Configura la puerta de enlace de Connect con Grupos de Google

Esta guía está destinada a los administradores de plataformas que necesitan configurar la puerta de enlace de Connect para que la usen las cuentas de usuario de su proyecto mediante Grupos de Google para obtener autorización. Antes de leer esta guía, debes familiarizarte con los conceptos de nuestra descripción general. Para autorizar cuentas individuales, consulta la configuración predeterminada.

Esta configuración permite a los usuarios acceder a los clústeres de flota configurados mediante Google Cloud CLI, la puerta de enlace de Connect y la consola de Google Cloud.

Esta función usa Grupos de Google asociados con Google Workspace o cualquier edición de Cloud Identity.

Tipos de clústeres compatibles

Si usas clústeres de GKE con Connect Gateway, no es necesario que sigas toda esta configuración con GKE Identity Service si quieres usar Grupos de Google para la autorización. En su lugar, sigue las instrucciones en Configura Grupos de Google para RBAC, que también permite a los usuarios acceder a clústeres de GKE desde la consola de Google Cloud con Grupos de Google para el control de acceso. Cuando termines, sigue las instrucciones que aparecen a continuación en Otorga roles de IAM a Grupos de Google para permitir que los miembros del grupo accedan a los clústeres mediante la puerta de enlace de Connect.

Puedes configurar el control de acceso con Grupos de Google a través de la puerta de enlace de Connect para clústeres de GKE registrados, GKE en VMware y Google Distributed Cloud Virtual for Bare Metal de GKE Enterprise 1.13 en adelante, y para GKE en AWS y GKE en Azure a partir de la versión 1.25 de Kubernetes. Si necesitas actualizar los clústeres locales para usar esta función, consulta Actualiza clústeres de GKE Enterprise para VMWare y Actualiza clústeres de GKE Enterprise en Bare Metal.

Para usar esta función con clústeres conectados o entornos de GKE distintos de los mencionados anteriormente, comunícate con Atención al cliente de Cloud o con el equipo de la puerta de enlace de Connect.

Cómo funciona

Como se describe en la descripción general, resulta útil poder otorgar a los usuarios acceso a los clústeres en función de su membresía a Grupos de Google, es decir, grupos creados en Google Workspace. La autorización basada en la pertenencia a un grupo significa que no tienes que configurar una autorización distinta para cada cuenta, lo que simplifica la administración de las políticas y facilita su auditoría. Por ejemplo, puedes compartir con facilidad el acceso al clúster a un equipo, sin la necesidad de agregar o quitar usuarios individuales de los clústeres cuando se unen al equipo o salen de él. Con algunos ajustes adicionales a través del servicio de identidad de GKE, puedes configurar la puerta de enlace de Connect para obtener información sobre la membresía del Grupo de Google de cada usuario que accede al clúster. Luego, puedes usar esta información de los grupo en tus políticas de control de acceso.

A continuación, se muestra el flujo típico de un usuario que se autentica en un clúster y ejecuta comandos en él con este servicio habilitado. Para que este flujo tenga éxito, debe existir una política de RBAC en el clúster para un grupo que haga lo siguiente:

  1. Contiene al usuario alice@example.com como miembro.

  2. Es un grupo anidado de gke-security-groups@example.com.

Diagrama en el que se muestra el flujo de los Grupos de Google de puertas de enlace

  1. El usuario alice@example.com accede con su identidad de Google y, si planea usar el clúster desde la línea de comandos, obtiene la puerta de enlace del clúster kubeconfig como se describe en Usa la puerta de enlace de Connect.
  2. Para enviar una solicitud, el usuario ejecuta un comando kubectl o abre las páginas Cargas de trabajo o Navegador de objetos de Google Kubernetes Engine en la consola de Google Cloud.
  3. El servicio de Connect, que realiza una verificación de autorización mediante IAM, recibe la solicitud.
  4. El servicio de Connect reenvía la solicitud al agente de Connect que se ejecuta en el clúster. La solicitud incluye la información de la credencial del usuario para usarla en la autenticación y la autorización del clúster.
  5. El agente de Connect reenvía la solicitud al servidor de la API de Kubernetes.
  6. El servidor de la API de Kubernetes reenvía la solicitud a GKE Identity Service, que la valida.
  7. GKE Identity Service muestra la información del usuario y el grupo al servidor de la API de Kubernetes. El servidor de la API de Kubernetes puede usar esta información para autorizar la solicitud en función de las políticas de RBAC configuradas del clúster.

