Fleet 수준에서 GKE Identity Service 구성

이 문서는 클러스터에 GKE Identity Service를 설정하는 클러스터 관리자 또는 애플리케이션 운영자를 대상으로 합니다. 선호하는 OpenID Connect(OIDC) ID 공급업체를 사용하여 클러스터의 Fleet 수준에서 GKE Identity Service를 설정하는 방법에 대한 안내가 포함되어 있습니다. 이 문서의 안내에서는 GKE Identity Service가 이미 클라이언트 애플리케이션으로 ID 공급업체에 등록되어 있다고 가정합니다.

GKE Identity Service 및 기타 설정 옵션에 대한 자세한 내용은 개요를 참조하세요. 개발자 또는 다른 클러스터 사용자로서 이 서비스를 사용하여 클러스터에 액세스하는 방법은 GKE Identity Service로 클러스터에 액세스를 참조하세요.

시작하기 전에

설정을 시작하기 전에 플랫폼 관리자가 GKE Identity Service의 OIDC 제공업체를 구성하는 데 필요한 모든 정보(GKE Identity Service의 클라이언트 ID 및 보안 비밀 포함)를 제공했는지 확인합니다.
구성하려는 클러스터가 Fleet 수준 설정의 기본 요건을 충족하는지 확인합니다. 기타 클러스터 유형과 환경은 GKE Identity Service 개요를 참조하세요.
다음 명령줄 도구가 설치되었는지 확인합니다.
- 최신 버전의 Google Cloud CLI(Google Cloud와의 상호작용을 위한 명령줄 도구인 gcloud 포함). Google Cloud CLI를 설치해야 하는 경우 설치 가이드를 참조하세요.
- Kubernetes 클러스터에 명령어를 실행하기 위한 kubectl. kubectl을 설치해야 하는 경우 설치 가이드를 참조하세요.
Google Cloud와의 상호작용을 위해 Cloud Shell을 셸 환경으로 사용하는 경우 이러한 도구가 자동으로 설치됩니다.
클러스터가 등록된 프로젝트에서 사용할 수 있도록 gcloud CLI를 초기화했는지 확인합니다.
프로젝트 소유자가 아닌 경우 구성 단계를 완료하려면 클러스터가 등록된 프로젝트에서 GKE 허브 관리자 역할이 필요합니다.

API 사용 설정

콘솔

클러스터가 등록된 프로젝트가 선택되었는지 확인합니다.

Enable the GKE Hub and Kubernetes Engine APIs.
Enable the APIs

gcloud

다음 명령어를 실행하여 설정에 필요한 API를 사용 설정합니다.

gcloud services enable 

gkehub.googleapis.com 

container.googleapis.com

클러스터 구성

선택한 제공업체를 사용하도록 클러스터를 구성하려면 GKE Identity Service에 ID 공급업체에 대한 세부정보, 사용자 ID를 위해 제공하는 JWT 토큰의 정보, 클라이언트 애플리케이션으로 GKE Identity Service를 등록할 때 제공하는 기타 정보를 지정해야 합니다.

예를 들어 제공업체가 다른 필드로 ID 토큰을 만드는 경우, iss는 ID 공급업체 URI이고 sub는 사용자를 식별하며 groupList는 사용자가 속한 그룹을 나열합니다.

{
  'iss': 'https://server.example.com'
  'sub': 'u98523-4509823'
  'groupList': ['developers@example.corp', 'us-east1-cluster-admins@example.corp']
  ...
}

구성에는 다음과 같은 해당 필드가 있습니다.

issueruri: 'https://server.example.com'
username: 'sub'
group: 'groupList'
...

플랫폼 관리자나 조직에서 ID를 관리하는 사람이 구성을 만드는 데 필요한 대부분의 정보를 제공해야 합니다. 일반적으로 사용되는 ID 공급업체에 대한 구성 예시는 공급업체별 구성을 참조하세요.

GKE Identity Service를 사용하면 Google Cloud 콘솔에서 또는 Google Cloud CLI를 사용하여 이 구성을 만들거나 업데이트 및 적용할 수 있습니다.

콘솔

GKE Identity Service 사용 설정

Google Cloud 콘솔에서 GKE Enterprise 기능 페이지로 이동합니다.

