Gestione dell'identità con GKE Identity Service

GKE Identity Service ti consente di utilizzare i tuoi provider di identità esistenti per autenticarti al server API Kubernetes dei tuoi cluster Google Distributed Cloud. Supporta i provider OpenID Connect (OIDC) e Lightweight Directory Access Protocol (LDAP) che vengono eseguiti on-premise, ad esempio un server Active Directory Federation Services (ADFS), o che sono raggiungibili pubblicamente, ad esempio Okta. I certificati del provider possono provenire da un'autorità di certificazione (CA) pubblica o privata. Puoi accedere ai tuoi cluster dalla riga di comando con qualsiasi provider o dalla consoleGoogle Cloud solo con OIDC.

Per una panoramica del funzionamento di GKE Identity Service, consulta Introduzione a GKE Identity Service. Se vuoi utilizzare gli ID Google per accedere ai cluster GKE anziché a un provider OIDC o LDAP, ti consigliamo il gateway Connect. Per saperne di più, consulta Connessione ai cluster registrati con il gateway Connect.

In che modo GKE Identity Service gestisce le richieste

GKE Identity Service viene eseguito come pod all'interno del control plane del cluster. Durante le fasi del ciclo di vita del cluster, il server API viene configurato dinamicamente per utilizzare GKE Identity Service in-cluster come webhook di autenticazione per tutte le richieste in entrata. Il server API non è in grado di utilizzare il DNS in-cluster. Di conseguenza, il server API è configurato per accedere a GKE Identity Service come risorsa REST. Negli audit log, questa chiamata viene registrata come richiesta CREATE alla risorsa Services o proxy da parte di un utente system:anonymous.

Procedura di configurazione e opzioni

I passaggi per configurare GKE Identity Service dipendono dal tuo provider di identità. Per i provider OIDC, devi registrare GKE Identity Service presso il tuo provider, configurare i cluster a livello di parco risorse o singolarmente e poi configurare l'accesso utente. Per i provider LDAP, segui una singola guida alla configurazione.

OIDC

  1. Registra GKE Identity Service come client presso il tuo provider OIDC seguendo le istruzioni riportate in Configura i provider per GKE Identity Service.

  2. Scegli tra le seguenti opzioni di configurazione del cluster:

    • Configura i cluster a livello di parco risorse seguendo le istruzioni riportate in Configurazione dei cluster per GKE Identity Service a livello di parco risorse (anteprima, Google Distributed Cloud versione 1.8 e successive). Con questa opzione, la configurazione di autenticazione viene gestita centralmente da Google Cloud.
    • Configura i cluster singolarmente seguendo le istruzioni riportate in Configura i cluster per GKE Identity Service con OIDC. Poiché la configurazione a livello di parco risorse è una funzionalità in anteprima, potresti voler utilizzare questa opzione negli ambienti di produzione, se utilizzi una versione precedente di Google Distributed Cloud o se hai bisogno di funzionalità di GKE Identity Service non ancora supportate con la gestione del ciclo di vita a livello di parco risorse.

  3. Configura l'accesso degli utenti ai tuoi cluster, incluso controllo dell'accesso basato sui ruoli (RBAC), seguendo le istruzioni riportate in Configurazione dell'accesso degli utenti per GKE Identity Service.

LDAP

Accesso ai cluster

Dopo aver configurato GKE Identity Service, gli utenti possono accedere ai cluster configurati utilizzando la riga di comando o la console Google Cloud .

Risolvi i problemi relativi al flusso di accesso

Per risolvere i problemi relativi ai flussi di accesso che eseguono l'autenticazione direttamente sul server GKE Identity Service con un nome di dominio completo (FQDN), puoi utilizzare l'utilità di diagnostica di GKE Identity Service. L'utilità di diagnostica simula i flussi di accesso con il tuo provider OIDC per identificare rapidamente i problemi di configurazione. Questo strumento richiede un cluster versione 1.32 o successiva e supporta solo OIDC. Per saperne di più, consulta Utilità di diagnostica di GKE Identity Service.