Antes de comenzar

  • Asegúrate de tener instaladas las siguientes herramientas de línea de comandos:

    • La versión más reciente de Google Cloud CLI, la herramienta de línea de comandos para interactuar con Google Cloud.
    • La herramienta de línea de comandos de Kubernetes, kubectl, para interactuar con tus clústeres.

    Si usas Cloud Shell como entorno de shell para interactuar con Google Cloud, estas herramientas están instaladas.

  • Asegúrate de haber inicializado la CLI de gcloud para usarla en tu proyecto.

  • En esta guía, se supone que tienes roles/owner en tu proyecto. Si no eres propietario de un proyecto, es posible que necesites permisos adicionales para realizar algunos de los pasos de configuración.

  • Para los clústeres fuera de Google Cloud, GKE Identity Service debe llamar a la API de Google Identity desde tu clúster. Verifica si tu política de red requiere que el tráfico saliente pase por un proxy.

Configura usuarios y grupos

Asegúrate de que los grupos que deseas usar con esta función estén configurados de la siguiente manera:

  1. Asegúrate de que haya un grupo en Google Workspace de tu organización con el formato gke-security-groups@YOUR-DOMAIN. Si no tienes un grupo de este tipo, sigue las instrucciones que se indican en el artículo Cómo crear un grupo en tu organización para crear el grupo con la Consola del administrador de Google Workspace.
  2. Sigue las instrucciones que se indican en Cómo agregar un grupo a otro grupo para agregar los grupos que deseas usar para el control de acceso como grupos anidados de gke-security-groups. No agregues usuarios individuales como miembros de gke-security-groups.

Las cuentas de usuario que deseas utilizar con esta función deben tener el mismo nombre de dominio que el de su grupo.

Habilita las APIs

Para agregar la puerta de enlace al proyecto, habilita la API de puerta de enlace de Connect y las API de dependencia requeridas. Si tus usuarios solo desean autenticarse en los clústeres mediante la consola de Google Cloud, no necesitas habilitar connectgateway.googleapis.com, pero sí debes habilitar las API restantes.

PROJECT_ID=example_project
gcloud services enable --project=${PROJECT_ID}  \
connectgateway.googleapis.com \
anthos.googleapis.com \
gkeconnect.googleapis.com \
gkehub.googleapis.com \
cloudresourcemanager.googleapis.com

Configura GKE Identity Service

La función de Grupos de Google de la puerta de enlace de Connect usa GKE Identity Service para obtener información de las membresías de los grupos de Google. Puedes obtener más información sobre GKE Identity Service en Introducción a GKE Identity Service.

Si usas clústeres de GKE con la puerta de enlace, no es necesario que configures GKE Identity Service para usar el control de acceso a los Grupos de Google. En su lugar, sigue las instrucciones que se indican en Configura Grupos de Google para RBAC y, luego, continúa con la sección Otorga roles de IAM a Grupos de Google para permitir que los miembros del grupo accedan a los clústeres mediante la puerta de enlace de Connect.

Asegúrate de que GKE Identity Service esté instalado

GKE Identity Service está instalado de forma predeterminada en los clústeres de GKE a partir de la versión 1.7 (aunque la función de Grupos de Google requiere la versión 1.13 o posterior). Para confirmar que esté instalado correctamente en tu clúster, ejecuta el siguiente comando:

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG get all -n anthos-identity-service

donde

USER_CLUSTER_KUBECONFIG es la ruta de acceso al archivo kubeconfig del clúster.

Configurar la compatibilidad con Grupos de Google

Si usas GKE on AWS o GKE on Azure, tu clúster se configurará de forma automática para admitir Grupos de Google, y puedes pasar a Otorga funciones de IAM a Grupos de Google.

Si usas GKE en Bare Metal o GKE on VMware, la forma en la que configuras GKE Identity Service determina cómo necesitas configurar la función de Grupos de Google.

Si usas GKE Identity Service por primera vez, puedes elegir entre configurar los Grupos de Google a nivel de la Flota (recomendado) o la configuración Por clúster.

Si no eres un usuario nuevo de GKE Identity Service, ten en cuenta una de las siguientes opciones:

  • Si ya configuraste GKE Identity Service para otro proveedor de identidad a nivel de la flota, la función de Grupos de Google estará habilitada de forma predeterminada. Consulta la sección Flota a continuación para obtener más detalles y cualquier configuración adicional que puedas necesitar.
  • Si ya configuraste GKE Identity Service para otro proveedor de identidad por clúster, consulta la sección Por clúster que se encuentra a continuación a fin de obtener instrucciones para actualizar la configuración de la función de Grupos de Google.