GKE Enterprise 기능으로 이동
기능 표의 Identity Service 행에서 사용 설정을 클릭한 후 표시된 창에서 사용 설정을 다시 클릭합니다. 이렇게 하면 Fleet의 클러스터에서 GKE Identity Service의 수명 주기를 관리하는 새로운 GKE Identity Service 컨트롤러 인스턴스가 생성됩니다.

클러스터 선택

기능 테이블로 돌아가 Identity Service 행에서 세부정보를 클릭하여 서비스의 세부정보 창을 엽니다. 그러면 프로젝트의 클러스터와 Fleet 수준 GKE Identity Service 상태가 표시됩니다.
Identity Service 업데이트를 클릭하여 설정 창을 엽니다.
구성할 클러스터를 선택합니다. 지원되는 클러스터 유형만 선택할 수 있습니다. 개별 클러스터를 선택하거나 모든 클러스터를 동일한 ID 구성으로 구성하도록 지정할 수 있습니다.
ID 공급업체 드롭다운에서 클러스터 구성 방법을 선택합니다. 클러스터에 기존 GKE Identity Service 구성이 있으면 업데이트할 수 있습니다. 등록된 기존 클러스터에 사용하려는 GKE Identity Service 구성이 있으면 이 구성을 선택한 클러스터에 복사할 수 있습니다. 완전히 새로운 구성을 만들려면 다음 섹션에 설명된 대로 선택한 공급업체에 대한 안내를 따르세요.

공급업체 세부정보 설정

추가해야 하는 공급업체 세부정보는 해당 구성에 사용하려는 ID 공급업체 유형에 따라 달라집니다.

OIDC

새 OIDC 구성을 만들려면 새 Open ID Connect를 선택합니다.
제공업체 이름 필드에서 이 구성을 식별하는 데 사용할 이름(일반적으로 ID 공급업체 이름)을 지정합니다. 이름은 문자로 시작해야 합니다. 이어서 최대 39자(영문 기준)의 소문자, 숫자 또는 하이픈이 와야 하며 하이픈으로 끝나서는 안 됩니다 구성을 만든 후에는 이 이름을 수정할 수 없습니다.
클라이언트 ID 필드에서 제공업체에 GKE Identity Service를 등록할 때 반환되는 클라이언트 ID를 지정합니다.
클라이언트 보안 비밀번호 필드에 클라이언트 애플리케이션과 ID 공급업체 간에 공유해야 하는 클라이언트 보안 비밀번호를 지정합니다.
발급기관 URL 필드에 ID 공급업체에 승인 요청이 수행된 URI를 지정합니다.
다음을 클릭하여 OIDC 속성을 설정합니다.

Azure AD

새 Azure Active Directory를 선택하여 새 Azure AD 구성을 만듭니다.
제공업체 이름 필드에서 이 구성을 식별하는 데 사용할 이름(일반적으로 ID 공급업체 이름)을 지정합니다. 이름은 문자로 시작해야 합니다. 이어서 최대 39자(영문 기준)의 소문자, 숫자 또는 하이픈이 와야 하며 하이픈으로 끝나서는 안 됩니다 구성을 만든 후에는 이 이름을 수정할 수 없습니다.
클라이언트 ID 필드에서 제공업체에 GKE Identity Service를 등록할 때 반환되는 클라이언트 ID를 지정합니다.
클라이언트 보안 비밀번호 필드에 클라이언트 애플리케이션과 ID 공급업체 간에 공유해야 하는 클라이언트 보안 비밀번호를 지정합니다.
테넌트에서 인증할 Azure AD 계정인 테넌트를 지정합니다.
다음을 클릭하여 Azure AD 속성을 설정합니다.

LDAP

새 LDAP 구성을 만들려면 LDAP를 선택합니다.
제공업체 이름 필드에서 이 구성을 식별하는 데 사용할 이름(일반적으로 ID 공급업체 이름)을 지정합니다. 이름은 문자로 시작해야 합니다. 이어서 최대 39자(영문 기준)의 소문자, 숫자 또는 하이픈이 와야 하며 하이픈으로 끝나서는 안 됩니다 구성을 만든 후에는 이 이름을 수정할 수 없습니다.
다음을 클릭합니다.
LDAP 서버의 호스트 이름(필수), LDAP 연결 유형, base64로 인코딩된 CA 인증서를 지정합니다.
다음을 클릭하여 서버를 구성합니다.
사용자의 고유 이름, 필터, 로그인 속성, 식별자 속성을 지정합니다.
다음을 클릭하여 사용자 세부정보를 설정합니다.
그룹을 사용하려면 그룹의 고유 이름, 필터, 식별자 속성을 지정합니다.
다음을 클릭하여 그룹 세부정보를 설정합니다.
서비스 계정의 사용자 이름 및 비밀번호를 지정합니다.
완료를 클릭하여 서비스 계정 이름을 설정합니다.

