Administra la identidad con GKE Identity Service

Servicio de identidad de GKE te permite usar tus proveedores de identidad existentes para autenticarte en el servidor de la API de Kubernetes de tus clústeres de Google Distributed Cloud. Admite proveedores de OpenID Connect (OIDC) y del Protocolo ligero de acceso a directorios (LDAP) que se ejecutan de forma local, como un servidor de los Servicios de federación de Active Directory (ADFS), o que son de acceso público, como Okta. Los certificados de proveedor pueden provenir de una autoridad certificadora (CA) pública o privada. Puedes acceder a tus clústeres desde la línea de comandos con cualquier proveedor o desde la consola deGoogle Cloud solo con OIDC.

Para obtener una descripción general de cómo funciona el Servicio de identidad de GKE, consulta Introducción al Servicio de identidad de GKE. Si quieres usar IDs de Google para acceder a tus clústeres de GKE en lugar de un proveedor de OIDC o LDAP, te recomendamos la puerta de enlace de Connect. Para obtener más información, consulta Conéctate a clústeres registrados con la puerta de enlace de Connect.

Cómo el Servicio de identidad de GKE controla las solicitudes

Servicio de identidad de GKE se ejecuta como un Pod dentro del plano de control del clúster. Durante las fases del ciclo de vida del clúster, el servidor de la API se configura de forma dinámica para usar el Servicio de identidad de GKE en el clúster como el webhook de autenticación para todas las solicitudes entrantes. El servidor de la API no puede usar el DNS en el clúster. Como resultado, el servidor de la API se configura para acceder al servicio de identidad de GKE como un recurso de REST. En los registros de auditoría, esta invocación se registra como una solicitud CREATE al recurso de Services o proxy por parte de un usuario system:anonymous.

Proceso y opciones de configuración

Los pasos para configurar el Servicio de identidad de GKE dependen de tu proveedor de identidad. En el caso de los proveedores de OIDC, debes registrar GKE Identity Service con tu proveedor, configurar los clústeres a nivel de la flota o de forma individual y, luego, configurar el acceso de los usuarios. Para los proveedores de LDAP, debes seguir una sola guía de configuración.

OIDC

  1. Registra el Servicio de identidad de GKE como cliente con tu proveedor de OIDC siguiendo las instrucciones que se indican en Configura proveedores para el Servicio de identidad de GKE.

  2. Elige entre las siguientes opciones de configuración del clúster:

    • Configura tus clústeres a nivel de la flota según las instrucciones de Configura clústeres para Servicio de identidad de GKE a nivel de flota (versión preliminar, Google Distributed Cloud versión 1.8 y posteriores). Con esta opción, Google Cloudadministra la configuración de autenticación de forma centralizada.
    • Configurar los clústeres de forma individual siguiendo las instrucciones que se indican en Configura clústeres para Servicio de identidad de GKE con OIDC. Debido a que la configuración a nivel de flota es una función de versión preliminar, te recomendamos usar esta opción en entornos de producción, si usas una versión anterior de Google Distributed Cloud o si necesitas funciones de Servicio de identidad de GKE que aún no son compatibles con la administración del ciclo de vida a nivel de la flota.

  3. Configura el acceso de usuarios a tus clústeres, incluido el control de acceso basado en roles (RBAC), con las instrucciones de Configura el acceso de usuarios para el Servicio de identidad de GKE.

LDAP

Accede a clústeres

Después de configurar el Servicio de identidad de GKE, los usuarios pueden acceder a los clústeres configurados con la línea de comandos o la consola de Google Cloud .

Soluciona problemas del flujo de acceso

Para solucionar problemas de los flujos de acceso que se autentican directamente en el servidor de Servicio de identidad de GKE con un nombre de dominio completamente calificado (FQDN), puedes usar la utilidad de diagnóstico de Servicio de identidad de GKE. La utilidad de diagnóstico simula flujos de acceso con tu proveedor de OIDC para identificar con rapidez los problemas de configuración. Esta herramienta requiere un clúster de la versión 1.32 o posterior y solo admite OIDC. Para obtener más información, consulta Utilidad de diagnóstico del Servicio de identidad de GKE.