Anmeldungen bestätigen

Prüfen Sie, ob Sie sich mit der GDC-Konsole oder der gdcloud CLI anmelden können.

Anmelden

So melden Sie sich bei Distributed Cloud an:

Console

Öffnen Sie die folgende URL in einem neuen Browser-Tab, um auf die Distributed Cloud-Benutzeroberfläche zuzugreifen:

https://GDC_URL

Ersetzen Sie GDC_URL durch den Domainnamen des Infrastrukturbetreibers (Infrastructure Operator, IO), der den DNS-Dienst (Domain Name System) konfiguriert hat.

Wenn Sie eine URL zum ersten Mal öffnen, werden Sie zur Anmeldeseite Ihres Identitätsanbieters weitergeleitet. Melden Sie sich mit dem Nutzernamen und dem Passwort an, die Sie zuvor erstellt haben.

Hinweis :Seiten, die auf Kubernetes-Ressourcen wie https://GDC_URL/racks basieren, funktionieren nicht. In der Chrome-Debug-Konsole werden forbidden-Fehler in Antworten angezeigt. Dieser Fehler tritt auf, weil dem Testnutzer keine Berechtigungen erteilt wurden und er an keine Rollen gebunden ist.

Befehlszeile

Wenn Sie sich in der gdcloud CLI anmelden, verwenden Sie den Befehl gdcloud auth login, um ein Konto in der gdcloud CLI zu authentifizieren. Die gcloud CLI verwendet dieses Hauptkonto zur Authentifizierung und Autorisierung, um Google Cloud -Ressourcen und -Dienste zu verwalten.

Bevor Sie sich anmelden, müssen Sie Folgendes tun:

• Laden Sie die Binärdatei für die gdcloud CLI herunter und installieren Sie sie auf Ihrem System. Weitere Informationen finden Sie unter gcloud CLI herunterladen.
• Richten Sie die Standardkonfiguration der gcloud CLI ein und initialisieren Sie sie. Achten Sie darauf, die richtige Organisations-URL festzulegen, die zum Abrufen des Anmeldekonfigurationsendpunkts verwendet wird. Weitere Informationen finden Sie unter gcloud CLI installieren.
• Installieren Sie das Authentifizierungs-Plug-in gdcloud-k8s-auth-plugin. Weitere Informationen finden Sie unter Authentifizierung der gcloud CLI.

Wichtig :Führen Sie die nächsten Schritte auf Ihrem System mit Ihrem Nutzerkonto und nicht mit dem Root-Konto aus. Die gcloud-Befehlszeile öffnet im Root-Modus nicht automatisch einen Browser.

Führen Sie die folgenden Schritte aus, um sich bei einem Cluster anzumelden:

1. Exportieren Sie den Pfad, in dem Sie die kubeconfig-Datei des Clusters speichern möchten:

     export KUBECONFIG=CLUSTER_KUBECONFIG
   

   Ersetzen Sie CLUSTER_KUBECONFIG durch den Pfad zum Verzeichnis, in dem die kubeconfig-Datei gespeichert werden soll.

2. Authentifizieren Sie Ihre gcloud CLI-Instanz, um sich anzumelden. Es gibt zwei Möglichkeiten zur Authentifizierung:

   • Standardanmeldung im Browser:Verwenden Sie diesen Authentifizierungsablauf, wenn Sie sich über einen Browser anmelden.

       gdcloud auth login
     

   • Anmeldung auf einem sekundären Gerät:Verwenden Sie diesen Authentifizierungsablauf, wenn auf Ihrem primären Gerät kein Browser verfügbar ist. Bei diesem Ablauf wird die Anmeldung auf dem Hauptgerät ohne Browserzugriff gestartet und auf dem Zweitgerät mit Browserzugriff fortgesetzt.

     So starten Sie die Anmeldung auf Ihrem Hauptgerät ohne Browser:

       gdcloud auth login --no-browser
     

     Die Umgebungsvariable KUBECONFIG wird mit den kubeconfig-Dateien für alle API-Server und Cluster in der Organisation aktualisiert. Wenn die Variable KUBECONFIG nicht festgelegt ist, verwendet die kubectl-Befehlszeile die standardmäßige kubeconfig-Datei, die in $HOME/.kube/config gespeichert ist.

     Wenn Sie die Bearbeitung der kubeconfig-Dateien überspringen möchten, fügen Sie Ihrem Befehl das Flag --skip-kubeconfig-update hinzu. Beispiel:

       gdcloud auth login --no-browser --skip-kubeconfig-update
     

     Kopieren Sie die Ausgabe des gcloud CLI-Befehls und führen Sie sie auf einem Computer mit Browserzugriff aus.

3. Folgen Sie der Anleitung auf der Webseite, um die Anmeldung abzuschließen.

   Nach erfolgreichem Abschluss der Anmeldung wird im Browser die Meldung Authentifizierung erfolgreich. Bitte schließen Sie dieses Fenster.

4. Folgen Sie der Anleitung auf dem Terminal. Nach erfolgreicher Anmeldung wird im Terminal die Meldung You are now logged in (Sie sind jetzt angemeldet) angezeigt.