속성 설정

추가해야 하는 속성은 ID 공급업체와 GKE Identity Service 제공업체를 구성할 때 플랫폼 관리자가 선택한 설정 옵션에 따라 다릅니다.

OIDC

구성 속성을 입력합니다.
- kubectl 리디렉션 URI: gcloud CLI에서 사용하고 플랫폼 관리자가 등록할 때 지정하는 리디렉션 URL 및 포트로, 일반적으로 http://localhost:PORT/callback 형식입니다.
- 인증 기관(선택사항): 플랫폼 관리자가 제공한 경우 ID 공급업체의 PEM 인코딩 인증서 문자열입니다.
- 그룹 클레임 (선택사항): 제공업체가 계정의 보안 그룹을 반환하는 데 사용하는 JWT 클레임(필드 이름)입니다.
- 그룹 프리픽스 (선택사항): 여러 ID 공급업체(일반적으로 제공업체 이름)에 대한 구성이 있는 경우 액세스 제어 규칙의 기존 이름과 충돌하지 않도록 보안 그룹 이름 앞에 추가하려는 프리픽스입니다.
- 프록시(선택사항): 해당되는 경우 ID 공급업체에 연결하는 데 사용할 프록시 서버 주소입니다. 예를 들어 클러스터가 비공개 네트워크에 있고 공개 ID 공급업체에 연결해야 하는 경우 이를 설정해야 할 수 있습니다. 예를 들면 http://user:password@10.10.10.10:8888입니다.
- 범위(선택사항): ID 공급업체에서 요구하는 추가 범위입니다. Microsoft Azure 및 Okta에는 offline_access 범위가 필요합니다. 필요한 경우 범위 추가를 클릭하여 범위를 추가합니다.
- 사용자 클레임(선택사항): 제공업체가 계정을 식별하는 데 사용하는 JWT 클레임(필드 이름)입니다. 여기에서 값을 지정하지 않으면 GKE Identity Service는 다수의 공급업체에서 사용하는 사용자 ID 클레임인 '하위'를 사용합니다. OpenID 제공업체에 따라 '이메일' 또는 '이름'과 같은 다른 클레임을 선택할 수 있습니다. 'email' 이외의 클레임은 이름 충돌을 방지하기 위해 발급기관 URL이 프리픽스로 추가됩니다.
- 사용자 프리픽스 (선택사항): 기본 프리픽스를 사용하지 않으려는 경우 기존 이름과 충돌을 방지하기 위해 사용자 클레임 앞에 추가되는 프리픽스입니다.
- 추가 매개변수(선택사항): 매개변수 키와 값으로 지정된 구성에 필요한 추가 매개변수입니다. 필요한 경우 매개변수 추가를 클릭하여 매개변수를 추가합니다.
- 액세스 토큰 사용 설정(선택사항): 사용 설정하면 Okta와 같은 OIDC 제공업체에 대해 그룹 지원이 허용됩니다.
- Google Cloud 콘솔 프록시 배포(선택사항): 사용 설정하면 Google Cloud 콘솔에서 인터넷을 통해 공개적으로 액세스할 수 없는 온프레미스 ID 공급업체에 연결할 수 있도록 프록시가 배포됩니다.

Azure AD

구성 속성을 입력합니다.
- kubectl 리디렉션 URI: gcloud CLI에서 사용하고 플랫폼 관리자가 등록할 때 지정하는 리디렉션 URL 및 포트로, 일반적으로 http://localhost:PORT/callback 형식입니다.
- 프록시(선택사항): 해당되는 경우 ID 공급업체에 연결하는 데 사용할 프록시 서버 주소입니다. 예를 들어 클러스터가 비공개 네트워크에 있고 공개 ID 공급업체에 연결해야 하는 경우 이를 설정해야 할 수 있습니다. 예를 들면 http://user:password@10.10.10.10:8888입니다.

