Google Distributed Cloud admite OpenID Connect (OIDC) y el Protocolo ligero de acceso a directorios (LDAP) como mecanismos de autenticación para interactuar con el servidor de la API de Kubernetes de un clúster mediante GKE Identity Service. GKE Identity Service es un servicio de autenticación que te permite usar tus soluciones de identidad existentes para la autenticación en varios entornos de GKE Enterprise. Los usuarios pueden acceder a tus clústeres de GKE y usarlos desde la línea de comandos (todos los proveedores) o desde la consola de Google Cloud (solo OIDC), todo mediante tu proveedor de identidad existente.
GKE Identity Service funciona con cualquier tipo de clúster de Bare Metal: administrador, usuario, híbrido o independiente. Puedes usar proveedores de identidad locales y de acceso público. Por ejemplo, si tu empresa ejecuta un servidor de Servicios de federación de Active Directory (ADFS), el servidor ADFS podría funcionar como tu proveedor de OpenID. También puedes usar servicios de proveedor de identidad de acceso público, como Okta. Los certificados del proveedor de identidad pueden ser emitidos por una autoridad certificadora pública (AC) conocida o por una CA privada.
Para obtener una descripción general de cómo funciona GKE Identity Service, consulta Introducción a GKE Identity Service.
Si ya usas o deseas usar los IDs de Google para acceder a los clústeres de GKE en lugar de un proveedor de OIDC o LDAP, te recomendamos que uses la puerta de enlace de Connect para la autenticación. Obtén más información en Conéctate a clústeres registrados con la puerta de enlace de Connect.
Antes de comenzar
Ten en cuenta que los sistemas sin interfaz gráfica no son compatibles. Se utiliza un flujo de autenticación basado en el navegador para solicitar el consentimiento de los usuarios y autorizar su cuenta de usuario.
Para autenticar a través de la consola de Google Cloud, cada clúster que quieras configurar debe estar registrado en la flota de tu proyecto.
Proceso y opciones de configuración
GKE Identity Service admite proveedores de identidad mediante los siguientes protocolos:
OpenID Connect (OIDC). Proporcionamos instrucciones específicas para la configuración de algunos proveedores populares de OpenID, incluido Microsoft, pero puedes usar cualquier proveedor que implemente OIDC.
Protocolo ligero de acceso a directorios (LDAP). Puedes usar GKE Identity Service para autenticar mediante LDAP con Active Directory o un servidor LDAP.
OIDC
Registra el servicio de identidad de GKE como un cliente con tu proveedor de OIDC según las instrucciones de Configura proveedores para el servicio de identidad de GKE.
Elige entre las siguientes opciones de configuración del clúster:
Configura tus clústeres a nivel de la flota siguiendo las instrucciones en Configura clústeres para GKE Identity Service a nivel de la flota (versión preliminar, Google Distributed Cloud 1.8 y versiones posteriores). Con esta opción, Google Cloud administra de forma centralizada tu configuración de autenticación.
Configura los clústeres de forma individual según las instrucciones en Configura clústeres para GKE Identity Service con OIDC. Debido a que la configuración a nivel de la flota es una función de vista previa, te recomendamos que la uses en entornos de producción, si usas una versión anterior de Google Distributed Cloud o si necesitas funciones de GKE Identity Service que aún no son compatibles con la administración del ciclo de vida a nivel de la flota.
Configura el acceso de usuario a tus clústeres, incluido el control de acceso basado en funciones (RBAC), según las instrucciones en Configura el acceso de usuarios para el servicio de identidad de GKE.
LDAP
- Sigue las instrucciones de Configura el servicio de identidad de GKE con LDAP.
Clústeres de acceso
Después de configurar GKE Identity Service, los usuarios pueden acceder a los clústeres configurados con la línea de comandos o la consola de Google Cloud.
Obtén información sobre cómo acceder a clústeres registrados con tu ID de OIDC o LDAP en Accede a los clústeres con el servicio de identidad de GKE.
Obtén información para acceder a los clústeres desde la consola de Google Cloud en Trabaja con clústeres desde la consola de Google Cloud (solo OIDC).