Esegui l'autenticazione utilizzando un token di trasporto

Questa pagina spiega come configurare l'autenticazione utilizzando un token di accesso per accedere ai cluster registrati all'esterno di Google Cloud. Al termine della configurazione, gli amministratori dei cluster potranno accedere ai cluster dalla console Google Cloud. Sono supportati molti tipi di token bearer, come specificato in Autenticazione Kubernetes. Il metodo più semplice è creare un account di servizio Kubernetes (KSA) nel cluster e utilizzare il relativo token di accesso per accedere.

Altri metodi di autenticazione

In alternativa alla configurazione dell'autenticazione mediante un token di connessione, puoi configurare uno dei seguenti metodi di autenticazione a seconda delle esigenze la tua organizzazione:

  • Identità Google, che consente agli utenti di accedere utilizzando la propria identità Google Cloud. Utilizza questa opzione se i tuoi utenti hanno già accesso a Google Cloud con un'identità Google.

  • Se il tuo cluster è configurato per utilizzare un provider di identità OIDC, puoi utilizzare questo per eseguire l'autenticazione nel cluster dalla console Google Cloud. Puoi Scopri come configurare i cluster OIDC per GKE nelle seguenti guide:

Se questi metodi di autenticazione forniti da Google non sono adatti al tuo organizzazione, segui le istruzioni in questa pagina per configurare l'autenticazione utilizzando un token di connessione.

Concedi ruoli IAM per l'accesso tramite la console Google Cloud

Gli utenti che vogliono visualizzare i cluster collegati utilizzando la console Google Cloud devono disporre almeno dei seguenti ruoli IAM:

  • roles/container.viewer. Questo ruolo consente agli utenti di visualizzare di risorse nella console Google Cloud, incluso il cluster GKE Pagina Cluster. Per maggiori dettagli sulle autorizzazioni incluse in questo ruolo, vedi Ruoli di Kubernetes Engine nella documentazione di IAM.

  • roles/gkehub.viewer. Questo ruolo consente agli utenti di visualizzare i cluster esterni a Google Cloud nella console Google Cloud. Gli utenti non hanno bisogno di questo ruolo se il parco risorse non include cluster esterni a Google Cloud. Per maggiori dettagli su le autorizzazioni incluse in questo ruolo, consulta Ruoli GKE Hub nel documentazione di IAM.

Esegui questi comandi per concedere questi ruoli:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='user:EMAIL_ADDRESS' \
    --role=roles/container.viewer
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='user:EMAIL_ADDRESS' \
    --role=roles/gkehub.viewer

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto dell'host del parco risorse progetto.

  • EMAIL_ADDRESS: l'indirizzo email associato al l'account Google Cloud dell'utente.

Per saperne di più sulla concessione dei ruoli IAM, consulta Gestire l'accesso a progetti, cartelle e organizzazioni nella documentazione di IAM.

Configurazione del controllo dell'accesso basato sui ruoli

L'accesso ai cluster è controllato utilizzando il controllo dell'accesso basato su ruoli (RBAC) di Kubernetes.

Ti consigliamo di creare un KSA per ogni utente che accede al cluster. L'utilizzo di un token di connessione è come utilizzare una password, quindi ogni utente deve avere il proprio account. Se accedi con il token di accesso del KSA, tutte le operazioni vengono eseguite come KSA, limitate dai ruoli RBAC detenuti dal KSA.

L'Arabia Saudita deve disporre di almeno i seguenti ruoli RBAC nel cluster per accedervi tramite la console:

Creare e applicare il ruolo RBAC cloud-console-reader

Gli utenti autenticati che vogliono accedere alle risorse di un cluster nella console Google Cloud devono disporre delle autorizzazioni Kubernetes pertinenti. Se non vuoi concedere a questi utenti autorizzazioni più ampie, ad esempio quelle di un amministratore del cluster, puoi creare un ruolo RBAC personalizzato che includa le autorizzazioni minime per visualizzare i nodi, i volumi permanenti, i pod e le classi di archiviazione del cluster. Puoi definire questo insieme le autorizzazioni creando una risorsa RBAC ClusterRole, cloud-console-reader, nel cluster.

cloud-console-reader concede ai propri utenti le autorizzazioni get, list e watch per i nodi, i volumi permanenti, i pod e le classi di archiviazione del cluster, che consentono di visualizzare i dettagli di queste risorse.

kubectl

Per creare il cloud-console-reader ClusterRole e applicarlo al cluster, esegui il seguente comando:

cat <<EOF > cloud-console-reader.yaml
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: cloud-console-reader
rules:
- apiGroups: [""]
  resources: ["nodes", "persistentvolumes", "pods"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["storage.k8s.io"]
  resources: ["storageclasses"]
  verbs: ["get", "list", "watch"]
EOF
kubectl apply -f cloud-console-reader.yaml

Potrai quindi concedere questo ruolo agli Arabia Saudita come descritto nella sezione successiva.