ID 공급업체 추가

Fleet에 구성할 추가 ID 공급업체가 있으면 여기서 공급업체를 추가할 수 있습니다. 단계에 따라 추가 ID 공급업체를 지정합니다.

구성 업데이트

구성 업데이트를 클릭합니다. 이렇게 하면 필요한 경우 GKE Identity Service가 설치되고(EKS 클러스터만 해당, 기본적으로 GKE 클러스터에 GKE Identity Service가 이미 설치되어 있음) 선택한 클러스터에 클라이언트 구성이 적용됩니다.

gcloud

구성 파일 만들기

GKE Identity Service는 클러스터 구성에 ClientConfig라는 Kubernetes 커스텀 리소스 유형(CRD)을 사용합니다. 여기에는 GKE Identity Service가 ID 공급업체와 상호작용하는 데 필요한 모든 정보 필드가 있습니다. 다음 섹션에서는 해당 구성에서 auth-config.yaml이라는 파일을 만드는 OIDC 및 LDAP 구성에 대해 설명합니다.

OIDC

다음 파일은 oidc 구성 및 azuread 구성을 모두 보여줍니다. oidc 또는 azuread를 사용하는 경우에 대한 자세한 내용은 공급업체별 구성을 참조하세요.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: NAME
      proxy: PROXY_URL
      oidc:
        certificateAuthorityData: CERTIFICATE_STRING
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        deployCloudConsoleProxy: PROXY_BOOLEAN
        extraParams: EXTRA_PARAMS
        groupsClaim: GROUPS_CLAIM
        groupPrefix: GROUP_PREFIX
        issuerURI: ISSUER_URI
        kubectlRedirectURI: http://localhost:PORT/callback
        scopes: SCOPES
        userClaim: USER_CLAIM
        userPrefix: USER_PREFIX

    - name: NAME
      proxy: PROXY_URL
      azureAD:
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        tenant: TENANT_UUID
        kubectlRedirectURI: http://localhost:PORT/callback

ID 공급업체를 두 개 이상 구성한 경우 이전 구성과 동일한 형식으로 auth-config.yaml 파일의 authentication 앵커 아래에 있는 인증 구성 여러 개를 나열할 수 있습니다.

다음 표는 ClientConfig oidc 및 azuread 객체의 필드를 설명합니다. 대부분의 필드는 선택사항입니다. 추가해야 하는 필드는 ID 공급업체와 GKE Identity Service 공급업체를 구성할 때 플랫폼 관리자가 선택한 설정 옵션에 따라 다릅니다.