Flota

Puedes usar la consola de Google Cloud o la línea de comandos para configurar el acceso a los Grupos de Google a nivel de la flota.

Si ya configuraste GKE Identity Service a nivel de la flota con otro proveedor de identidad (como Okta o Microsoft AD FS), la función de Grupos de Google de la puerta de enlace de Connect ya está habilitada de forma predeterminada en los clústeres configurados, siempre que se pueda acceder al proveedor de identidad de Google sin necesidad de usar un proxy.

Console

Si no configuraste GKE Identity Service con anterioridad para una flota, sigue las instrucciones en Configura clústeres para GKE Identity Service.

Selecciona clústeres y actualiza la configuración

  1. En la consola de Google Cloud, ve a la página Funciones de GKE Enterprise.

    Ir a Funciones de GKE Enterprise

  2. En la tabla Funciones, haz clic en Detalles en la fila Servicio de identidad. Se mostrarán los detalles del clúster de tu proyecto.

  3. Haz clic en Actualizar el servicio de identidad para abrir el panel de configuración.

  4. Selecciona los clústeres que deseas configurar. Puedes elegir clústeres individuales o especificar que deseas que todos los clústeres se configuren con la misma configuración de identidad.

  5. En la sección Configurar proveedores de identidad, puedes optar por retener, agregar, actualizar o quitar un proveedor de identidad.

  6. Haz clic en Continuar para ir al siguiente paso de configuración. Si seleccionaste al menos un clúster apto para esta configuración, se mostrará la sección Autenticación de Google.

  7. Selecciona Habilitar para habilitar la autenticación de Google en los clústeres seleccionados. Si necesitas acceder al proveedor de identidad de Google mediante un proxy, ingresa los detalles del proxy.

  8. Haz clic en Update Configuration. Esto aplica la configuración de identidad en los clústeres seleccionados.

gcloud

Si no configuraste GKE Identity Service con anterioridad para una flota, sigue las instrucciones de Configura clústeres para GKE Identity Service. Especifica solo la siguiente configuración en tu archivo auth-config.yaml:

spec:
  authentication:
  - name: google-authentication-method
    google:
      disable: false

Configura el acceso a Grupos de Google con un proxy

Si necesitas acceder al proveedor de identidad de Google a través de un proxy, usa un campo proxy en el archivo auth-config.yaml. Es posible que debas configurarlo si, por ejemplo, tu clúster está en una red privada y necesita conectarse a un proveedor de identidad pública. Debes agregar esta configuración incluso si ya configuraste GKE Identity Service para otro proveedor.

Para configurar proxy, así es como puedes actualizar la sección authentication del archivo de configuración auth-config.yaml existente.

  spec:
    authentication:
    - name: google-authentication-method
      google:
        disable: false
      proxy: PROXY_URL

donde

  • disable (opcional) indica si deseas habilitar o inhabilitar la función de Grupos de Google para los clústeres. Este valor se establece en false de forma predeterminada. Si no deseas usar esta función, puedes establecerla como true.

  • PROXY_URL (opcional) es la dirección del servidor proxy para conectarse a la identidad de Google. Por ejemplo: http://user:password@10.10.10.10:8888.

Aplica la configuración

Para aplicar la configuración a un clúster, ejecuta el siguiente comando:

gcloud container fleet identity-service apply \
--membership=CLUSTER_NAME \
--config=/path/to/auth-config.yaml

donde

CLUSTER_NAME es el nombre de membresía único de tu clúster dentro de la flota.

Una vez aplicada, el controlador del servicio de identidad de GKE administra esta configuración. Cualquier cambio local realizado en la configuración del cliente de GKE Identity Service se concilia de nuevo por el controlador con la configuración especificada en esta configuración.

Por clúster

Si deseas configurar tu clúster para usar GKE Identity Service con la función de Grupos de Google, debes actualizar el ClientConfig de GKE Identity Service del clúster. Este es un tipo de recurso personalizado (CRD) de Kubernetes que se usa para configurar clústeres. Cada clúster de GKE Enterprise tiene un recurso ClientConfig llamado default en el espacio de nombres kube-public que actualizas con los detalles de configuración.

Para editar la configuración, usa el siguiente comando.

