Connessione al cluster e autenticazione

Questa pagina spiega come connettersi e autenticarsi a GKE su Azure.

Hai a disposizione diverse opzioni per autenticarti ai cluster GKE. Tutte le seguenti opzioni presuppongono che il gateway Connect o l'utente sia in grado di connettersi al control plane del cluster:

Autenticazione dell'identità Google

Per impostazione predefinita, l'API GKE Multi-Cloud concede all'utente che crea il cluster i criteri di controllo dell'accesso basato sui ruoli (RBAC) di Kubernetes che consentono all'utente di autenticarsi con il cluster utilizzando la propria identità Google. L'utente che ha creato il cluster può aggiungere altri utenti come utenti amministratori con accesso amministrativo completo al cluster.

Oltre al criterio delle autorizzazioni RBAC che concede il clusterrole/cluster-admin ruolo agli utenti amministratori, l'API GKE Multi-Cloud configura un criterio di rappresentazione che autorizza l'agente Connect a inviare richieste al server API Kubernetes per conto di un utente amministratore.

Puoi autenticarti al cluster con la tua identità Google nei seguenti modi:

Utilizzare kubectl con l'identità di gcloud CLI

Puoi utilizzare Google Cloud CLI per creare un kubeconfig che utilizza l'identità dell'utente autenticato con gcloud auth login. Puoi quindi utilizzare kubectl per accedere al cluster.

Per l'accesso kubectl quando utilizzi il gateway Connect, se un utente amministratore non è il proprietario del progetto, l'utente deve disporre almeno dei seguenti ruoli nel progetto:

  • roles/gkehub.gatewayAdmin: questo ruolo consente a un utente di accedere all'API del gateway Connect per utilizzare kubectl per gestire il cluster.

    • Se un utente ha bisogno solo dell'accesso in sola lettura ai cluster connessi, puoi concedere invece roles/gkehub.gatewayReader.

    • Se un utente ha bisogno dell'accesso in lettura / scrittura ai cluster connessi, puoi concedere roles/gkehub.gatewayEditor.

  • roles/gkehub.viewer: questo ruolo consente a un utente di recuperare i kubeconfigs del cluster.

Per informazioni dettagliate sulle autorizzazioni incluse in questi ruoli, consulta la sezione Ruoli di GKE Hub nella documentazione di IAM.

Puoi scoprire di più sulla concessione di autorizzazioni e ruoli IAM in Concessione, modifica e revoca dell'accesso alle risorse.

Dopo che un utente amministratore ha i ruoli richiesti, segui i passaggi descritti in Configurare l'accesso ai cluster per kubectl.

Utilizzare la Google Cloud console

Gli utenti amministratori che non sono proprietari del progetto e vogliono interagire con i cluster utilizzando la console devono disporre almeno dei seguenti ruoli:

  • roles/container.viewer. Questo ruolo consente agli utenti di visualizzare la pagina Cluster GKE e altre risorse container nella Google Cloud console. Per informazioni dettagliate sulle autorizzazioni incluse in questo ruolo, consulta la sezione Ruoli di Kubernetes Engine nella documentazione di IAM.

  • roles/gkehub.viewer. Questo ruolo consente agli utenti di visualizzare i cluster esterni Google Cloud nella Google Cloud console. Tieni presente che questo è uno dei ruoli richiesti per l'accesso kubectl. Se hai già concesso questo ruolo a un utente, non devi concederlo di nuovo. Per informazioni dettagliate sulle autorizzazioni incluse in questo ruolo, consulta la sezione Ruoli di GKE Hub nella documentazione di IAM.

Puoi scoprire di più sulla concessione di autorizzazioni e ruoli IAM in Concessione, modifica e revoca dell'accesso alle risorse.

Per informazioni sull'accesso al cluster dalla console, consulta Accedere utilizzando la tua Google Cloud identità.

Utilizzare Google Gruppi

Per connetterti al cluster come membro di un gruppo Google, consulta Connettere i gruppi Google a GKE su Azure.

Autenticazione con OIDC

Per informazioni sull'autenticazione al cluster con OIDC, consulta Gestire l'identità con GKE Identity Service.

Autenticazione con identità esterne

Per informazioni sull'autenticazione al cluster con identità esterne, consulta Autenticarsi con identità esterne.

Connessione al control plane del cluster

Tutti i cluster GKE su Azure vengono creati in subnet private. Tutta l'infrastruttura del cluster sottostante (ad esempio, nodi ed endpoint del bilanciatore del carico) viene sottoposta a provisioning solo con indirizzi IP RFC 1918 privati.

Per gestire direttamente il cluster, devi essere in grado di connetterti al bilanciatore del carico del control plane del cluster. Se il cluster non può connettersi direttamente al control plane, ma può effettuare connessioni in uscita, puoi connetterti al control plane tramite il gateway Connect, un proxy inverso ospitato da Google per il tuo cluster. Per saperne di più, consulta Connessione ai cluster registrati con il gateway Connect.

Puoi anche connetterti tramite il servizio ExpressRoute di Azure.