필드	필수	설명	형식
name	예	이 구성을 식별하는 데 사용할 이름입니다(일반적으로 ID 공급업체 이름). 구성 이름은 문자로 시작해야 합니다. 이어서 최대 39자(영문 기준)의 소문자, 숫자 또는 하이픈이 와야 하며 하이픈으로 끝나서는 안 됩니다	문자열
certificateAuthorityData	아니요	플랫폼 관리자가 제공한 경우 ID 공급업체의 PEM 인코딩 인증서 문자열입니다. `certificateAuthorityData`에 결과 문자열을 단일 줄로 포함합니다.	문자열
clientID	예	제공업체에 GKE Identity Service를 등록할 때 반환되는 클라이언트 식별자입니다.	문자열
clientSecret	예	제공업체에 GKE Identity Service를 등록할 때 반환되는 클라이언트 보안 비밀번호입니다.	문자열
deployCloudConsoleProxy	아니요	Google Cloud 콘솔이 인터넷을 통해 공개적으로 액세스할 수 없는 온프레미스 ID 공급업체에 연결할 수 있게 해주는 프록시가 배포되었는지 여부를 지정합니다. 기본적으로 `false`로 설정됩니다.	불리언
extraParams	아니요	쉼표로 구분된 목록으로 지정된 ID 공급업체에 전송할 추가 키=값 매개변수입니다(예: `prompt=consent,access_type=offline`).	쉼표로 구분된 목록
enableAccessToken	아니요	사용 설정된 경우 GKE Identity Service는 사용자가 명령줄에서 로그인할 때 ID 공급업체의 사용자 정보 엔드포인트를 사용하여 그룹 정보를 가져올 수 있습니다. 이렇게 하면 이 엔드포인트에서 그룹 클레임을 제공하는 제공업체(예: Okta)가 있을 때 승인을 위해 보안 그룹을 사용할 수 있습니다. 설정하지 않은 경우 `false`로 간주됩니다.	불리언
groupsClaim	아니요	제공업체가 계정의 보안 그룹을 반환하기 위해 사용하는 JWT 클레임(필드 이름)입니다.	문자열
groupPrefix	아니요	여러 ID 공급업체(일반적으로 제공업체 이름)에 대한 구성이 있는 경우 액세스 제어 규칙의 기존 이름과 충돌하지 않도록 보안 그룹 이름 앞에 추가하려는 프리픽스입니다.	문자열
issuerURI	예	ID 공급업체에 승인 요청이 수행된 URI입니다. URI는 HTTPS를 사용해야 합니다.	URL 문자열
kubectlRedirectURI	예	gcloud CLI에서 사용하고 플랫폼 관리자가 등록할 때 지정하는 리디렉션 URL 및 포트로, 일반적으로 `http://localhost:PORT/callback` 형식입니다.	URL 문자열
scopes	예	OpenID 제공업체에 전송할 추가적인 범위입니다. 예를 들어 Microsoft Azure와 Okta에는 `offline_access` 범위가 필요합니다.	쉼표로 구분된 목록
userClaim	아니요	제공업체가 사용자 계정을 식별하는 데 사용하는 JWT 클레임(필드 이름)입니다. 여기에서 값을 지정하지 않으면 GKE Identity Service는 다수의 공급업체에서 사용하는 사용자 ID 클레임인 '하위'를 사용합니다. OpenID 제공업체에 따라 '이메일' 또는 '이름'과 같은 다른 클레임을 선택할 수 있습니다. 'email' 이외의 클레임은 이름 충돌을 방지하기 위해 발급기관 URL이 프리픽스로 추가됩니다.	문자열
userPrefix	아니요	기본 프리픽스를 사용하지 않으려는 경우 기존 이름과 충돌을 방지하기 위해 사용자 클레임 앞에 추가되는 프리픽스입니다.	문자열
테넌트	예	인증할 Azure AD 계정의 종류입니다. 지원되는 값은 테넌트 ID 또는 특정 테넌트에 속한 계정의 테넌트 이름입니다. 테넌트 이름은 기본 도메인이라고도 합니다. 이러한 값을 찾는 방법에 대한 자세한 내용은 Microsoft Azure AD 테넌트 ID 및 기본 도메인 이름 찾기를 참조하세요.	문자열
proxy	아니요	해당되는 경우 ID 공급업체에 연결하는 데 사용할 프록시 서버 주소입니다. 예를 들어 클러스터가 비공개 네트워크에 있고 공개 ID 공급업체에 연결해야 하는 경우 이를 설정해야 할 수 있습니다. 예를 들면 `http://user:password@10.10.10.10:8888`입니다.	문자열

LDAP

다음 파일은 ldap 구성을 보여줍니다.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: ldap
      ldap:
        server:
          host: HOST_NAME
          connectionType: CONNECTION_TYPE
          certificateAuthorityData: CERTIFICATE_AUTHORITY_DATA
        user:
          baseDn: BASE_DN
          loginAttribute: LOGIN_ATTRIBUTE
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        group:
          baseDn: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        serviceAccount:
          simpleBindCredentials:
            dn: DISTINGUISHED_NAME
            password: PASSWORD

다음 표는 ClientConfig ldap 객체의 필드를 설명합니다. 추가해야 하는 필드는 ID 공급업체와 GKE Identity Service 공급업체를 구성할 때 플랫폼 관리자가 선택한 설정 옵션에 따라 다릅니다.

