Google Distributed Cloud 支持将 OpenID Connect (OIDC) 和轻量级目录访问协议 (LDAP) 用作身份验证机制，以便使用 GKE Identity Service 与集群的 Kubernetes API 服务器进行交互。GKE Identity Service 是一项身份验证服务，可让您将用于身份验证的现有身份解决方案部署到多个 GKE Enterprise 环境。用户可以使用现有的身份提供方，通过命令行（所有提供方）或 Google Cloud 控制台（仅限 OIDC）登录和使用 GKE 集群。
GKE Identity Service 适用于任何类型的 Bare Metal 集群：管理员、用户、混合或独立集群。您可以使用本地和可公开访问的身份提供商。例如，如果您的企业运行 Active Directory 联合身份验证服务 (ADFS) 服务器，则 ADFS 服务器可以充当您的 OpenID 提供方。您还可以使用 Okta 等可公开访问的身份提供方服务。身份提供方证书可以由知名公共证书授权机构 (CA) 或私有 CA 颁发。
如需简要了解 GKE Identity Service 的工作原理，请参阅 GKE Identity Service 简介。
如果您已在使用或想要使用 Google ID（而不是 OIDC 或 LDAP 提供方）登录 GKE 集群，我们建议您使用 Connect 网关进行身份验证。如需了解详情，请参阅使用 Connect 网关连接到已注册的集群。
准备工作
请注意，不支持无头系统。基于浏览器的身份验证流程用于提示用户同意并授权其用户账号。
要通过 Google Cloud 控制台进行身份验证，您要配置的每个集群都必须向项目舰队注册。
设置过程和选项
GKE Identity Service 支持使用以下协议的身份提供商：
OpenID Connect (OIDC)。我们针对常用的 OpenID 提供商（包括 Microsoft）提供了具体的设置说明，但您可以使用任何实施 OIDC 的提供商。
轻量级目录访问协议 (LDAP)借助 GKE Identity Service，您可以使用 LDAP 和 Active Directory 或 LDAP 服务器进行身份验证。
OIDC
按照为 GKE Identity Service 配置提供方中的说明，向您的 OIDC 提供方将 GKE Identity Service 注册为客户端。
选择以下集群配置选项之一：
按照为舰队级 GKE Identity Service 配置集群（预览版，Google Distributed Cloud 1.8 版及更高版本）中的说明在舰队级层配置集群。如果使用此选项，您的身份验证配置由 Google Cloud 集中管理。
按照使用 OIDC 为 GKE Identity Service 配置集群中的说明单独配置集群。由于舰队级设置是预览版功能，因此如果您使用的是早期版本的 Google Distributed Cloud 或者需要舰队级生命周期管理尚不支持的 GKE Identity Service 功能，则建议您在生产环境中使用此选项。
按照为 GKE Identity Service 设置用户访问权限中的说明，设置用户对集群的访问权限，包括基于角色的访问控制 (RBAC)。
LDAP
- 按照使用 LDAP 设置 GKE Identity Service 中的说明操作。
访问集群
设置 GKE Identity Service 后，用户可以使用命令行或 Google Cloud 控制台登录已配置的集群。
如需了解如何使用 OIDC 或 LDAP ID 登录已注册的集群，请参阅使用 GKE Identity Service 访问集群。
如需了解如何从 Google Cloud 控制台登录集群，请参阅使用 Google Cloud 控制台中的集群（仅限 OIDC）。