Configura proveedores de SAML para la autenticación en clústeres

Este documento está dirigido a los administradores de plataformas o a quienes administran la configuración de identidad en tu organización. En él, se explica cómo configurar el proveedor de identidad del Lenguaje de marcado para confirmaciones de seguridad (SAML) que elegiste para la autenticación en clústeres de Kubernetes que no están en Google Cloud.

Registra una aplicación cliente con tu proveedor

Durante el flujo de autenticación, el clúster usa la siguiente información para verificar y redireccionar a los usuarios:

  • EntityID - Este es un identificador único que representa el mecanismo de autenticación del clúster para el proveedor. Esto se deriva de la URL del servidor de la API. Por ejemplo, si la APISERVER-URL es https://cluster.company.com, entonces la EntityID debe ser https://cluster.company.com:11001. Ten en cuenta que la URL no tiene barras finales.
  • AssertionConsumerServiceURL: Esta es la URL de devolución de llamada. La respuesta se reenvía a esta URL después de que el proveedor autentica al usuario. Por ejemplo, si la APISERVER-URL es https://cluster.company.com, entonces la AssertionConsumerServiceURL debe ser https://cluster.company.com:11001/saml-callback.

Información de configuración del proveedor

En esta sección, se proporcionan los pasos para registrar una aplicación cliente con Microsoft Entra ID. Si usas un proveedor de identidad diferente, consulta la documentación del proveedor para configurar una aplicación cliente.

  1. Si aún no lo hiciste, configura un tenant de Microsoft Entra.
  2. Registra una aplicación en Microsoft Entra ID.
  3. En el Centro de administración de Microsoft Entra, abre la página Registros de aplicaciones y selecciona tu aplicación. Se abrirá la página de descripción general de la aplicación.
  4. En el menú de navegación, haz clic en Autenticación.
  5. En la sección Configuración de la plataforma, selecciona Aplicaciones empresariales.
  6. En el Configurar el inicio de sesión único con SAML, edita la Configuración básica de SAML.
  7. En la sección Identificador (ID de la entidad), selecciona Agregar identificador.
  8. Ingresa el EntityID y la URL de respuesta que derivaste de Registra una aplicación cliente con tu proveedor
  9. Haz clic en Guardar para guardar esta configuración.
  10. Revisa la sección Atributos y reclamaciones para agregar atributos nuevos.
  11. En la sección Certificados SAML, haz clic en Certificado (Base64) para descargar el certificado del proveedor de identidad.
  12. En la sección Configura la app, copia el URL de acceso y el Identificador de Azure AD.

Establece la vida útil de la aserción de SAML

Para mejorar la seguridad, configura tu proveedor de SAML para que emita aserciones con una vida útil corta, como 10 minutos. Este parámetro se puede configurar en la configuración de tu proveedor de SAML.

Si estableces la vida útil en menos de 5 minutos, es posible que se produzcan problemas de acceso si los relojes entre el clúster y tu proveedor de SAML no están sincronizados.

Comparte detalles del proveedor

Comparte la siguiente información del proveedor con el administrador de tu clúster para la configuración del clúster:

  • idpEntityID: Este es el identificador único del proveedor de identidad. Corresponde a la URL del proveedor y también se llama identificador de Azure AD.
  • idpSingleSignOnURL: Este es el extremo al que se redirecciona al usuario para que se registre. También se denomina URL de acceso.
  • idpCertificateDataList: Este es el certificado público que usa el proveedor de identidad para la verificación de aserciones de SAML.

¿Qué sigue?