필드	필수	설명	형식
name	예	이 LDAP 구성을 식별하기 위한 이름	문자열
서버
호스트	예	LDAP 서버의 호스트 이름 또는 IP 주소입니다. 포트는 선택사항이며 지정하지 않으면 389로 기본 설정됩니다. 예를 들면 `ldap.server.example.com` 또는 `10.10.10.10:389`입니다.	문자열
connectionType	예	LDAP 서버에 연결할 때 사용할 LDAP 연결 유형입니다. `starttls` 또는 `ldaps`가 지정된 경우 certificateAuthorityData 필드가 비어 있으면 안됩니다.	문자열
certificateAuthorityData	특정 LDAP 연결 유형에 필요	LDAP 서버에 대해 Base64로 인코딩된 PEM 형식의 인증 기관 인증서를 포함합니다. `ldaps` 및 `startTLS` 연결에만 제공되어야 합니다.	문자열
사용자
baseDN	예	사용자 항목을 검색하기 위한 LDAP 디렉터리의 하위 트리 위치입니다.	DN 형식의 문자열입니다.
loginAttribute	없음	입력 사용자 이름과 일치하는 속성 이름입니다. `(<LoginAttribute>=<username>)`과 같이 LDAP 데이터베이스에서 사용자를 찾기 위해 사용되며, 선택적인 필터 필드와 결합됩니다. 기본값은 `userPrincipalName`입니다.	문자열
filter	없음	사용자를 검색할 때 적용할 선택적인 필터입니다. 이를 사용하여 로그인이 허용되는 사용자 계정을 추가적으로 제한할 수 있습니다. 지정하지 않으면 기본적으로 `(objectClass=User)`입니다.	문자열
identifierAttribute	없음	인증 후 사용자 ID로 사용할 속성을 결정합니다. 사용자가 사용자 이름으로 로그인을 허용하지만 실제 식별자가 이메일 주소 또는 전체 고유 이름(DN)이 되도록 하는 `loginAttribute` 필드와는 구분됩니다. 예를 들어 `loginAttribute`를 `sAMAccountName`으로 설정하고 identifierAttribute를 `userPrincipalName`으로 설정하면 사용자가 `bsmith`로 로그인할 수 있지만 사용자의 실제 RBAC 정책은 `bsmith@example.com`으로 기록됩니다. 각 사용자에 대해 고유하기 때문에 `userPrincipalName`을 사용하는 것이 좋습니다. 지정하지 않으면 기본적으로 `userPrincipalName`입니다.	문자열
group(선택적 필드)
baseDN	예	그룹 항목을 검색하기 위한 LDAP 디렉터리의 하위 트리 위치입니다.	문자열
filter	없음	사용자가 속한 그룹을 검색할 때 사용할 선택적인 필터입니다. 각 사용자에게 반환되는 그룹 수를 줄이기 위해 특정 그룹과만 명시적으로 일치하도록 사용할 수 있습니다. 기본값은 `(objectClass=Group)`입니다.	문자열
identifierAttribute	없음	사용자가 속한 각 그룹의 식별 이름입니다. 예를 들어 `distinguishedName`으로 설정되었으면 RBAC 및 다른 그룹 예상값도 전체 DN으로 기록되어야 합니다. 지정하지 않으면 기본적으로 `distinguishedName`입니다.	문자열
serviceAccount/simpleBindCredentials
dn	예	서비스 계정 사용자의 고유 이름입니다.	문자열
비밀번호	예	서비스 계정 사용자의 비밀번호입니다.	문자열

GKE Identity Service 사용 설정

또한 Fleet 수준 기본 구성으로 GKE Identity Service를 사용 설정할 수 있습니다. 이 설정을 사용하면 지정한 구성이 Fleet에 등록된 모든 새 클러스터에 자동으로 적용됩니다. Fleet 수준 기본 구성에 대한 자세한 내용은 Fleet 수준 기본값 구성을 참조하세요.

프로젝트에 GKE Identity Service를 사용 설정하려면 다음 명령어를 실행합니다.

gcloud container fleet identity-service enable

이렇게 하면 Fleet의 클러스터에서 GKE Identity Service의 수명 주기를 관리하는 새로운 GKE Identity Service 컨트롤러 인스턴스가 생성됩니다. 프로젝트 Fleet에 등록된 모든 지원되는 클러스터에서 GKE Identity Service를 사용하려면 이 명령어를 프로젝트별로 한 번만 실행해야 합니다.

클러스터에 구성 적용

필요한 경우 GKE Identity Service를 설치하고(EKS 클러스터만 해당, GKE 클러스터에 기본적으로 GKE Identity Service가 이미 설치되어 있음) 클러스터에 구성을 적용하려면 다음 명령어를 실행합니다.

gcloud container fleet identity-service apply \
--membership=CLUSTER_NAME \
--config=/path/to/auth-config.yaml

CLUSTER_NAME을 Fleet 내에서 클러스터의 고유한 이름으로 바꿉니다.

