באמצעות GKE Identity Service אתם יכולים להשתמש בספקי הזהויות הקיימים שלכם כדי לאמת את שרת ה-API של Kubernetes באשכולות של Google Distributed Cloud. הוא תומך בספקי OpenID Connect (OIDC) ו-Lightweight Directory Access Protocol (LDAP) שפועלים באופן מקומי, כמו שרת Active Directory Federation Services (ADFS), או שניתן להגיע אליהם באופן ציבורי, כמו Okta. אישורי ספק יכולים להגיע מרשות אישורים (CA) ציבורית או פרטית. אתם יכולים להיכנס לאשכולות משורת הפקודה באמצעות כל ספק, או ממסוףGoogle Cloud באמצעות OIDC בלבד.
סקירה כללית על אופן הפעולה של GKE Identity Service מופיעה במאמר מבוא ל-GKE Identity Service. אם אתם רוצים להשתמש בחשבונות Google כדי להיכנס לאשכולות GKE במקום בספק OIDC או LDAP, מומלץ להשתמש בשער Connect. מידע נוסף זמין במאמר התחברות לאשכולות רשומים באמצעות שער Connect.
איך GKE Identity Service מטפל בבקשות
GKE Identity Service פועל כ-Pod בתוך מישור הבקרה של האשכול. במהלך שלבי מחזור החיים של האשכול, שרת ה-API מוגדר באופן דינמי להשתמש ב-GKE Identity Service באשכול בתור ה-webhook לאימות של כל הבקשות הנכנסות. שרת ה-API לא יכול להשתמש ב-DNS בתוך האשכול.
כתוצאה מכך, שרת ה-API מוגדר לגשת ל-GKE Identity Service כמשאב REST. ביומני הביקורת, ההפעלה הזו מתועדת כבקשה של משתמש system:anonymous ל-CREATE או למשאב של שרת proxy.
תהליך ההגדרה והאפשרויות
השלבים להגדרת GKE Identity Service תלויים בספק הזהויות שלכם. בספקי OIDC, אתם רושמים את GKE Identity Service אצל הספק, מגדירים את האשכולות ברמת ה-fleet או בנפרד, ואז מגדירים את הגישה של המשתמשים. לספקי LDAP, אתם צריכים לפעול לפי מדריך הגדרה אחד.
OIDC
רושמים את GKE Identity Service כלקוח אצל ספק ה-OIDC, לפי ההוראות במאמר הגדרת ספקים ל-GKE Identity Service.
בוחרים אחת מהאפשרויות הבאות להגדרת האשכול:
- מגדירים את האשכולות ברמת ה-fleet לפי ההוראות במאמר הגדרת אשכולות ל-GKE Identity Service ברמת ה-fleet (גרסת טרום-השקה (Preview), גרסה 1.8 ומעלה של Google Distributed Cloud). באפשרות הזו, הגדרת האימות מנוהלת באופן מרכזי על ידי Google Cloud.
- מגדירים את האשכולות בנפרד לפי ההוראות במאמר הגדרת אשכולות ל-GKE Identity Service באמצעות OIDC. ההגדרה ברמת ה-fleet היא תכונה בגרסת טרום-השקה (Preview), לכן יכול להיות שתרצו להשתמש באפשרות הזו בסביבות ייצור, אם אתם משתמשים בגרסה קודמת של Google Distributed Cloud, או אם אתם צריכים תכונות של GKE Identity Service שעדיין לא נתמכות בניהול מחזור החיים ברמת ה-fleet.
מגדירים את הגישה של המשתמשים לאשכולות, כולל בקרת גישה מבוססת-תפקידים (RBAC), לפי ההוראות במאמר הגדרת הגישה של המשתמשים ל-GKE Identity Service.
LDAP
- פועלים לפי ההוראות במאמר הגדרת GKE Identity Service באמצעות LDAP.
גישה לאשכולות
אחרי שמגדירים את GKE Identity Service, המשתמשים יכולים להתחבר לאשכולות שהוגדרו באמצעות שורת הפקודה או מסוף Google Cloud .
- במאמר גישה לאשכולות באמצעות GKE Identity Service מוסבר איך להתחבר לאשכולות רשומים באמצעות מזהה OIDC או LDAP.
- במאמר התחברות לאשכול ממסוף Google Cloud (OIDC בלבד) מוסבר איך מתחברים לאשכולות ממסוף Google Cloud .
פתרון בעיות בתהליך ההתחברות
כדי לפתור בעיות בתהליכי התחברות שמאומתים ישירות בשרת GKE Identity Service באמצעות שם דומיין שמוגדר במלואו (FQDN), אתם יכולים להשתמש בכלי האבחון של GKE Identity Service. כלי האבחון מדמה תהליכי התחברות עם ספק ה-OIDC כדי לזהות במהירות בעיות בהגדרות האישיות. הכלי הזה דורש אשכול בגרסה 1.32 ומעלה, ותומך רק ב-OIDC. מידע נוסף זמין במאמר כלי האבחון של GKE Identity Service.