   Hinweis :Wenn Sie den Fehler x509: certificate signed by unknown authority sehen, vertraut Ihre Workstation dem in GDC verwendeten CA-Zertifikat nicht. Folgen Sie dem Verfahren Ihrer Organisation, um den vertrauenswürdigen Zertifikatspeicher für Ihre Arbeitsstation zu prüfen.
   Warnung :Wenn Sie --login-config-cert mit einem nicht bestätigten Zertifikat verwenden, sind Sie anfällig für Man-in-the-Middle-Angriffe. Verlassen Sie sich nur auf den Trust Store Ihrer Workstation und vertrauen Sie keinem CA-Zertifikat aus unbekannten Quellen.

5. Exportieren Sie die kubeconfig-Datei Ihrer Nutzeridentität als Variable:

     export KUBECONFIG=/tmp/admin-kubeconfig-with-user-identity.yaml
   

6. Generieren Sie eine kubeconfig-Datei mit Ihrer Nutzeridentität:

     gdcloud clusters get-credentials CLUSTER_NAME --zone ZONE
   

   Ersetzen Sie ZONE durch den Namen der Zone.

   Hinweis :Die Liste der verfügbaren Clusternamen ist in der Anmeldekonfigurations-URL verfügbar:
   https://GDC_URL/.well-known/login-config?allZones=true.

   Eine kubeconfig-Datei wird mit Ihrer Nutzeridentität generiert. Die folgende YAML-Datei zeigt ein Beispiel:

   apiVersion: v1
   clusters:
   - cluster:
       certificate-authority-data: <REDACTED>
       server: https://10.200.0.32:443
     name: cluster-name
   contexts:
   - context:
       cluster: cluster-name
       user: cluster-name-anthos-default-user
     name: cluster-name-cluster-name-anthos-default-user
   current-context: cluster-name-cluster-name-anthos-default-user
   kind: Config
   preferences: {}
   users:
   - name: cluster-name-anthos-default-user
     user:
       exec:
         apiVersion: client.authentication.k8s.io/v1
         args:
         - --audience=root-admin
         command: gdcloud-k8s-auth-plugin
         env: null
         installHint: Run 'gdcloud components install gdcloud-k8s-auth-plugin' to use plugin
         interactiveMode: Never
         provideClusterInfo: false
   

7. So prüfen Sie, ob Sie auf den Cluster zugreifen können: Melden Sie sich mit der generierten kubeconfig-Datei mit einer Nutzeridentität an:

   kubectl --kubeconfig /tmp/admin-kubeconfig-with-user-identity.yaml version
   

Abmelden

So prüfen Sie, ob die Abmeldung funktioniert hat:

Console

Wenn Sie sich von der Web-UI abmelden möchten, klicken Sie in der Menüleiste auf  Abmelden.

Befehlszeile

Von der CLI abmelden:

gdcloud auth revoke

kubeconfig-Datei manuell generieren

Wenn Sie Ressourcen mit der kubectl-Befehlszeile verwalten, indem Sie KRM-APIs direkt aufrufen, müssen Sie die kubeconfig-Datei für den Cluster generieren, der Ihre Ressource hostet. Das hängt vom Ressourcentyp ab, den Sie verwalten. Die verfügbaren Cluster und Server sind:

Cluster	Name
Root-Administratorcluster	root-admin
Globaler Stamm-API-Server	global-api
Administratorcluster der Organisation (Organisation der Version 1)	ORG_NAME-Administrator
Systemcluster (v1-Organisation)	ORG_NAME-System
Organisationsinfrastrukturcluster (v2-Organisation)	ORG_NAME-infra
Verwaltungs-API-Server (Organisation Version 2)	ORG_NAME-Administrator
Globaler API-Server für Organisationsadministratoren	global-api
Nutzercluster	CLUSTER_NAME

Sie müssen auch die Konfiguration Ihres GDC-Universums kennen, um die Zonen zu bestimmen, in denen Sie Ihre zonalen Ressourcen bereitstellen möchten, oder den globalen API-Server für globale Ressourcen. Weitere Informationen finden Sie unter Globale und zonale API-Server.

Stellen Sie fest, ob die Ressource, die Sie bearbeiten, eine globale oder zonale Ressource ist. Wenn Sie sich nicht sicher sind, finden Sie in der Dokumentation der jeweiligen Ressource weitere Informationen.

Führen Sie die entsprechende Einrichtung basierend auf Ihrem Ressourcentyp durch.

Zonale Ressourcen

Führen Sie die folgenden Schritte aus, um die kubeconfig-Datei für den zonalen Cluster zu generieren:

1. So rufen Sie alle verfügbaren Zonen auf:

   gdcloud zones list
   

   Notieren Sie sich den Namen der Zone, in der Ihre benutzerdefinierte Ressource gehostet wird.

2. Legen Sie die Umgebungsvariable ZONE auf die Zone fest, in der sich Ihre zonalen Ressourcen befinden:

   export ZONE="ZONE"
   

   Ersetzen Sie ZONE durch den Namen der Zone.