클러스터 구성을 적용한 후 이 구성은 GKE Identity Service 컨트롤러에서 관리되며 '진실 공급원'으로 간주됩니다. GKE Identity Service 클라이언트 구성의 모든 로컬 변경사항은 컨트롤러에서 이 설정에 지정된 구성으로 다시 조정합니다.

인증 옵션의 기존 구성이 클러스터에 있으면 다음이 적용됩니다.

OIDC 제공업체의 기존 클러스터 수준 구성이 있는 경우 Fleet 수준 GKE Identity Service 제어를 클러스터에 적용하면 모든 기존 인증 사양을 덮어씁니다.
Fleet 수준 구성을 지원하지 않는 제공업체의 기존 클러스터 수준 구성이 있으면 이 설정이 실패합니다. Fleet 수준 구성을 적용하려면 기존 제공업체 구성을 삭제해야 합니다.

GKE Identity Service 컨트롤러에서 더 이상 구성을 관리하지 않게 하려면(예: 다른 인증 옵션을 사용하려는 경우) GKE Identity Service 관리 중지의 안내를 따라 이 기능을 중지하면 됩니다.

제공업체별 구성

이 섹션에서는 자체 세부정보로 복사하고 수정할 수 있는 구성 예시를 포함하여 Azure AD 및 Okta와 같은 OIDC 제공업체에 대한 구성 안내를 제공합니다.

Azure AD

이는 Azure AD로 GKE Identity Service를 설정하는 기본 구성입니다. 이 구성을 사용하면 GKE Identity Service가 Azure AD에서 사용자 및 그룹 정보를 가져올 수 있고 그룹을 기준으로 Kubernetes 역할 기반 액세스 제어(RBAC)를 설정할 수 있습니다. 그러나 이 구성을 사용하면 사용자당 약 200개 그룹을 검색하도록 제한됩니다.

사용자당 그룹을 200개 넘게 검색해야 할 경우에는 Azure AD(고급) 안내를 참조하세요.

...
spec:
  authentication:
  - name: oidc-azuread
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      extraParams: prompt=consent, access_type=offline
      issuerURI: https://login.microsoftonline.com/TENANT_ID/v2.0
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: openid,email,offline_access
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Azure AD(고급)

이 선택적인 Azure AD 구성을 사용하면 GKE Identity Service에서 Microsoft Graph API를 사용하여 사용자당 그룹 수에 대한 제한 없이 사용자 및 그룹 정보를 검색할 수 있습니다. 이 구성을 지원하는 플랫폼에 대한 자세한 내용은 Azure AD 고급 설정을 참조하세요.

사용자당 그룹을 200개 미만으로 검색해야 할 경우에는 ClientConfig에서 oidc 앵커를 사용하는 기본 구성을 사용하는 것이 좋습니다. 자세한 내용은 Azure AD 안내를 참조하세요.

구성 예시의 모든 필드가 필수입니다.

...
spec:
  authentication:
  - name: azure
    azureAD:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      tenant: TENANT_UUID
      kubectlRedirectURI: http://localhost:PORT/callback

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Okta

다음은 Okta를 ID 공급업체로 사용해서 사용자와 그룹을 모두 사용하여 인증을 설정하는 방법을 보여줍니다. 이 구성을 사용하면 GKE Identity Service가 액세스 토큰 및 Okta의 사용자 정보 엔드포인트를 사용하여 사용자 및 그룹 클레임을 검색할 수 있습니다.

...
spec:
  authentication:
  - name: okta
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      enableAccessToken: true
      extraParams: prompt=consent
      groupsClaim: groups
      issuerURI: https://OKTA_ISSUER_URI/
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: offline_access,email,profile,groups
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Fleet 수준 기본값 구성

Fleet 수준 기본 구성으로 GKE Identity Service를 사용 설정할 수 있습니다. 이 설정을 사용하면 클러스터 생성 중에 등록된 모든 Google Cloud 기반 GKE 클러스터 또는 Anthos 클러스터는 사용자가 지정한 구성으로 클러스터에서 GKE Identity Service를 사용 설정합니다. Fleet 수준 구성 관리에 대한 자세한 내용은 Fleet 수준 기능 관리를 참조하세요.

