O Serviço de Identidade do GKE permite que você use seus provedores de identidade atuais para autenticar no servidor de API Kubernetes dos clusters do Google Distributed Cloud. Ele é compatível com provedores do OpenID Connect (OIDC) e do Protocolo leve de acesso a diretórios (LDAP) que são executados no local, como um servidor do Active Directory Federation Services (ADFS), ou que são acessíveis publicamente, como o Okta. Os certificados de provedor podem vir de uma autoridade certificadora (CA) pública ou privada. É possível fazer login nos clusters pela linha de comando com qualquer provedor ou pelo console doGoogle Cloud apenas com o OIDC.
Para uma visão geral de como o serviço de identidade do GKE funciona, consulte Introdução ao serviço de identidade do GKE. Se você quiser usar IDs do Google para fazer login nos clusters do GKE em vez de um provedor OIDC ou LDAP, recomendamos o gateway do Connect. Para mais informações, consulte Como se conectar a clusters registrados com o gateway do Connect.
Como o Serviço de Identidade do GKE processa solicitações
O GKE Identity Service é executado como um pod dentro do plano de controle do cluster. Durante as fases do ciclo de vida do cluster, o servidor de API é configurado dinamicamente para usar o Serviço de Identidade do GKE no cluster como o webhook de autenticação para todas as solicitações recebidas. O servidor de API
não pode usar o DNS no cluster.
Como resultado, o servidor de API é configurado para acessar o Serviço de Identidade do GKE como um
recurso REST. Nos registros de auditoria, essa invocação é registrada como uma solicitação CREATE
para o recurso de serviços ou proxy por um usuário system:anonymous.
Processo de configuração e opções
As etapas para configurar o Serviço de Identidade do GKE dependem do seu provedor de identidade. Para provedores OIDC, registre o Serviço de Identidade do GKE com seu provedor, configure os clusters no nível da frota ou individualmente e, em seguida, configure o acesso do usuário. Para provedores LDAP, siga um único guia de configuração.
OIDC
Registre o Serviço de identidade do GKE como um cliente com o provedor OIDC seguindo as instruções em Como configurar provedores para o Serviço de identidade do GKE.
Escolha uma destas opções de configuração de cluster:
- Configure os clusters no nível da frota seguindo as instruções em Como configurar clusters para o serviço de identidade do GKE no nível da frota (pré-lançamento, Google Distributed Cloud versão 1.8 e mais recentes). Com essa opção, sua configuração de autenticação é gerenciada centralmente pelo Google Cloud.
- Configure os clusters individualmente seguindo as instruções em Como configurar clusters para o Serviço de identidade do GKE com o OIDC. Como a configuração no nível da frota é um recurso em fase de pré-lançamento, use esta opção em ambientes de produção, se você estiver usando uma versão anterior do Google Distributed Cloud ou se precisar de recursos do Serviço de Identidade do GKE que ainda não são compatíveis com o gerenciamento do ciclo de vida no nível da frota.
Para configurar o acesso do usuário aos clusters, incluindo o controle de acesso baseado em papéis (RBAC, na sigla em inglês), siga as instruções em Como configurar o acesso do usuário ao Serviço de identidade do GKE.
LDAP
- Siga as instruções em Configurar o Serviço de identidade do GKE com o LDAP.
Acessar clusters
Após a configuração do Serviço de Identidade do GKE, os usuários podem fazer login nos clusters configurados usando a linha de comando ou o Google Cloud console.
- Saiba como fazer login em clusters registrados com o OIDC ou ID LDAP em Como acessar clusters usando o Serviço de Identidade do GKE.
- Saiba como fazer login em clusters no console do Google Cloud em Como fazer login em um cluster no console do Google Cloud (somente OIDC).
Resolver problemas no fluxo de login
Para resolver problemas de fluxos de login que se autenticam diretamente no servidor do Serviço de Identidade do GKE com um nome de domínio totalmente qualificado (FQDN), use o utilitário de diagnóstico do Serviço de Identidade do GKE. O utilitário de diagnóstico simula fluxos de login com seu provedor OIDC para identificar rapidamente problemas de configuração. Essa ferramenta requer um cluster da versão 1.32 ou mais recente e é compatível apenas com o OIDC. Para mais informações, consulte o utilitário de diagnóstico do Serviço de Identidade do GKE.