GKE 身分認證服務可讓您使用現有的識別資訊提供者，向 Google Distributed Cloud 叢集的 Kubernetes API 伺服器進行驗證。支援在地端部署環境執行的 OpenID Connect (OIDC) 和輕量型目錄存取通訊協定 (LDAP) 供應商，例如 Active Directory 同盟服務 (ADFS) 伺服器，或可公開存取的供應商，例如 Okta。供應商憑證可以來自公開或私人憑證授權單位 (CA)。您可以透過指令列使用任何提供者登入叢集，或透過Google Cloud 控制台僅使用 OIDC 登入。
如要概略瞭解 GKE 身分認證服務的運作方式，請參閱「GKE 身分認證服務簡介」。如要使用 Google ID 登入 GKE 叢集，而非 OIDC 或 LDAP 供應商，建議使用 Connect 閘道。詳情請參閱「使用 Connect 閘道連線至已註冊的叢集」。
GKE 身分認證服務如何處理要求
GKE 身分認證服務會以 Pod 的形式，在叢集控制層內運作。在叢集生命週期階段，API 伺服器會動態設定為使用叢集內 GKE 身分認證服務，做為所有傳入要求的驗證 Webhook。API 伺服器無法使用叢集內 DNS。因此，API 伺服器會設為以 REST 資源的形式存取 GKE 身分認證服務。在稽核記錄中，這項叫用會記錄為 system:anonymous 使用者對服務或 Proxy 資源提出的 CREATE 要求。
設定程序和選項
設定 GKE 身分認證服務的步驟取決於識別資訊提供者。如果是 OIDC 供應商，您需要向供應商註冊 GKE 身分認證服務、在機群層級或個別設定叢集，然後設定使用者存取權。如果是 LDAP 供應商，請按照單一設定指南操作。
OIDC
按照「設定 GKE 身分認證服務的供應商」一文的操作說明，向 OIDC 供應商註冊 GKE 身分認證服務，做為用戶端。
選擇下列其中一項叢集設定選項：
- 請按照「設定叢集以使用機群層級 GKE 身分認證服務」(預先發布版，Google Distributed Cloud 1.8 以上版本) 的操作說明，在機群層級設定叢集。如果選取這個選項，驗證設定會由 Google Cloud集中管理。
- 請按照「使用 OIDC 設定 GKE 身分認證服務的叢集」一文中的操作說明，個別設定叢集。機群層級設定是預先發布版功能，因此如果您使用舊版 Google Distributed Cloud，或需要機群層級生命週期管理尚未支援的 GKE 身分認證服務功能，建議在正式環境中使用這個選項。
按照「設定 GKE 身分認證服務的使用者存取權」一文的操作說明，設定叢集的使用者存取權，包括角色式存取控管 (RBAC)。
LDAP
- 請按照「使用 LDAP 設定 GKE 身分認證服務」中的操作說明進行。
存取叢集
設定 GKE 身分認證服務後，使用者可以透過指令列或 Google Cloud 控制台，登入已設定的叢集。
- 如要瞭解如何使用 OIDC 或 LDAP ID 登入已註冊的叢集，請參閱「使用 GKE 身分認證服務存取叢集」。
- 如要瞭解如何從 Google Cloud 控制台登入叢集，請參閱「從 Google Cloud 控制台登入叢集」(僅限 OIDC)。
排解登入流程問題
如要排解直接在 GKE Identity Service 伺服器上使用完整網域名稱 (FQDN) 驗證的登入流程問題，可以使用 GKE Identity Service 診斷公用程式。診斷公用程式會模擬 OIDC 供應商的登入流程，快速找出設定問題。這項工具需要 1.32 以上版本的叢集，且僅支援 OIDC。詳情請參閱「GKE 身分認證服務診斷公用程式」。