工具會找出使用 Identity Service for GKE 語法的現有 RBAC 繫結，並建立使用對應 Workforce Identity Federation 主體 ID 的新資訊清單。
手動更新：針對參照已驗證使用者或群組的每個繫結，建立物件資訊清單檔案的個別副本，並使用員工身分聯盟識別碼語法。
將更新後的 RoleBinding 和 ClusterRoleBinding 資訊清單套用至叢集。
測試使用者透過員工身分聯盟驗證身分時，是否能存取相同資源。
從叢集中移除過時的 RBAC 繫結。
停用 GKE 的 Identity Service：
gcloud container clusters update CLUSTER_NAME \ --no-enable-identity-service