Utilizza provider di identità esterni per l'autenticazione su GKE

Standard

---

Questa pagina spiega come configurare un provider di identità esterno per autenticarsi nei cluster Google Kubernetes Engine (GKE).

Panoramica

Identity Service for GKE estende le tue soluzioni di identità esistenti per l'autenticazione ai tuoi cluster GKE. Con supporto per OpenID Connect (OIDC), puoi gestire l'accesso ai cluster Kubernetes utilizzando procedure nella tua organizzazione per creare, abilitare e disabilitare le procedure . Identity Service per GKE è limitato ai provider di identità OIDC.

Attenzione: prima di utilizzare Identity Service per GKE, valuta se Federazione delle identità per la forza lavoro oppure La Federazione delle identità per i carichi di lavoro funzionerà per il tuo caso d'uso. Con la federazione delle identità per la forza lavoro e per i carichi di lavoro non è necessario configurare separatamente ogni cluster GKE. La federazione delle identità per la forza lavoro e la federazione delle identità per i carichi di lavoro non richiedono componenti aggiuntivi in ogni cluster.

Prima di iniziare

• Prima di leggere questa pagina, assicurati di acquisire familiarità con i seguenti concetti relativi all'autenticazione e a OpenID:

  • OAuth 2.0
  • OpenID Connect
  • ambiti
  • rivendicazioni

• I sistemi headless non sono supportati. Viene utilizzato un flusso di autenticazione basato su browser per richiedere il consenso e autorizzare il tuo account utente.

Prima di iniziare, assicurati di aver eseguito le seguenti attività:

• Attiva l'API Google Kubernetes Engine.
Attiva l'API Google Kubernetes Engine
• Se vuoi utilizzare Google Cloud CLI per questa attività, installa e poi inizializza gcloud CLI. Se hai già installato gcloud CLI, scarica la versione più recente eseguendo gcloud components update.
  Nota: per gcloud CLI esistente di installazione, assicurati di impostare compute/region e compute/zone proprietà. Se imposti località predefinite, puoi evitare errori in gcloud CLI come i seguenti: One of [--zone, --region] must be supplied: Please specify location.

Chi utilizza Identity Service for GKE

Le attività descritte in questo documento si applicano a te se sei:

• Amministratori dei cluster: crea uno o più cluster utente e crea file di configurazione dell'autenticazione per gli sviluppatori che utilizzano i cluster.

• Sviluppatori: eseguono carichi di lavoro su uno o più cluster e utilizza OIDC per l'autenticazione.

Come funziona

Per configurare e utilizzare Identity Service per GKE nel tuo cluster GKE, gli amministratori del cluster devono svolgere i seguenti passaggi:

1. Abilita Identity Service per GKE su un cluster.
2. Configura Identity Service for GKE.
3. Crea un criterio RBAC per il cluster.

Dopo che gli amministratori del cluster hanno configurato Identity Service per GKE, gli sviluppatori possono accedere e autenticarsi nel cluster.

Abilita Identity Service for GKE su un cluster

Questa sezione è rivolta agli amministratori del cluster.

Per impostazione predefinita, Identity and Access Management (IAM) è configurato come provider di identità per l'autenticazione basata sul cluster. Se vuoi utilizzare OIDC con provider di identità di terze parti, puoi attivare Identity Service per GKE su cluster nuovi o esistenti utilizzando il client CLI Google Cloud.

Nota: affinché Identity Service for GKE funzioni correttamente, GKE esegue il deployment dei pod nei nodi con valori Autorizzazioni RBAC, ad esempio la capacità di impersonare utenti e gruppi. Queste autorizzazioni sono necessario per Identity Service per GKE al fine di facilitare la convalida dell'identità. e comunicazione in base alla configurazione.

Abilita Identity Service for GKE in un nuovo cluster

Per creare un cluster con Identity Service for GKE abilitato, esegui seguente comando:

gcloud container clusters create CLUSTER_NAME \
    --enable-identity-service

Sostituisci CLUSTER_NAME con il nome del nuovo cluster.

