Mengonfigurasi penyedia SAML untuk melakukan autentikasi ke cluster

Dokumen ini ditujukan untuk administrator platform, atau siapa pun yang mengelola penyiapan identitas di organisasi Anda. Dokumen ini menjelaskan cara mengonfigurasi penyedia identitas Security Assertion Markup Language (SAML) yang Anda pilih untuk autentikasi ke cluster Kubernetes yang tidak berada di Google Cloud.

Mendaftarkan aplikasi klien ke penyedia Anda

Selama alur autentikasi, cluster menggunakan informasi berikut untuk memverifikasi dan mengalihkan pengguna:

  • EntityID - Ini adalah ID unik yang merepresentasikan mekanisme autentikasi cluster untuk penyedia. Nilai ini berasal dari URL server API. Misalnya, jika APISERVER-URL adalah https://cluster.company.com, maka EntityID harus https://cluster.company.com:11001. Perhatikan bahwa URL tidak memiliki garis miring di bagian akhir.
  • AssertionConsumerServiceURL - Ini adalah URL callback. Respons diteruskan ke URL ini setelah penyedia mengautentikasi pengguna. Misalnya, jika APISERVER-URL adalah https://cluster.company.com, maka AssertionConsumerServiceURL harus https://cluster.company.com:11001/saml-callback.

Informasi penyiapan penyedia

Bagian ini memberikan langkah-langkah untuk mendaftarkan aplikasi klien dengan Microsoft Entra ID. Jika Anda menggunakan penyedia identitas yang berbeda, lihat dokumentasi penyedia untuk menyiapkan aplikasi klien.

  1. Jika Anda belum melakukannya, Siapkan tenant Microsoft Entra.
  2. Mendaftarkan aplikasi di Microsoft Entra ID.
  3. Di pusat admin Microsoft Entra, buka halaman App registrations dan pilih aplikasi Anda. Halaman ringkasan aplikasi akan terbuka.
  4. Di menu navigasi, klik Authentication.
  5. Di bagian Konfigurasi platform, pilih Aplikasi Perusahaan.
  6. Di Set up Single Sign-On with SAML, edit Basic SAML Configuration.
  7. Di bagian Identifier (Entity ID), pilih Add Identifier.
  8. Masukkan EntityID dan Reply URL yang Anda dapatkan dari Mendaftarkan aplikasi klien ke penyedia Anda
  9. Klik Simpan untuk menyimpan setelan ini.
  10. Tinjau bagian Atribut & Klaim untuk menambahkan atribut baru.
  11. Di bagian SAML Certificates, klik Certificate (Base64) untuk mendownload sertifikat penyedia identitas.
  12. Di bagian Siapkan aplikasi, salin Login URL dan Azure AD identifier.

Menetapkan masa aktif pernyataan SAML

Untuk meningkatkan keamanan, konfigurasi penyedia SAML Anda agar mengeluarkan pernyataan dengan masa aktif yang singkat, seperti 10 menit. Setelan ini dapat dikonfigurasi dalam setelan penyedia SAML Anda.

Menetapkan masa aktif kurang dari 5 menit dapat menyebabkan masalah login jika waktu antara cluster dan penyedia SAML Anda tidak disinkronkan.

Membagikan detail penyedia layanan

Bagikan informasi penyedia berikut kepada administrator cluster Anda untuk penyiapan cluster:

  • idpEntityID - Ini adalah ID unik untuk penyedia identitas. ID ini sesuai dengan URL penyedia dan juga disebut ID Azure AD.
  • idpSingleSignOnURL - Ini adalah endpoint tempat pengguna dialihkan untuk mendaftar. URL ini juga disebut URL Login.
  • idpCertificateDataList- Ini adalah sertifikat publik yang digunakan oleh penyedia identitas untuk verifikasi pernyataan SAML.

Langkah berikutnya