Google Distributed Cloud supporta OpenID Connect (OIDC) e Lightweight Directory Access Protocol (LDAP) come meccanismi di autenticazione per interagire con il server API Kubernetes di un cluster utilizzando GKE Identity Service. GKE Identity Service è un servizio di autenticazione che ti consente di portare le tue soluzioni di identità esistenti per l'autenticazione in più ambienti GKE Enterprise. Gli utenti possono accedere ai cluster GKE e utilizzarli dalla riga di comando (tutti i provider) o dalla console Google Cloud (solo OIDC), il tutto utilizzando il tuo provider di identità esistente.
GKE Identity Service funziona con qualsiasi tipo di cluster bare metal: amministratore, utente, ibrido o autonomo. Puoi utilizzare provider di identità sia on-premise che raggiungibili pubblicamente. Ad esempio, se la tua azienda esegue un server ADFS (Active Directory Federation Services), il server ADFS potrebbe fungere da provider OpenID. Potresti anche usare servizi di provider di identità raggiungibili pubblicamente come Okta. I certificati del provider di identità possono essere emessi da un'autorità di certificazione pubblica nota (CA) o da una CA privata.
Per una panoramica del funzionamento di GKE Identity Service, consulta Introduzione a GKE Identity Service.
Se già utilizzi o vuoi utilizzare ID Google per accedere ai tuoi cluster GKE anziché a un provider OIDC o LDAP, ti consigliamo di utilizzare il gateway Connect per l'autenticazione. Per saperne di più, consulta Connessione ai cluster registrati con il gateway Connect.
Prima di iniziare
Tieni presente che i sistemi headless non sono supportati. Viene utilizzato un flusso di autenticazione basato su browser per richiedere il consenso agli utenti e autorizzare il loro account utente.
Per eseguire l'autenticazione tramite la console Google Cloud, ogni cluster che vuoi configurare deve essere registrato nel tuo parco progetti.
Procedura di configurazione e opzioni
GKE Identity Service supporta i provider di identità che utilizzano i seguenti protocolli:
OpenID Connect (OIDC). Forniamo istruzioni specifiche per la configurazione di alcuni provider OpenID popolari, incluso Microsoft, ma puoi utilizzare qualsiasi provider che implementi OIDC.
LDAP (Lightweight Directory Access Protocol). Puoi utilizzare GKE Identity Service per eseguire l'autenticazione tramite LDAP con Active Directory o un server LDAP.
OIDC
Registra il servizio di identità GKE come client con il tuo provider OIDC seguendo le istruzioni in Configurare i provider per il servizio di identità GKE.
Scegli tra le seguenti opzioni di configurazione del cluster:
Configura i cluster a livello di parco risorse seguendo le istruzioni in Configurare i cluster per GKE Identity Service a livello di parco risorse (anteprima, Google Distributed Cloud versione 1.8 e successive). Con questa opzione, la configurazione dell'autenticazione viene gestita centralmente da Google Cloud.
Configura i tuoi cluster singolarmente seguendo le istruzioni in Configurare i cluster per GKE Identity Service con OIDC. Poiché la configurazione a livello di parco risorse è una funzionalità in anteprima, ti consigliamo di utilizzare questa opzione negli ambienti di produzione, se usi una versione precedente di Google Distributed Cloud o se hai bisogno di funzionalità di GKE Identity Service non ancora supportate con la gestione del ciclo di vita a livello di parco risorse.
Configura l'accesso degli utenti ai cluster, incluso controllo dell'accesso basato su ruoli (RBAC), seguendo le istruzioni in Configurare l'accesso degli utenti per GKE Identity Service.
LDAP
- Segui le istruzioni in Configurare GKE Identity Service con LDAP.
Accedi ai cluster
Dopo aver configurato GKE Identity Service, gli utenti possono accedere ai cluster configurati utilizzando la riga di comando o la console Google Cloud.
Scopri come accedere ai cluster registrati con il tuo ID OIDC o LDAP in Accesso ai cluster tramite GKE Identity Service.
Scopri come accedere ai cluster dalla console Google Cloud in Utilizzare i cluster dalla console Google Cloud (solo OIDC).