Attiva e configura OS Login in GKE

Questa pagina spiega come abilitare OS Login e configurare una policy dell'organizzazione per applicare OS Login per i cluster e i nodi in modalità GKE Standard. Puoi utilizzare OS Login per gestire l'accesso SSH alle istanze utilizzando IAM senza dover creare e gestire singole chiavi SSH.

OS Login non è disponibile per i cluster in modalità GKE Autopilot perché i nodi sono gestiti da GKE.

Questa pagina è rivolta agli specialisti della sicurezza che vogliono aggiungere policy di OS Login ai cluster GKE Standard per garantire che tutte le istanze VM abbiano OS Login per impostazione predefinita. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei Google Cloud contenuti, consulta Ruoli utente e attività comuni di GKE.

Prima di leggere questa pagina, assicurati di avere familiarità con la panoramica generale di OS Login.

Panoramica

Puoi configurare un vincolo OS Login nella tua organizzazione per assicurarti che tutti i nuovi progetti e le istanze VM create in questi nuovi progetti abbiano OS Login abilitato. OS Login è diventato rapidamente una Google Cloud best practice di sicurezza, che consiglia di applicarne l'utilizzo tramite una policy dell'organizzazione.

Le seguenti istruzioni descrivono in dettaglio come abilitare OS Login utilizzando una policy dell'organizzazione in GKE.

Prima di iniziare

Prima di iniziare, assicurati di aver eseguito le seguenti operazioni:

  • Abilita l'API Google Kubernetes Engine.
    • Abilita l'API Google Kubernetes Engine
  • Per utilizzare Google Cloud CLI per questa attività, installala e poi inizializza gcloud CLI. Se hai già installato gcloud CLI, scarica l'ultima versione eseguendo il comando gcloud components update. Le versioni precedenti di gcloud CLI potrebbero non supportare l'esecuzione dei comandi in questo documento.

Aggiorna i progetti esistenti per utilizzare OS Login

Prima di impostare la policy dell'organizzazione, esegui la migrazione di tutti i cluster esistenti per utilizzare OS Login.

  • Attiva OS Login su tutte le istanze VM esistenti e nuove per impostazione predefinita impostando il flag enable-oslogin su TRUE. Non è necessario riavviare il nodo.

    gcloud compute project-info add-metadata --metadata enable-oslogin=TRUE

Imposta la policy dell'organizzazione di OS Login

Per impostare il vincolo OS Login a livello di organizzazione:

  1. Trova l'ID organizzazione eseguendo questo comando:

    gcloud organizations list

  2. Imposta la policy dell'organizzazione di OS Login. Sostituisci ORGANIZATION_ID con l'ID organizzazione.

    gcloud resource-manager org-policies enable-enforce \
    compute.requireOsLogin \
    --organization=ORGANIZATION_ID

Dopo aver impostato la policy dell'organizzazione, vengono applicate le seguenti condizioni:

  • enable-oslogin è impostato su true nei metadati del progetto per tutti i nuovi progetti.
  • Le richieste di aggiornamento per impostare enable-oslogin su false nei metadati di istanza o progetto vengono rifiutate.

Gestire l'accesso ai nodi

Una volta attivata la policy dell'organizzazione OS Login, non è più necessario gestire le chiavi SSH per prendere decisioni di autorizzazione. OS Login sposta la gestione dell'autorizzazione in Identity and Access Management. Per gestire l'accesso SSH ai nodi, utilizza OS Login. Per maggiori dettagli, consulta Configurazione di OS Login.

Passaggi successivi