Abilita Identity Service for GKE su un cluster esistente

Per abilitare Identity Service per GKE in un cluster esistente, esegui il seguente comando:

gcloud container clusters update CLUSTER_NAME \
    --enable-identity-service

Sostituisci CLUSTER_NAME con il nome del cluster.

Oggetti Kubernetes creati da Identity Service for GKE

La seguente tabella descrive gli oggetti Kubernetes creati al momento dell'abilitazione Identity Service for GKE su un cluster:

Oggetti Kubernetes
anthos-identity-service	Namespace Utilizzato per i deployment di Identity Service for GKE.
kube-public	Namespace Utilizzato per il file di configurazione del client default.
gke-oidc-envoy	LoadBalancer L'endpoint per le richieste OIDC. Esterno per impostazione predefinita. Se creato in un cluster privato o in un cluster con un criterio di rete rigoroso, l'endpoint è interno al Virtual Private Cloud del cluster. Creato nello spazio dei nomi anthos-identity-service.
gke-oidc-service	ClusterIP Facilita la comunicazione tra il deployment gke-oidc-envoy e il deployment gke-oidc-service. Creato nello spazio dei nomi anthos-identity-service.
gke-oidc-envoy	Deployment Esegue un proxy esposto a gke-oidc-envoy LoadBalancer. Comunica con gke-oidc-service per convalidare i token di identità. Agisce da proxy per il server API Kubernetes e ruba l'identità degli utenti quando inoltra le richieste al server API. Creato nello spazio dei nomi anthos-identity-service.
gke-oidc-service	Deployment Convalida i token di identità e fornisce un webhook di ammissione convalidante per le risorse ClientConfig. Creato nello spazio dei nomi anthos-identity-service.
gke-oidc-operator	Deployment Riconcilia la configurazione del client e il bilanciatore del carico gke-oidc-envoy. Creato nello spazio dei nomi anthos-identity-service.
gke-oidc-certs	Secret Contiene l'autorità di certificazione (CA) del cluster e i certificati TLS per LoadBalancer. Creato nello spazio dei nomi anthos-identity-service
default	ClientConfig CRD Contiene parametri OIDC come metodo di autenticazione preferito, identità configurazione del provider e mappature delle attestazioni di utenti e gruppi. Utilizzata per la convalida del token di identità. Utilizzato dagli amministratori del cluster per configurare le impostazioni OIDC prima della distribuzione agli sviluppatori. Creato nello spazio dei nomi kube-public

Configura Identity Service per GKE

Questa sezione è rivolta agli amministratori del cluster.

Puoi configurare i parametri di Identity Service per GKE scaricando e Modifica di default ClientConfig.

1. Scarica ClientConfig default:

   kubectl get clientconfig default -n kube-public -o yaml > client-config.yaml
   

2. Aggiorna la sezione spec.authentication con le impostazioni che preferisci:

   apiVersion: authentication.gke.io/v2alpha1
   kind: ClientConfig
   metadata:
     name: default
     namespace: kube-public
   spec:
     name: cluster-name
     server: https://192.168.0.1:6443
     authentication:
     - name: oidc
       oidc:
         clientID: CLIENT_ID
         certificateAuthorityData: OIDC_PROVIDER_CERTIFICATE
         extraParams: EXTRA_PARAMS
         issuerURI:  ISSUER_URI
         cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
         kubectlRedirectURI: KUBECTL_REDIRECT_URL
         scopes: SCOPES
         userClaim: USER
         groupsClaim: GROUPS
         userPrefix: USER_PREFIX
         groupPrefix: GROUP_PREFIX
   

   Sostituisci quanto segue:

