GKE Identity Service memungkinkan Anda menggunakan penyedia identitas yang ada untuk melakukan autentikasi ke server Kubernetes API cluster Google Distributed Cloud Anda. Solusi ini mendukung penyedia OpenID Connect (OIDC) dan Lightweight Directory Access Protocol (LDAP) yang berjalan secara lokal, seperti server Active Directory Federation Services (ADFS), atau yang dapat dijangkau secara publik, seperti Okta. Sertifikat penyedia dapat berasal dari certificate authority (CA) publik atau pribadi. Anda dapat login ke cluster dari command line dengan penyedia mana pun, atau dari konsolGoogle Cloud dengan OIDC saja.
Untuk ringkasan cara kerja GKE Identity Service, lihat Memperkenalkan GKE Identity Service. Jika Anda ingin menggunakan ID Google untuk login ke cluster GKE, bukan penyedia OIDC atau LDAP, sebaiknya gunakan Connect gateway. Untuk mengetahui informasi selengkapnya, lihat Menghubungkan ke cluster terdaftar dengan gateway Connect.
Cara GKE Identity Service menangani permintaan
GKE Identity Service berjalan sebagai Pod di dalam bidang kontrol cluster. Selama
fase siklus proses cluster, server API dikonfigurasi secara dinamis untuk menggunakan
GKE Identity Service dalam cluster sebagai webhook autentikasi untuk semua
permintaan masuk. Server API
tidak dapat menggunakan DNS dalam cluster.
Hasilnya, server API dikonfigurasi untuk mengakses GKE Identity Service sebagai
resource REST. Dalam log audit, pemanggilan ini dicatat sebagai permintaan CREATE
ke resource Service atau proxy oleh pengguna system:anonymous.
Proses dan opsi penyiapan
Langkah-langkah untuk menyiapkan GKE Identity Service bergantung pada penyedia identitas Anda. Untuk penyedia OIDC, Anda mendaftarkan GKE Identity Service ke penyedia, mengonfigurasi cluster di tingkat fleet atau secara individual, lalu menyiapkan akses pengguna. Untuk penyedia LDAP, Anda mengikuti satu panduan penyiapan.
OIDC
Daftarkan GKE Identity Service sebagai klien dengan penyedia OIDC Anda dengan mengikuti petunjuk di Mengonfigurasi penyedia untuk GKE Identity Service.
Pilih dari opsi konfigurasi cluster berikut:
- Konfigurasi cluster Anda di tingkat fleet dengan mengikuti petunjuk di Mengonfigurasi cluster untuk GKE Identity Service tingkat fleet (pratinjau, Google Distributed Cloud versi 1.8 dan yang lebih tinggi). Dengan opsi ini, konfigurasi autentikasi Anda dikelola secara terpusat oleh Google Cloud.
- Konfigurasikan cluster Anda satu per satu dengan mengikuti petunjuk di Mengonfigurasi cluster untuk GKE Identity Service dengan OIDC. Karena penyiapan tingkat fleet adalah fitur pratinjau, Anda mungkin ingin menggunakan opsi ini di lingkungan produksi, jika Anda menggunakan versi Google Distributed Cloud yang lebih lama, atau jika Anda memerlukan fitur GKE Identity Service yang belum didukung dengan pengelolaan siklus proses tingkat fleet.
Siapkan akses pengguna ke cluster Anda, termasuk kontrol akses berbasis peran (RBAC), dengan mengikuti petunjuk di Menyiapkan akses pengguna untuk GKE Identity Service.
LDAP
- Ikuti petunjuk di Menyiapkan GKE Identity Service dengan LDAP.
Mengakses cluster
Setelah GKE Identity Service disiapkan, pengguna dapat login ke cluster yang dikonfigurasi menggunakan command line atau konsol Google Cloud .
- Pelajari cara login ke cluster terdaftar dengan ID OIDC atau LDAP Anda di Mengakses cluster menggunakan GKE Identity Service.
- Pelajari cara login ke cluster dari konsol Google Cloud di Login ke cluster dari konsol Google Cloud (khusus OIDC).
Memecahkan masalah alur login
Untuk memecahkan masalah alur login yang melakukan autentikasi langsung di server GKE Identity Service dengan nama domain yang sepenuhnya memenuhi syarat (FQDN), Anda dapat menggunakan utilitas diagnostik GKE Identity Service. Utilitas diagnostik menyimulasikan alur login dengan penyedia OIDC Anda untuk mengidentifikasi masalah konfigurasi dengan cepat. Alat ini memerlukan cluster versi 1.32 atau yang lebih tinggi dan hanya mendukung OIDC. Untuk mengetahui informasi selengkapnya, lihat Utilitas diagnostik GKE Identity Service.