Identität mit GKE Identity Service verwalten

Mit GKE Identity Service können Sie Ihre vorhandenen Identitätsanbieter verwenden, um sich beim Kubernetes API-Server Ihrer Google Distributed Cloud-Cluster zu authentifizieren. Unterstützt werden OpenID Connect (OIDC)- und Lightweight Directory Access Protocol (LDAP)-Anbieter, die lokal ausgeführt werden, z. B. ein Active Directory Federation Services (ADFS)-Server, oder die öffentlich erreichbar sind, z. B. Okta. Anbieterzertifikate können von einer öffentlichen oder einer privaten Zertifizierungsstelle stammen. Sie können sich über die Befehlszeile mit einem beliebigen Anbieter oder über dieGoogle Cloud Console nur mit OIDC bei Ihren Clustern anmelden.

Eine Übersicht über die Funktionsweise von GKE Identity Service finden Sie unter Einführung in GKE Identity Service. Wenn Sie Google-IDs zur Anmeldung in Ihren GKE-Clustern anstelle eines OIDC- oder LDAP-Anbieters verwenden möchten, empfehlen wir das Connect-Gateway. Weitere Informationen finden Sie unter Verbindung zu registrierten Clustern mit dem Connect-Gateway herstellen.

So verarbeitet GKE Identity Service Anfragen

GKE Identity Service wird als Pod in der Steuerungsebene des Clusters ausgeführt. Während der Clusterlebenszyklusphasen wird der API-Server dynamisch so konfiguriert, dass er den clusterinternen GKE Identity Service als Authentifizierungs-Webhook für alle eingehenden Anfragen verwendet. Der API-Server kann kein clusterinternes DNS verwenden. Daher ist der API-Server so konfiguriert, dass er auf GKE Identity Service als REST-Ressource zugreift. In Audit-Logs wird dieser Aufruf als CREATE-Anfrage an die Dienste- oder Proxy-Ressource durch einen system:anonymous-Nutzer aufgezeichnet.

Einrichtungsprozess und -optionen

Die Schritte zum Einrichten von GKE Identity Service hängen von Ihrem Identitätsanbieter ab. Bei OIDC-Anbietern registrieren Sie GKE Identity Service bei Ihrem Anbieter, konfigurieren Ihre Cluster auf Flottenebene oder einzeln und richten dann den Nutzerzugriff ein. Für LDAP-Anbieter gibt es eine einzige Einrichtungsanleitung.

OIDC

  1. Registrieren Sie GKE Identity Service als Client bei Ihrem OIDC-Anbieter. Folgen Sie dazu der Anleitung unter Anbieter für GKE Identity Service konfigurieren.

  2. Wählen Sie eine der folgenden Clusterkonfigurationsoptionen aus:

    • Konfigurieren Sie Ihre Cluster auf Flottenebene gemäß der Anleitung unter Cluster für GKE Identity Service auf Flottenebene konfigurieren (Vorschau, Google Distributed Cloud-Version 1.8 und höher). Bei dieser Option wird Ihre Authentifizierungskonfiguration zentral von Google Cloudverwaltet.
    • Konfigurieren Sie Ihre Cluster einzeln. Folgen Sie dazu der Anleitung unter Cluster für GKE Identity Service mit OIDC konfigurieren. Da die Einrichtung auf Flottenebene eine Funktion in der Vorabversion ist, sollten Sie diese Option in Produktionsumgebungen verwenden, wenn Sie eine ältere Version von Google Distributed Cloud verwenden oder GKE Identity Service-Features benötigen, die noch nicht mit Lebenszyklusverwaltung auf Flottenebene unterstützt werden.

  3. Richten Sie den Nutzerzugriff auf Ihre Cluster einschließlich rollenbasierter Zugriffssteuerung (RBAC) ein. Folgen Sie dazu der Anleitung unter Nutzerzugriff für GKE Identity Service einrichten.

LDAP

Auf Cluster zugreifen

Nachdem GKE Identity Service eingerichtet wurde, können sich Nutzer entweder über die Befehlszeile oder die Google Cloud Console bei konfigurierten Clustern anmelden.

Fehlerbehebung beim Anmeldevorgang

Zur Fehlerbehebung bei Anmeldeabläufen, die sich direkt auf dem GKE Identity Service-Server mit einem vollständig qualifizierten Domainnamen (FQDN) authentifizieren, können Sie das GKE Identity Service-Diagnosetool verwenden. Das Diagnosetool simuliert Anmeldeabläufe mit Ihrem OIDC-Anbieter, um Konfigurationsprobleme schnell zu identifizieren. Dieses Tool erfordert einen Cluster der Version 1.32 oder höher und unterstützt nur OIDC. Weitere Informationen finden Sie unter Diagnosetool für GKE Identity Service.