Panoramica di GKE Identity Service
GKE Identity Service è un servizio di autenticazione che si integra con le tue soluzioni di identità esistenti, consentendoti di utilizzarle in più ambienti GKE Enterprise. Gli utenti possono accedere e gestire i tuoi cluster GKE dalla riga di comando o dalla console Google Cloud , il tutto utilizzando il tuo provider di identità esistente.
Se preferisci utilizzare gli ID Google per accedere ai tuoi cluster GKE anziché un provider di identità, consulta Connettersi ai cluster registrati con il gateway Connect.
Provider di identità supportati
GKE Identity Service supporta i seguenti protocolli dei provider di identità per verificare e autenticare gli utenti quando tentano di accedere a risorse o servizi:
- OpenID Connect (OIDC): OIDC è un protocollo di autenticazione moderno e leggero basato sul framework di autorizzazione OAuth 2.0. Forniamo istruzioni specifiche per la configurazione di alcuni provider OpenID Connect di uso comune, tra cui Microsoft, ma puoi utilizzare qualsiasi provider che implementa OIDC.
- Security Assertion Markup Language (SAML): SAML è uno standard basato su XML per lo scambio di dati di autenticazione e autorizzazione tra le parti, principalmente tra un provider di identità (IdP) e un fornitore di servizi (SP). Puoi utilizzare GKE Identity Service per autenticarti utilizzando SAML.
- Lightweight Directory Access Protocol (LDAP): LDAP è un protocollo standardizzato maturo per accedere e gestire i servizi di informazioni sulla directory. Viene comunemente utilizzato per archiviare e recuperare informazioni sugli utenti, ad esempio nomi utente, password e iscrizioni ai gruppi. Puoi utilizzare il servizio GKE Identity per autenticarti utilizzando LDAP con Active Directory o un server LDAP.
Tipi di cluster supportati
| Protocollo | GDC (VMware) | GDC (bare metal) | GKE su AWS | GKE su Azure | Cluster collegati a EKS | GKE su Google Cloud |
|---|---|---|---|---|---|---|
| OIDC | ||||||
| LDAP | ||||||
| SAML |
Altri tipi di cluster collegati non sono supportati per l'utilizzo con GKE Identity Service.
Procedura di configurazione
La configurazione di GKE Identity Service per i tuoi cluster coinvolge i seguenti utenti e passaggi di processo:
- Configura i provider: l'amministratore della piattaforma registra GKE Identity Service come applicazione client con il provider di identità preferito e ottiene un ID client e una chiave segreta.
- Configura singoli cluster o configura il tuo parco risorse: l'amministratore del cluster configura i cluster per il tuo servizio di identità. Puoi configurare GKE Identity Service in base a ciascun cluster per i cluster GKE on-premise (sia VMware che bare metal), su AWS e su Azure. In alternativa, puoi scegliere di configurare il servizio GKE Identity per un parco risorse, ovvero un gruppo logico di cluster che ti consente di attivare le funzionalità e aggiornare la configurazione in questi cluster.
- Configura l'accesso utente: l'amministratore del cluster configura l'accesso di accesso utente per l'autenticazione ai cluster utilizzando l'approccio di accesso FQDN (consigliato) o accesso basato su file e, facoltativamente, configura il controllo dell'controllo dell'accesso basato sui ruoli (RBAC) di Kubernetes per gli utenti su questi cluster.