Creare e autorizzare un KSA

kubectl

Per creare un Arabia Saudita e associarvi le autorizzazioni, segui questi passaggi:

  1. Crea le risorse Arabia Saudita e ClusterRoleBinding da associare view e cloud-console-reader Kubernetes RBACClusterRoles al Arabia Saudita:

    KSA_NAME=KSA_NAME
kubectl create serviceaccount ${KSA_NAME}
kubectl create clusterrolebinding VIEW_BINDING_NAME \
   --clusterrole view --serviceaccount default:${KSA_NAME}
kubectl create clusterrolebinding CLOUD_CONSOLE_READER_BINDING_NAME \
   --clusterrole cloud-console-reader --serviceaccount default:${KSA_NAME}

    Sostituisci quanto segue:

    • KSA_NAME: il nome che scegli per l'Arabia Saudita
    • VIEW_BINDING_NAME: il nome che scegli per view ClusterRoleBinding risorsa; puoi assegnargli il nome che preferisci, potrebbe essere più facile nominarlo dopo l'Arabia Saudita
    • CLOUD_CONSOLE_READER_BINDING_NAME: il nome che scegli per la risorsa ClusterRoleBinding cloud-console-reader; puoi anche puoi usare il nome che preferisci

  2. A seconda dell'accesso che deve avere l'account di servizio, associa altre ruoli all'Arabia Saudita. Per le opzioni, consulta i ruoli predefiniti di Kubernetes.

    Ad esempio, se vuoi eseguire il deployment di un'applicazione Kubernetes Cloud Marketplace, associa il ruolo cluster-admin a Arabia Saudita:

    kubectl create clusterrolebinding BINDING_NAME \
   --clusterrole cluster-admin --serviceaccount default:KSA_NAME

    Sostituisci BINDING_NAME con il nome dell'associazione del ruolo del cluster per l'account di servizio.

Autorizzare altri account

kubectl

Per ogni altro utente o account di servizio che ottiene l'accesso al cluster, crea risorse ClusterRoleBinding per associare i ruoli view e cloud-console-reader al relativo account:

  1. Associa view e cloud-console-reader ClusterRoles:

    ACCOUNT_NAME=ACCOUNT_NAME
kubectl create clusterrolebinding VIEW_BINDING_NAME \
   --clusterrole view --serviceaccount default:${ACCOUNT_NAME}
kubectl create clusterrolebinding CLOUD_CONSOLE_READER_BINDING_NAME \
   --clusterrole cloud-console-reader --serviceaccount default:${ACCOUNT_NAME}

    Sostituisci quanto segue:

    • ACCOUNT_NAME: l'account di servizio Kubernetes
    • VIEW_BINDING_NAME: il nome scelto per la risorsa view ClusterRoleBinding. Puoi scegliere il nome che preferisci, ma ti consigliamo di utilizzare il nome dell'account utente o di servizio
    • CLOUD_CONSOLE_READER_BINDING_NAME: il nome scelto per la risorsa view ClusterRoleBinding. Puoi anche scegliere un nome diverso.

  2. Associare altri ruoli, a seconda dell'accesso a cui deve accedere l'account avere. Per le opzioni, consulta i ruoli predefiniti di Kubernetes.

    Ad esempio, per associare il ruolo cluster-admin, esegui il seguente comando:

    kubectl create clusterrolebinding BINDING_NAME \
   --clusterrole cluster-admin --serviceaccount default:ACCOUNT_NAME

    Sostituisci BINDING_NAME con il nome dell'associazione del ruolo del cluster per l'account di servizio.

Ottieni il token di accesso del KSA

kubectl

Per acquisire il token di connessione dell'Arabia Saudita, esegui questo comando:

SECRET_NAME=KSA_NAME-token

kubectl apply -f - << __EOF__
apiVersion: v1
kind: Secret
metadata:
  name: "${SECRET_NAME}"
  annotations:
    kubernetes.io/service-account.name: "${KSA_NAME}"
type: kubernetes.io/service-account-token
__EOF__

until [[ $(kubectl get -o=jsonpath="{.data.token}" "secret/${SECRET_NAME}") ]]; do
  echo "waiting for token..." >&2;
  sleep 1;
done

kubectl get secret ${SECRET_NAME} -o jsonpath='{$.data.token}' | base64 --decode

Sostituisci KSA_NAME con il nome che hai scelto per l'Arabia Saudita.

Dall'output di questo comando, copia il token e salvalo in modo che gli utenti possano usarlo per accedere alla console Google Cloud.