   • CLIENT_ID: l'ID dell'applicazione client che effettua richieste di autenticazione al provider OIDC.
   • OIDC_PROVIDER_CERTIFICATE: (facoltativo) Certificato PEEM per il provider OIDC. Questo campo può essere utile se il tuo provider OIDC utilizza certificati autofirmati. Identity Service for GKE include un insieme di root pubblici per impostazione predefinita.
   • EXTRA_PARAMS: parametri coppia chiave-valore aggiuntivi da inviare al provider OIDC.
     • Per autorizzare i gruppi, utilizza resource=token-groups-claim.
     • Per autenticare Microsoft Azure e Okta, utilizza prompt=consent.
     • Per Cloud Identity, utilizza prompt=consent,access_type=offline.
   • ISSUER_URI: l'URL per inviare richieste di autorizzazione OIDC, ad esempio https://example.com/adfs. Il server API Kubernetes utilizza questo URL per scoprire le chiavi pubbliche per la verifica dei token. L'URI deve utilizzano HTTPS. Per Cloud Identity, utilizza https://accounts.google.com.
   • KUBECTL_REDIRECT_URL: l'URL di reindirizzamento che kubectl oidc login utilizza per l'autorizzazione. In genere è nel formato http://localhost:PORT/callback, dove PORT è qualsiasi porta superiore a 1024 che sarà disponibile sulle workstation degli sviluppatori, ad esempio http://localhost:10000/callback. Devi registrare l'URL con il tuo Provider OIDC come URL di reindirizzamento autorizzato per l'applicazione client. Se utilizzi Google Identity come provider OIDC, leggi Imposta un URI di reindirizzamento per istruzioni.
   • SCOPES: gli ambiti aggiuntivi da inviare all'istanza provider OIDC.
     • Microsoft Azure e Okta richiedono l'ambito offline_access.
     • Per Cloud Identity, utilizza openid, email per ottenere token ID che contengono l'indirizzo email nel reclamo email.
   • USER: la rivendicazione dell'utente dal token di identità.
   • GROUPS: il claim di gruppo dal token di identità.
   • USER_PREFIX: prefisso anteposto alle attestazioni degli utenti per evitare conflitti con i nomi esistenti. Per impostazione predefinita, un prefisso dell'emittente viene aggiunto al userID assegnato al server API Kubernetes (a meno che la rivendicazione utente non sia email). L'identificatore utente risultante è ISSUER_URI#USER. Ti consigliamo di utilizzare un prefisso, ma puoi disattivarlo impostando USER_PREFIX su -.
   • GROUP_PREFIX: prefisso anteposto alle attestazioni dei gruppi per evitare conflitti con i nomi esistenti. Ad esempio, se hai due gruppi denominati foobar, aggiungi un prefisso gid-. Il gruppo risultante è gid-foobar.

3. Applica la configurazione aggiornata:

   kubectl apply -f client-config.yaml
   

   Dopo aver applicato questa configurazione, Identity Service for GKE viene eseguito all'interno del tuo cluster e gestisce le richieste dietro il carico gke-oidc-envoy con il bilanciatore del carico di rete passthrough esterno regionale. L'indirizzo IP nel campo spec.server deve essere l'indirizzo IP del bilanciatore del carico. Se modifichi il campo spec.server, kubectl potrebbero non riuscire.

4. Crea una copia del file di configurazione client-config.yaml:

   cp client-config.yaml login-config.yaml
   

5. Aggiorna il file di configurazione login-config.yaml con clientSecret nella sezione spec.authentication.oidc.

   clientSecret: CLIENT_SECRET
   

   Sostituisci CLIENT_SECRET con il secret condiviso tra l'applicazione client OIDC e il provider OIDC.

6. Distribuisci il file login-config.yaml aggiornato ai tuoi sviluppatori.

Configura Identity Service per GKE su cluster con criteri rigorosi

Per configurare Identity Service per GKE in modo che funzioni come previsto nei cluster con criteri di rete rigidi, come i cluster privati, procedi nel seguente modo:

1. Aggiungi una regola firewall per la porta TCP 15000 per consentire al tuo control plane di comunicare con il webhook di convalida ClientConfig.
2. Se gke-oidc-envoy viene creato come bilanciatore del carico interno, espanderla sul tuo VPC.
3. Se hai criteri che negano il traffico all'interno del cluster, aggiungi una regola firewall per la porta TCP 8443 per consentire al deployment gke-oidc-envoy di comunicare con il deployment gke-oidc-service.

