Présentation de GKE Identity Service

GKE Identity Service est un service d'authentification qui vous permet d'appliquer vos solutions d'authentification existantes à plusieurs environnements GKE Enterprise. Les utilisateurs peuvent se connecter à vos clusters GKE et les utiliser à partir de la ligne de commande ou de la console Google Cloud, tout cela à l'aide de votre fournisseur d'identité existant.

Si vous utilisez déjà ou souhaitez utiliser des ID Google pour vous connecter à vos clusters GKE au lieu d'un fournisseur OIDC ou LDAP, consultez Se connecter à des clusters enregistrés avec la passerelle Connect.

Fournisseurs d'identité acceptés

GKE Identity Service est compatible avec les fournisseurs d'identité utilisant les protocoles suivants:

  • OpenID Connect (OIDC). Nous fournissons des instructions spécifiques pour la configuration de certains fournisseurs OpenID populaires, y compris Microsoft, mais vous pouvez choisir n'importe quel fournisseur utilisant une mise en œuvre OIDC.
  • Protocole LDAP (Lightweight Directory Access Protocol) Vous pouvez utiliser GKE Identity Service pour vous authentifier à l'aide de LDAP avec Active Directory ou un serveur LDAP.

Types de cluster compatibles

Protocole GKE sur VMware GKE sur solution Bare Metal GKE sur AWS GKE sur Azure Clusters associés à EKS GKE
OIDC
LDAP
SAML

Les autres types de clusters associés ne sont pas compatibles avec l'utilisation de GKE Identity Service.

Fonctionnement

GKE Identity Service permet aux utilisateurs de se connecter aux clusters configurés à l'aide du nom d'utilisateur et du mot de passe habituels de leur organisation. Le fonctionnement exact de la procédure d'authentification dépend du type de fournisseur d'identité utilisé.

OIDC

Avec les fournisseurs OIDC, GKE Identity Service est enregistré en tant qu'application cliente pour le fournisseur d'identité, puis configuré pour chaque cluster par l'administrateur du cluster.

Schéma illustrant le flux AIS de base

Lorsqu'un utilisateur souhaite se connecter à un cluster à partir de la ligne de commande, il doit d'abord exécuter une commande gcloud anthos auth login et saisir ses informations de connexion pour le fournisseur d'identité. Cette opération permet de récupérer un jeton d'identité auprès du fournisseur. Le jeton est ajouté au fichier kubeconfig de l'utilisateur et est utilisé lorsque des requêtes sont envoyées au cluster avec kubectl. Le serveur d'API Kubernetes utilise ensuite GKE Identity Service pour valider le jeton d'ID et autoriser (ou refuser) l'accès au cluster. GKE Identity Service peut également récupérer les informations d'appartenance au groupe de sécurité auprès du fournisseur d'identité.

Les administrateurs de cluster peuvent ajouter un contrôle des accès plus précis à l'aide du contrôle des accès basé sur les rôles Kubernetes (RBAC), si nécessaire.

Les utilisateurs peuvent également se connecter à l'aide d'OIDC depuis la console Google Cloud. Dans ce cas, ils sont dirigés vers l'UI du fournisseur d'identité pour fournir leurs informations de connexion, avant de revenir à la console Google Cloud pour continuer à afficher et à gérer les ressources du cluster.

LDAP

Avec les fournisseurs LDAP, GKE Identity Service est configuré pour chaque cluster par l'administrateur du cluster et fournit les identifiants du client LDAP pour GKE Identity Service.

Schéma illustrant le flux AIS LDAP

Lorsqu'un utilisateur souhaite se connecter à un cluster à partir de la ligne de commande, il doit d'abord exécuter une commande gcloud anthos auth login et saisir ses informations de connexion pour le fournisseur d'identité. La requête est envoyée au service d'identité GKE, qui interroge le serveur LDAP et renvoie les attributs utilisateur dans un jeton de courte durée (STS), garantissant ainsi que les identifiants LDAP de l'utilisateur n'ont pas besoin d'être stockés localement en texte brut. Le jeton est ajouté au fichier kubeconfig de l'utilisateur et est utilisé lorsque des requêtes sont envoyées au cluster avec kubectl. Le serveur d'API Kubernetes utilise ensuite GKE Identity Service pour obtenir les informations sur les utilisateurs et les groupes à partir du jeton, et autoriser (ou refuser) l'accès au cluster. La durée de vie par défaut du jeton est d'une heure. Lorsque celui-ci expire, l'utilisateur doit se reconnecter.

Les administrateurs de cluster peuvent ajouter un contrôle des accès plus précis à l'aide du contrôle des accès basé sur les rôles Kubernetes (RBAC), si nécessaire.

Options de configuration

Selon le type et l'environnement du cluster, les administrateurs de cluster peuvent configurer GKE Identity Service sur chaque cluster individuellement ou au niveau du parc du projet.

Configuration par cluster

Vous pouvez configurer GKE Identity Service cluster par cluster pour les clusters GKE sur site (VMware et Bare Metal), sur AWS et sur Azure. Pour plus d'informations, consultez les guides suivants :

Configuration OIDC

Configuration LDAP

Configuration SAML

Configuration au niveau du parc

Un parc dans Google Cloud est un groupe logique de clusters qui vous permet d'activer des fonctionnalités et de mettre à jour la configuration sur ces clusters. Pour les types de clusters compatibles, vous pouvez configurer GKE Identity Service pour les clusters du parc de votre projet. La configuration au niveau du parc vous permet d'appliquer de manière centralisée la configuration de l'authentification à plusieurs clusters, où la configuration est gérée par Google Cloud.

Les types de clusters suivants sont compatibles avec la configuration au niveau du parc :

Le type de cluster et l'environnement suivants sont compatibles avec la configuration au niveau du parc, en tant que fonctionnalité pré-DG :

Pour en savoir plus sur la configuration, consultez la section suivante :

Étape suivante

  • Si vous êtes administrateur de plate-forme ou administrateur de cluster et que vous souhaitez configurer des clusters pour qu'ils utilisent GKE Identity Service, suivez les guides de configuration appropriés ci-dessus.
  • Si vous êtes un développeur ou un autre utilisateur de cluster et que vous souhaitez accéder aux clusters GKE à l'aide de votre identité existante, consultez Accéder aux clusters à l'aide de GKE Identity Service.