Gestisci l'identità con GKE Identity Service

GKE su Bare Metal supporta OpenID Connect (OIDC) e Lightweight Directory Access Protocol (LDAP) come meccanismi di autenticazione per l'interazione con il server API Kubernetes di un cluster tramite GKE Identity Service. GKE Identity Service è un servizio di autenticazione che consente di utilizzare le soluzioni di identità esistenti per l'autenticazione in più ambienti GKE Enterprise. Gli utenti possono accedere e utilizzare i tuoi cluster GKE dalla riga di comando (tutti i provider) o dalla console Google Cloud (solo OIDC), il tutto utilizzando il tuo provider di identità esistente.

GKE Identity Service funziona con qualsiasi tipo di cluster bare metal: amministratore, utente, ibrido o autonomo. Puoi utilizzare provider di identità sia on-premise che pubblicamente raggiungibili. Ad esempio, se la tua azienda esegue un server ADFS (Active Directory Federation Services), il server ADFS potrebbe fungere da provider OpenID. Potresti anche utilizzare servizi di provider di identità raggiungibili pubblicamente, come Okta. I certificati del provider di identità possono essere emessi da un'autorità di certificazione pubblica (CA) nota o da una CA privata.

Per una panoramica del funzionamento di GKE Identity Service, consulta Introduzione a GKE Identity Service.

Se usi già o vuoi utilizzare gli ID Google per accedere ai tuoi cluster GKE anziché a un provider OIDC o LDAP, ti consigliamo di utilizzare Connect Gateway per l'autenticazione. Per saperne di più, consulta Connessione ai cluster registrati con il gateway Connect.

Prima di iniziare

  • Tieni presente che i sistemi headless non sono supportati. Un flusso di autenticazione basato su browser viene usato per richiedere agli utenti il consenso e autorizzare i loro account.

  • Per eseguire l'autenticazione tramite la console Google Cloud, ogni cluster che vuoi configurare deve essere registrato nel parco risorse di progetti.

Procedura e opzioni di configurazione

OIDC

  1. Registra il servizio di identità GKE come client con il tuo provider OIDC seguendo le istruzioni riportate in Configurare i provider per il servizio di identità GKE.

  2. Scegli tra le seguenti opzioni di configurazione del cluster:

    • Configura i cluster a livello di parco risorse seguendo le istruzioni in Configurazione dei cluster per il servizio di identità GKE a livello di parco risorse (anteprima, GKE su Bare Metal versione 1.8 e successive). Con questa opzione, la configurazione dell'autenticazione è gestita a livello centrale da Google Cloud.
    • Configura i cluster singolarmente seguendo le istruzioni in Configurazione dei cluster per GKE Identity Service con OIDC. Poiché la configurazione a livello di parco risorse è una funzionalità in anteprima, ti consigliamo di utilizzare questa opzione negli ambienti di produzione, se utilizzi una versione precedente di GKE su Bare Metal o se hai bisogno di funzionalità del servizio GKE Identity che non sono ancora supportate con la gestione del ciclo di vita a livello di parco risorse.

  3. Configura l'accesso degli utenti ai cluster, incluso controllo dell'accesso basato sui ruoli (RBAC), seguendo le istruzioni riportate in Configurare l'accesso degli utenti per GKE Identity Service.

LDAP

Accedi ai cluster

Dopo aver configurato GKE Identity Service, gli utenti possono accedere ai cluster configurati utilizzando la riga di comando o la console Google Cloud.