Identity Service per GKE versione 0.2.20 e successive non utilizza Porta TCP 15000. Se la versione del componente è 0.2.20 o successiva, non è necessario aggiungere una regola del firewall per la porta 15000. Per controllare esegui questo comando:

kubectl describe deployment gke-oidc-envoy -n anthos-identity-service \
    | grep "components.gke.io/component-name: gke-oidc" -A1

Aggiungere proprietà personalizzate al bilanciatore del carico

Dopo aver configurato Identity Service for GKE, puoi aggiungere proprietà e annotazioni personalizzate, ad esempio un indirizzo IP statico, al bilanciatore del carico gke-oidc-envoy. Per modificare il servizio gke-oidc-envoy, esegui questo comando:

kubectl edit service gke-oidc-envoy -n anthos-identity-service

Consulta Parametri del servizio LoadBalancer per ulteriori informazioni sulla configurazione del bilanciamento del carico TCP/UDP per GKE.

Crea un criterio RBAC per il cluster

Questa sezione è rivolta agli amministratori del cluster.

Gli amministratori possono utilizzare Controllo controllo dell'accesso basato su ruoli (RBAC) di Kubernetes per concedere l'accesso a utenti del cluster autenticati. Per configurare RBAC per devi concedere ruoli RBAC a ogni sviluppatore. Per concedere accesso alle risorse in un determinato spazio dei nomi, crea un ruolo e un RoleBinding. Per concedere l'accesso alle risorse di un intero cluster, crea un ClusterRole e un ClusterRoleBinding.

Ad esempio, prendiamo in considerazione un utente che deve visualizzare tutti gli oggetti Secret nel cluster. I passaggi che seguono concedono a questo utente i ruoli RBAC richiesti.

1. Salva il seguente manifest ClusterRole come secret-viewer-cluster-role.yaml. Una persona a cui è stato concesso questo ruolo può recuperare, guardare ed elencare qualsiasi secret nel cluster.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: secret-viewer
   rules:
   - apiGroups: [""]
     # The resource type for which access is granted
     resources: ["secrets"]
     # The permissions granted by the ClusterRole
     verbs: ["get", "watch", "list"]
   

2. Applica il manifest ClusterRole:

   kubectl apply -f secret-viewer-cluster-role.yaml
   

3. Salva il seguente manifest ClusterRoleBinding come secret-viewer-cluster-role-binding.yaml. La definizione del binding assegna il ruolo secret-viewer a un nome utente definito nel file di configurazione del client.

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name:  people-who-view-secrets
   subjects:
   - kind: User
     name: ISSUER_URI#USER
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: ClusterRole
     name: secret-viewer
     apiGroup: rbac.authorization.k8s.io
   

   Sostituisci quanto segue:

   • ISSUER_URI: l'URI dell'emittente da spec.authentication.oidc.issuerURI nel file di configurazione del client.
   • USER: l'identificatore utente nel token sotto il nome della rivendicazione configurato in spec.authentication.oidc.userClaim nel file di configurazione del client.

4. Applica il manifest ClusterRoleBinding:

   kubectl apply -f secret-viewer-cluster-role-binding.yaml
   

Accedi ed esegui l'autenticazione nel cluster

Questa sezione è rivolta agli sviluppatori.

Quando ricevi il file di configurazione OIDC dall'amministratore, puoi autenticarti nei tuoi cluster.

1. Scarica il file login-config.yaml fornito dall'amministratore.

2. Installa l'SDK Google Cloud CLI, che offre un'istanza OIDC separata di strumento di authoring. Per installarlo, esegui il seguente comando:

   gcloud components install kubectl-oidc
   

3. Esegui l'autenticazione nel cluster:

   kubectl oidc login --cluster=CLUSTER_NAME --login-config=login-config.yaml
   

   Si apre un browser web per completare il processo di autenticazione.

4. Dopo l'autenticazione, puoi eseguire i comandi kubectl, ad esempio:

   kubectl get pods
   

Disabilitare Identity Service per GKE

Questa sezione è rivolta agli amministratori di cluster.

Puoi disabilitare Identity Service per GKE con gcloud CLI. Per disabilitare Identity Service per GKE, esegui il comando seguente:

gcloud container clusters update CLUSTER_NAME \
    --no-enable-identity-service

Passaggi successivi

• Scopri di più sul deployment dei carichi di lavoro.
• Scopri di più su OpenID Connect.
• Scopri di più su ambiti e rivendicazioni.