Fleet 수준 기본 구성으로 GKE Identity Service를 구성하려면 다음을 수행합니다.

fleet-default.yaml이라는 파일을 만들고 구성 파일 만들기에 따라 파일을 채웁니다.
Fleet 수준 기본 구성으로 GKE Identity Service를 사용 설정합니다.
참고: Fleet 수준 기본 구성 없이 Fleet에서 GKE Identity Service가 이미 사용 설정된 경우, 대신 apply 명령어를 사용하세요.
```
gcloud container fleet identity-service enable --fleet-default-member-config=fleet-default.yaml
```
기존 Fleet 수준 기본 구성을 수정하거나 Fleet 수준 기본 구성 없이 Fleet에서 GKE Identity Service가 이미 사용 설정된 경우 추가하려면 다음 명령어를 실행합니다.
```
gcloud container fleet identity-service apply --fleet-default-member-config=default-config.yaml
```
Fleet 수준 기본 구성이 구성되기 전에 등록된 클러스터는 기본 구성을 자동으로 상속하지 않습니다. 이 클러스터 클래스에 속하는 클러스터에 기본 구성을 적용하려면 다음 명령어를 실행합니다.
```
gcloud container fleet identity-service apply --origin=fleet --membership=CLUSTER_NAME
```
Fleet 수준의 기본 구성을 삭제하려면 다음 명령어를 실행합니다.
```
gcloud container fleet identity-service delete --fleet-default-member-config
```

ID 서비스 구성 확인

Fleet 수준 설정을 완료한 후 Fleet의 클러스터가 지정한 ID 서비스 구성으로 성공적으로 구성되었는지 확인할 수 있습니다.

콘솔

Google Cloud 콘솔에서 GKE Enterprise 기능 페이지로 이동합니다.

GKE Enterprise 기능 관리로 이동
사용 설정된 모든 기능은 기능 목록에 사용 설정됨으로 표시되어 있습니다.
ID 서비스 기능에서 세부정보를 클릭합니다. 세부정보 패널에 등록된 클러스터의 상태가 표시됩니다.

gcloud

다음 명령어를 실행합니다.

gcloud container fleet identity-service describe

사용자 액세스 설정

클러스터를 구성한 후 계속해서 사용자 액세스를 설정합니다.

Fleet 수준 GKE Identity Service 관리 중지

Google Cloud에서 더 이상 GKE Identity Service 구성과 수명 주기를 관리하지 않게 하려면 이 기능을 중지하면 됩니다. Fleet 수준 관리를 중지해도 클러스터에서 GKE Identity Service 또는 인증 구성이 삭제되지 않으므로 사용자는 구성된 서드 파티 ID 공급업체를 사용하여 클러스터에 계속 인증할 수 있습니다. 그러나 GKE Identity Service 구성이나 리소스를 클러스터에서 로컬로 수동 편집하면 이러한 변경사항이 더 이상 단일 정보 소스에 해당하는 상태로 조정되지 않습니다.

클러스터에 대한 Fleet 수준 관리 사용 중지

클러스터의 Fleet 수준 관리를 사용 중지하려면 다음 명령어를 실행합니다.

gcloud container fleet identity-service delete --membership=CLUSTER_NAME

여기서 CLUSTER_NAME은 전체 Fleet에서 클러스터의 고유한 이름입니다.

Fleet에 대한 Fleet 수준 관리 사용 중지

Fleet에 대한 Fleet 수준 GKE Identity Service 관리를 중지하려면 다음을 수행합니다.

콘솔

Google Cloud 콘솔에서 GKE Enterprise 기능 페이지로 이동합니다.

GKE Enterprise 기능으로 이동
기능 표의 Identity Service 행에서 세부정보를 클릭한 후 표시된 창에서 GKE Identity Service 중지를 클릭합니다.

gcloud

다음 명령어를 실행합니다.

gcloud container fleet identity-service disable

Fleet 기능을 중지한 후에는 더 이상 Google Cloud 콘솔에서 또는 gcloud를 사용하여 클러스터의 GKE Identity Service 상태를 보거나 업데이트할 수 없습니다.

문제 해결

이 설정 중에 문제가 발생하면 문제 해결 가이드를 확인하세요.