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG -n kube-public edit clientconfig default

En el ejemplo anterior, USER_CLUSTER_KUBECONFIG es la ruta de acceso al archivo kubeconfig del clúster.

Si hay varios contextos en kubeconfig, se usa el contexto actual. Es posible que debas restablecer el contexto actual al clúster correcto antes de ejecutar el comando.

A continuación, se muestra un ejemplo de cómo puedes actualizar ClientConfig con un nuevo método de autenticación que tenga una configuración de tipo google para habilitar la función de Grupos de Google. Si el campo internalServer está vacío, asegúrate de que esté configurado como https://kubernetes.default.svc, como se muestra a continuación.

spec:
  authentication:
  - google:
      audiences:
      - "CLUSTER_IDENTIFIER"
    name: google-authentication-method
    proxy: PROXY_URL
  internalServer: https://kubernetes.default.svc

donde

CLUSTER_IDENTIFIER (obligatorio) denota los detalles de la membresía de tu clúster. Puedes recuperar los detalles de la membresía del clúster con el siguiente comando:

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG get memberships membership -o yaml

donde

USER_CLUSTER_KUBECONFIG es la ruta de acceso al archivo kubeconfig del clúster. En la respuesta, consulta el campo spec.owner.id para recuperar los detalles de la membresía del clúster.

A continuación, se incluye un ejemplo de respuesta que muestra los detalles de membresía de un clúster:

id: //gkehub.googleapis.com/projects/123456789/locations/global/memberships/xy-ab12cd34ef

que corresponde al siguiente formato: //gkehub.googleapis.com/projects/PROJECT_NUMBER/locations/global/memberships/MEMBERSHIP

Otorga funciones de IAM a Grupos de Google

Los grupos necesitan las siguientes funciones adicionales de Google Cloud para interactuar con los clústeres conectados a través de la puerta de enlace:

  • roles/gkehub.gatewayAdmin: Esta función permite a los miembros del grupo acceder a la API de la puerta de enlace de Connect.
    • Si los miembros del grupo necesitan únicamente acceso de solo lectura a los clústeres conectados, se puede usar roles/gkehub.gatewayReader en su lugar.
    • Si los miembros del grupo necesitan acceso de lectura/escritura a los clústeres conectados, se puede usar roles/gkehub.gatewayEditor en su lugar.
  • roles/gkehub.viewer: Este rol permite a los miembros del grupo veer las membresías registradas a los clústeres.

Debes otorgar estas funciones mediante el comando gcloud projects add-iam-policy-binding, de la siguiente manera:

gcloud projects add-iam-policy-binding --member=group:GROUP_NAME@DOMAIN --role=GATEWAY_ROLE PROJECT_ID
gcloud projects add-iam-policy-binding --member=group:GROUP_NAME@DOMAIN --role=roles/gkehub.viewer PROJECT_ID

donde

  • GROUP_NAME es el grupo de Google al que deseas otorgar la función.
  • DOMAIN es tu dominio de Google Workspace.
  • GROUP_NAME@DOMAIN es un grupo anidado en gke-security-groups@DOMAIN
  • GATEWAY_ROLE es uno de roles/gkehub.gatewayAdmin, roles/gkehub.gatewayReader o gkehub.gatewayEditor.
  • PROJECT_ID es tu proyecto.

Puedes obtener más información para otorgar permisos y roles de IAM en Otorga, cambia y revoca el acceso a los recursos.

Configura políticas de control de acceso basado en roles (RBAC)

Por último, el servidor de la API de Kubernetes de cada clúster debe poder autorizar los comandos de kubectl que provienen de la puerta de enlace de los grupos que especificaste. Para cada clúster, debes agregar una política de permisos RBAC que especifique qué permisos tiene el grupo en el clúster.

En el siguiente ejemplo, verás cómo otorgar a los miembros del grupo cluster-admin-team permisos cluster-admin en el clúster, guardar el archivo de política como /tmp/admin-permission.yaml y aplicarlo al clúster asociado con el contexto actual. Asegúrate de incluir también el grupo cluster-admin-team en el grupo gke-security-groups.

cat <<EOF > /tmp/admin-permission.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: gateway-cluster-admin-group
subjects:
- kind: Group
  name: cluster-admin-team@example.com
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
EOF
# Apply permission policy to the cluster.
kubectl apply --kubeconfig=KUBECONFIG_PATH -f /tmp/admin-permission.yaml

Para obtener más información sobre cómo especificar permisos de RBAC, consulte Cómo usar la autorización de RBAC.

Próximos pasos