Gérer l'identité avec GKE Identity Service

GKE Identity Service vous permet d'utiliser vos fournisseurs d'identité existants pour vous authentifier auprès du serveur d'API Kubernetes de vos clusters Google Distributed Cloud. Il est compatible avec les fournisseurs OpenID Connect (OIDC) et protocole LDAP (Lightweight Directory Access Protocol) qui s'exécutent sur site, tels qu'un serveur ADFS (Active Directory Federation Services), ou qui sont accessibles publiquement, comme Okta. Les certificats du fournisseur peuvent provenir d'une autorité de certification publique ou privée. Vous pouvez vous connecter à vos clusters depuis la ligne de commande avec n'importe quel fournisseur, ou depuis la consoleGoogle Cloud avec OIDC uniquement.

Pour en savoir plus sur le fonctionnement de GKE Identity Service, consultez Présentation de GKE Identity Service. Si vous souhaitez utiliser des ID Google pour vous connecter à vos clusters GKE plutôt qu'un fournisseur OIDC ou LDAP, nous vous recommandons d'utiliser la passerelle Connect. Pour en savoir plus, consultez Se connecter à des clusters enregistrés avec la passerelle Connect.

Comment GKE Identity Service gère les requêtes

GKE Identity Service s'exécute en tant que pod dans le plan de contrôle du cluster. Pendant les phases du cycle de vie du cluster, le serveur d'API est configuré de manière dynamique pour utiliser GKE Identity Service dans le cluster en tant que webhook d'authentification pour toutes les requêtes entrantes. Le serveur d'API ne peut pas utiliser le DNS intégré au cluster. Par conséquent, le serveur d'API est configuré pour accéder à GKE Identity Service en tant que ressource REST. Dans les journaux d'audit, cet appel est enregistré en tant que requête CREATE adressée à la ressource Services ou proxy par un utilisateur system:anonymous.

Processus de configuration et options associées

La procédure de configuration de GKE Identity Service dépend de votre fournisseur d'identité. Pour les fournisseurs OIDC, vous enregistrez GKE Identity Service auprès de votre fournisseur, vous configurez vos clusters au niveau du parc ou individuellement, puis vous configurez l'accès utilisateur. Pour les fournisseurs LDAP, vous suivez un seul guide de configuration.

OIDC

  1. Enregistrez GKE Identity Service en tant que client auprès de votre fournisseur OIDC en suivant les instructions de la section Configurer des fournisseurs pour GKE Identity Service.

  2. Choisissez l'une des options de configuration de cluster suivantes :

    • Configurez vos clusters au niveau du parc en suivant les instructions de la section Configurer des clusters pour GKE Identity Service au niveau du parc (preview, Google Distributed Cloud version 1.8 et ultérieure). Avec cette option, votre configuration d'authentification est gérée de manière centralisée par Google Cloud.
    • Configurez les clusters individuellement en suivant les instructions de la page Configurer des clusters pour GKE Identity Service avec OIDC. La configuration au niveau du parc étant une fonctionnalité en preview, vous pouvez utiliser cette option dans les environnements de production, si vous utilisez une version antérieure de Google Distributed Cloud ou si vous avez besoin de fonctionnalités GKE Identity Service qui ne sont pas encore compatibles avec la gestion du cycle de vie au niveau du parc.

  3. Configurez l'accès des utilisateurs à vos clusters, y compris le contrôle des accès basé sur les rôles (RBAC), en suivant les instructions de la page Configurer l'accès des utilisateurs pour GKE Identity Service.

LDAP

Accéder aux clusters

Après avoir configuré GKE Identity Service, les utilisateurs peuvent se connecter à des clusters configurés à l'aide de la ligne de commande ou de la console Google Cloud .

Résoudre les problèmes liés au flux de connexion

Pour résoudre les problèmes liés aux flux de connexion qui s'authentifient directement sur le serveur GKE Identity Service à l'aide d'un nom de domaine complet (FQDN), vous pouvez utiliser l'utilitaire de diagnostic GKE Identity Service. L'utilitaire de diagnostic simule les flux de connexion avec votre fournisseur OIDC pour identifier rapidement les problèmes de configuration. Cet outil nécessite un cluster de version 1.32 ou ultérieure et n'est compatible qu'avec OIDC. Pour en savoir plus, consultez Utilitaire de diagnostic GKE Identity Service.