设置 Connect 网关

本指南适用于需要设置 Connect 网关供其项目用户和服务帐号使用的平台管理员。在阅读本指南之前，您应该先熟悉我们的概览中的概念。

如从 Cloud Console 登录到集群中所述，此设置让用户既可以直接使用 Connect 网关，又可以使用 Cloud Console 中的 Google Cloud 身份连接到 Google Cloud 之外的已注册集群。

此设置只允许根据用户和服务的个体 ID（而不是 Google 群组的成员身份）进行授权。如需设置其他群组支持，请参阅使用 Connect 群组设置 Connect 网关。

准备工作

确保您已安装以下命令行工具：
- 最新版本的 Cloud SDK，其中包含用于与 Google Cloud 交互的命令行工具 gcloud。
- kubectl
如果您使用 Cloud Shell 作为与 Google Cloud 交互的 Shell 环境，则系统会为您安装这些工具。
确保您已初始化用于您的项目的 gcloud 命令行工具。
本指南假设您在项目中具有 roles/owner。如果您不是项目所有者，则可能还需要其他权限才能执行部分设置步骤。

启用 API

如需将网关添加到您的项目中，请启用 Connect 网关 API 及其必需的依赖项 API。如果您的用户只想使用 Cloud Console 对集群进行身份验证，则无需启用 connectgateway.googleapis.com，但需要启用其余的 API。

PROJECT_ID=example_project
gcloud services enable --project=${PROJECT_ID}  \
connectgateway.googleapis.com \
anthos.googleapis.com \
gkeconnect.googleapis.com \
gkehub.googleapis.com \
cloudresourcemanager.googleapis.com

验证已注册的集群

只能通过 Connect 网关访问已向您的项目队列注册的集群。在本地和其他公有云上创建 Anthos 集群时，其会自动注册。但是，Google Cloud 上的 GKE 集群和另行关联的集群必须单独注册。如果您需要注册集群，请按照注册集群中的说明操作。请注意，GKE 集群必须向 Connect Agent 注册才能使用网关。

如需验证集群是否已注册，请运行以下命令：

gcloud container hub memberships list

您应该会看到所有已注册集群的列表，如以下示例输出所示：

NAME         EXTERNAL_ID
cluster-1    0192893d-ee0d-11e9-9c03-42010a8001c1
cluster-2    f0e2ea35-ee0c-11e9-be79-42010a8400c2

向用户授予 IAM 角色

用户和服务帐号需要以下附加 Google Cloud 角色才能通过网关与连接的集群交互，除非用户或帐号在项目中具有 roles/owner：

roles/gkehub.gatewayAdmin。此角色允许用户访问 Connect 网关 API。
- 如果用户只需要对连接的集群的只读权限，则可以改用 roles/gkehub.gatewayReader。
roles/gkehub.viewer。此角色允许用户检索集群凭据。

您可以使用 gcloud projects add-iam-policy-binding 命令授予这些角色，如下所示：


# [PROJECT_ID] is the project's unique identifier.
# [ACCOUNT_ADDRESS] is an email address, which can belong to either a user account or a service account

PROJECT_ID=example_project

# MEMBER should be of the form `user|serviceAccount:$ACCOUNT_ADDRESS`, for example:
# MEMBER=user:foo@example.com
# MEMBER=serviceAccount:test@example-project.iam.gserviceaccount.com

MEMBER=user:foo@example.com

# GATEWAY_ROLE should be `roles/gkehub.gatewayAdmin` or `roles/gkehub.gatewayReader`.
GATEWAY_ROLE=roles/gkehub.gatewayAdmin

gcloud projects add-iam-policy-binding ${PROJECT_ID} \
--member ${MEMBER} \
--role ${GATEWAY_ROLE}
gcloud projects add-iam-policy-binding ${PROJECT_ID} \
--member ${MEMBER} \
--role roles/gkehub.viewer

如需详细了解如何授予 IAM 权限和角色，请参阅授予、更改和撤消对资源的访问权限。

授予通过 Cloud Console 进行访问的角色

对于只想使用 Cloud Console 与连接的集群进行交互的用户，需要以下角色：

roles/gkehub.viewer。此角色允许用户在 GKE 控制台页面中查看集群。
roles/container.viewer。此角色允许用户在 Cloud Console 中查看容器资源。

配置基于角色的访问权限控制 (RBAC) 政策

最后，每个集群的 Kubernetes API 服务器必须能够对来自指定用户和服务帐号且通过网关的 kubectl 命令授权。为此，您需要在要设为可通过网关访问的每个集群上更新 RBAC 政策。您需要更新或添加两个政策：

模拟政策，用于授权 Connect 代理代表用户向 Kubernetes API 服务器发送请求。以下示例展示了如何为用户 (foo@example.com) 和服务帐号 (test@example-project.iam.gserviceaccount.com) 创建和应用此类政策，将政策文件另存为 /tmp/impersonate.yaml，并将其应用于与当前上下文关联的集群：

cat <<EOF > /tmp/impersonate.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: gateway-impersonate
rules:
- apiGroups:
  - ""
  resourceNames:
  - foo@example.com
  - test@example-project.iam.gserviceaccount.com
  resources:
  - users
  verbs:
  - impersonate
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: gateway-impersonate
roleRef:
  kind: ClusterRole
  name: gateway-impersonate
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
  name: connect-agent-sa
  namespace: gke-connect
EOF
# Apply impersonation policy to the cluster.
kubectl apply -f /tmp/impersonate.yaml

请注意，这并不能确保请求本身将得到 API 服务器的授权，为此，您还需要明确授予每个帐号适当的 RBAC 权限来执行 Kubernetes 操作，如下所述。

权限政策：用于指定用户对集群拥有哪些权限。以下示例展示了如何向用户授予针对集群的 foo@example.com cluster-admin 权限，将政策文件另存为 /tmp/admin-permission.yaml，并将其应用于与当前上下文关联的集群。

cat <<EOF > /tmp/admin-permission.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: gateway-cluster-admin
subjects:
- kind: User
  name: foo@example.com
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
EOF
# Apply permission policy to the cluster.
kubectl apply -f /tmp/admin-permission.yaml

如需详细了解如何指定 RBAC 权限，请参阅使用 RBAC 授权。

VPC Service Controls 支持

VPC Service Controls 为 Google Cloud 服务提供一层额外的、独立于 Identity and Access Management (IAM) 的安全防御。IAM 实现了精细基于身份的访问权限控制，而 VPC Service Controls 可实现更广泛的基于上下文的边界安全性，包括控制跨边界数据出站流量。例如，您可以指定只有某些项目可以访问您的 BigQuery 数据。您可以参阅 VPC Service Controls 概览，详细了解 VPC Service Controls 如何保护您的数据。

在确保可以从指定的服务边界访问使用 Connect 网关所需的 API 后，您可以将 VPC Service Controls 与该网关结合使用以提高数据安全性。

后续步骤

了解如何使用 Connect 网关通过命令行连接到集群。
如需了解如何将 Connect 网关用作 DevOps 自动化的一部分的示例，请参阅与 Cloud Build 集成教程。