Abilitare e configurare OS Login in GKE

Questa pagina spiega come attivare OS Login e configurare un criterio dell'organizzazione per applicare OS Login per i nodi e i cluster in modalità GKE Standard. Puoi utilizzare OS Login per gestire l'accesso SSH alle istanze utilizzando IAM senza dover creare e gestire singole chiavi SSH.

OS Login non è disponibile per i cluster in modalità GKE Autopilot perché GKE gestisce i nodi.

Questa pagina è dedicata agli esperti di sicurezza che vogliono aggiungere policy OS Login sui cluster GKE Standard per garantire che tutte le istanze VM abbiano OS Login per impostazione predefinita. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti, consulta Ruoli utente e attività comuni di GKE. Google Cloud

Prima di leggere questa pagina, assicurati di conoscere la panoramica generale di OS Login.

Panoramica

Puoi configurare un vincolo OS Login nella tua organizzazione per assicurarti che tutti i nuovi progetti e le istanze VM create in questi nuovi progetti abbiano OS Login abilitato. OS Login è diventato rapidamente una Google Cloud best practice di sicurezza, che consiglia di applicarne l'utilizzo tramite una policy dell'organizzazione.

Le seguenti istruzioni descrivono in dettaglio come abilitare OS Login utilizzando una policy dell'organizzazione in GKE.

Prima di iniziare

Prima di iniziare, assicurati di aver eseguito le seguenti operazioni:

  • Attiva l'API Google Kubernetes Engine.
    • Attiva l'API Google Kubernetes Engine
  • Se vuoi utilizzare Google Cloud CLI per questa attività, installala e poi inizializza gcloud CLI. Se hai già installato gcloud CLI, scarica l'ultima versione eseguendo il comando gcloud components update. Le versioni precedenti di gcloud CLI potrebbero non supportare l'esecuzione dei comandi in questo documento.

Aggiorna i progetti esistenti per utilizzare OS Login

Prima di impostare la policy dell'organizzazione, esegui la migrazione di tutti i cluster esistenti per utilizzare OS Login.

  • Attiva OS Login su tutte le istanze VM esistenti e nuove per impostazione predefinita impostando il flag enable-oslogin su TRUE. Non è necessario riavviare il nodo.

    gcloud compute project-info add-metadata --metadata enable-oslogin=TRUE

Imposta il criterio dell'organizzazione di OS Login

Per impostare il vincolo OS Login a livello di organizzazione:

  1. Trova l'ID organizzazione eseguendo questo comando:

    gcloud organizations list

  2. Imposta il criterio dell'organizzazione di OS Login. Sostituisci ORGANIZATION_ID con l'ID organizzazione.

    gcloud resource-manager org-policies enable-enforce \
    compute.requireOsLogin \
    --organization=ORGANIZATION_ID

Una volta impostato il criterio dell'organizzazione, vengono applicate le seguenti condizioni:

  • enable-oslogin è impostato su true nei metadati del progetto per tutti i nuovi progetti.
  • Le richieste di aggiornamento per impostare enable-oslogin su false nei metadati di istanza o progetto vengono rifiutate.

Gestire l'accesso ai nodi

Una volta attivata la policy dell'organizzazione OS Login, non devi più gestire le chiavi SSH per prendere decisioni di autorizzazione. L'OS Login sposta la gestione dell'autorizzazione a Identity and Access Management. Per gestire l'accesso SSH ai nodi, utilizza OS Login. Per maggiori dettagli, vedi Configurazione di OS Login.

Passaggi successivi