3. Legen Sie die Umgebungsvariable CLUSTER fest:

   export CLUSTER="CLUSTER_NAME"
   

   Ersetzen Sie CLUSTER_NAME durch den Namen des Clusters, auf dem sich Ihre Ressource befindet.

4. Generieren Sie die kubeconfig-Datei für den Cluster für die Zielzone und prüfen Sie die Anmeldedaten:

   export KUBECONFIG=${HOME}/${CLUSTER:?}-kubeconfig.yaml
   rm ${KUBECONFIG:?}
   gdcloud clusters get-credentials ${CLUSTER:?} --zone ${ZONE:?}
   [[ $(kubectl config current-context) == *${CLUSTER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"
   

   Mit dem Befehl rm ${KUBECONFIG:?} wird die vorhandene kubeconfig-Datei im Home-Verzeichnis entfernt. Auch ohne die vorhandene kubeconfig-Datei explizit zu entfernen, wird sie durch die neu generierte kubeconfig-Datei überschrieben. Wenn Sie die vorhandene Datei nicht überschreiben oder entfernen möchten, sichern Sie sie an einem anderen sicheren Ort.

Globale Ressourcen

Führen Sie die folgenden Schritte aus, um die kubeconfig-Datei für den globalen API-Server zu generieren:

1. Legen Sie die Umgebungsvariable GLOBAL_API_SERVER fest:

   export GLOBAL_API_SERVER="global-api"
   

2. Generieren Sie die globale kubeconfig-Datei für den API-Server und validieren Sie die Anmeldedaten:

   export KUBECONFIG=${HOME}/${GLOBAL_API_SERVER:?}-kubeconfig.yaml
   rm ${KUBECONFIG:?}
   gdcloud clusters get-credentials ${GLOBAL_API_SERVER:?}
   [[ $(kubectl config current-context) == *${GLOBAL_API_SERVER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"
   

   Mit dem Befehl rm ${KUBECONFIG:?} wird die vorhandene kubeconfig-Datei im Home-Verzeichnis entfernt. Auch ohne die vorhandene kubeconfig-Datei explizit zu entfernen, wird sie durch die neu generierte kubeconfig-Datei überschrieben. Wenn Sie die vorhandene Datei nicht überschreiben oder entfernen möchten, sichern Sie sie an einem anderen sicheren Ort.

Abmeldung bei Inaktivität

Nach 15 Minuten oder mehr Inaktivität in einer Sitzung werden Sie von der GDC-Konsole und der gdcloud-CLI abgemeldet. Bei GDC gilt eine Sitzung als inaktiv, wenn während einer offenen Sitzung keine aktiven Aktionen von Ihnen erfolgen, z. B. keine Maus- oder Tastaturbewegungen. Eine aktive Sitzung kann bis zu zwölf Stunden dauern, wenn Nutzeraktivitäten gemessen werden.

Console

Bei Inaktivität während einer Sitzung werden Sie aus der GDC-Konsole abgemeldet. Zwei Minuten, bevor Sie in der GDC-Konsole aufgrund von Inaktivität abgemeldet werden, wird ein Dialogfeld angezeigt, in dem Sie vor der Abmeldung gewarnt werden:

Nachdem Sie aufgrund von Inaktivität abgemeldet wurden, wird der folgende Bildschirm angezeigt:

Wenn Sie sich wieder in der GDC-Konsole anmelden möchten, wählen Sie Ihren Identitätsanbieter aus und geben Sie Ihre Anmeldedaten ein. Wenn Sie einen Dienst wie das Monitoring-Dashboard verwenden und Sie aufgrund von Inaktivität aus der GDC-Konsole abgemeldet werden, melden Sie sich wieder an, um Zugriff zu erhalten.

Befehlszeile

Bei Inaktivität während der Sitzung werden Sie von der gcloud CLI abgemeldet. Nachdem Sie sich mit der gcloud CLI abgemeldet haben und versuchen, einen Befehl auszuführen, erhalten Sie einen Autorisierungsfehler:

Error: error when creating kube client: unable to create k8sclient: Unauthorized

Wenn Sie sich wieder in der gcloud CLI anmelden möchten, folgen Sie der Anleitung unter Anmelden.

Hinweis :Befehle, bei denen keine API-Anfragen gestellt werden, z. B. gdcloud init und gdcloud config, werden nicht auf Ihre Aktivität angerechnet. Bei Verwendung dieser Befehle werden Sie von der gcloud CLI abgemeldet.

kubectl

Die gdcloud CLI lässt Ihre kubeconfig-Dateien nach Inaktivität der Sitzung ablaufen. Wenn Sie versuchen, nach einer Inaktivitätsphase einen kubectl-Befehl auszuführen, erhalten Sie einen Autorisierungsfehler:

error: You must be logged in to the server (Unauthorized)

Wenn Sie sich wieder anmelden und Ihre kubeconfig-Dateien verwenden möchten, folgen Sie der Anleitung unter Anmelden. Bei jedem Sitzungs-Timeout müssen Sie Ihre kubeconfig-Dateien neu generieren.