Gerenciar identidade com o serviço de identidade do GKE

O GKE em Bare Metal é compatível com o OpenID Connect (OIDC) e o Protocolo leve de acesso a diretórios (LDAP, na sigla em inglês) como mecanismos de autenticação para interagir com o servidor da API Kubernetes de um cluster usando o serviço de identidade do GKE. O serviço de identidade do GKE é um serviço de autenticação que permite usar suas soluções de identidade atuais para autenticação em vários ambientes do GKE Enterprise. Os usuários podem fazer login e usar os clusters do GKE na linha de comando (todos os provedores) ou no console do Google Cloud (somente OIDC), tudo isso usando seu provedor de identidade atual.

O serviço de identidade do GKE funciona com qualquer tipo de cluster bare metal: administrador, usuário, híbrido ou autônomo. É possível usar provedores de identidade locais e acessíveis publicamente. Por exemplo, se a empresa executar um servidor de Serviços de Federação do Active Directory (ADFS, na sigla em inglês), o servidor ADFS poderá servir como seu provedor OpenID. Também é possível usar serviços de provedor de identidade de acesso público, como o Okta. Os certificados de provedor de identidade podem ser emitidos por uma autoridade de certificação (CA, na sigla em inglês) pública conhecida ou por uma CA particular.

Para uma visão geral de como o serviço de identidade do GKE funciona, consulte Introdução ao serviço de identidade do GKE.

Se você já usa ou quer usar IDs do Google para fazer login nos clusters do GKE em vez de um provedor OIDC ou LDAP, recomendamos usar o gateway do Connect para autenticação. Saiba mais em Como se conectar a clusters registrados com o gateway do Connect.

Antes de começar

  • Os sistemas headless não são compatíveis. Um fluxo de autenticação baseado em navegador é usado para solicitar o consentimento dos usuários e autorizar a conta de usuário.

  • Para autenticar por meio do console do Google Cloud, cada cluster que você quer configurar precisa ser registrado na sua frota de projeto.

Processo de configuração e opções

O serviço de identidade do GKE oferece suporte a provedores de identidade que usam os seguintes protocolos:

  • OpenID Connect (OIDC). Fornecemos instruções específicas de configuração para alguns provedores de OpenID conhecidos, incluindo a Microsoft, mas é possível usar qualquer provedor que implemente o OIDC.

  • Protocolo leve de acesso a diretórios (LDAP) Use o serviço de identidade do GKE para autenticar usando LDAP com o Active Directory ou um servidor LDAP.

OIDC

  1. Registre o serviço de identidade do GKE como um cliente no seu provedor OIDC seguindo as instruções em Como configurar provedores para o serviço de identidade do GKE.

  2. Escolha uma destas opções de configuração de cluster:

    • Configure os clusters no nível da frota seguindo as instruções em Como configurar clusters para o serviço de identidade do GKE no nível da frota (prévia, GDCV para Bare Metal versão 1.8 e mais recentes). Com essa opção, sua configuração de autenticação é gerenciada centralmente pelo Google Cloud.

    • Configure os clusters individualmente seguindo as instruções em Como configurar clusters para o serviço de identidade do GKE com o OIDC. Como a configuração no nível da frota é um recurso de pré-lançamento, use essa opção em ambientes de produção, se você estiver usando uma versão anterior do GKE em Bare Metal ou se precisar de recursos do serviço de identidade do GKE que ainda não são compatíveis com o gerenciamento de ciclo de vida no nível da frota.

  3. Configure o acesso do usuário aos clusters, incluindo o controle de acesso baseado em papéis (RBAC, na sigla em inglês), seguindo as instruções em Como configurar o acesso do usuário para o GKE Identity Service.

LDAP

Acessar clusters

Depois que o serviço de identidade do GKE for configurado, os usuários poderão fazer login nos clusters configurados usando a linha de comando ou o console do Google Cloud.