Memverifikasi login

Verifikasi bahwa Anda dapat login dengan konsol GDC atau gdcloud CLI.

Login

Untuk login ke Distributed Cloud, ikuti langkah-langkah berikut:

Konsol

Buka URL berikut di tab browser baru untuk mengakses UI Distributed Cloud:

https://GDC_URL

Ganti GDC_URL dengan nama domain dari Operator Infrastruktur (IO) yang mengonfigurasi layanan Sistem Nama Domain (DNS).

Saat membuka URL apa pun untuk pertama kalinya, halaman akan mengalihkan Anda ke halaman login penyedia identitas Anda. Untuk login, gunakan nama pengguna dan sandi yang Anda buat sebelumnya.

Catatan: Halaman yang mengandalkan resource Kubernetes, seperti https://GDC_URL/racks, tidak berfungsi. Konsol debug Chrome menampilkan error forbidden dalam respons. Error ini terjadi karena pengguna pengujian tidak memiliki izin yang diberikan dan tidak terikat ke peran apa pun.

CLI

Saat login ke gdcloud CLI, gunakan perintah gdcloud auth login untuk mengautentikasi principal ke gdcloud CLI. gdcloud CLI menggunakan akun utama tersebut untuk autentikasi dan otorisasi guna mengelola resource dan layanan Google Cloud .

Sebelum Anda login, pastikan Anda melakukan hal berikut:

• Download biner gdcloud CLI dan instal di sistem Anda. Untuk mengetahui informasi selengkapnya, lihat Mendownload gdcloud CLI.
• Siapkan dan lakukan inisialisasi konfigurasi default gdcloud CLI. Pastikan untuk menyetel URL organisasi yang benar, yang digunakan untuk mengambil endpoint konfigurasi login. Untuk mengetahui informasi selengkapnya, lihat penginstalan gdcloud CLI.
• Instal plugin autentikasi gdcloud-k8s-auth-plugin. Untuk mengetahui informasi selengkapnya, lihat autentikasi gcloud CLI.

Penting: Jalankan langkah-langkah berikutnya di sistem Anda dengan akun pengguna Anda dan bukan dengan akun root. gdcloud CLI tidak otomatis membuka browser saat dalam mode root.

Untuk login ke cluster, selesaikan langkah-langkah berikut:

1. Ekspor jalur tempat Anda ingin menyimpan file kubeconfig cluster:

     export KUBECONFIG=CLUSTER_KUBECONFIG
   

   Ganti CLUSTER_KUBECONFIG dengan jalur ke direktori tempat menyimpan file kubeconfig.

2. Lakukan autentikasi instance gdcloud CLI Anda untuk login. Ada dua cara untuk mengautentikasi:

   • Login browser standar: Gunakan alur autentikasi ini saat login dari browser.

       gdcloud auth login
     

   • Login perangkat sekunder: Gunakan alur autentikasi ini jika perangkat utama Anda tidak memiliki browser. Alur ini memulai login di perangkat utama tanpa akses browser dan melanjutkan login dengan perangkat sekunder yang memiliki akses browser.

     Mulai login di perangkat utama Anda tanpa browser:

       gdcloud auth login --no-browser
     

     Variabel lingkungan KUBECONFIG diperbarui dengan file kubeconfig untuk semua server dan cluster API di organisasi. Jika variabel KUBECONFIG tidak ditetapkan, kubectl CLI akan menggunakan file kubeconfig default yang disimpan di $HOME/.kube/config.

     Untuk melewati pengeditan file kubeconfig, tambahkan flag --skip-kubeconfig-update ke perintah Anda. Contoh:

       gdcloud auth login --no-browser --skip-kubeconfig-update
     

     Salin output perintah gdcloud CLI yang dicetak, dan jalankan di mesin dengan akses browser.

3. Ikuti petunjuk di halaman web untuk menyelesaikan proses login.

   Setelah login berhasil diselesaikan, browser akan menampilkan pesan Authentication successful. Tutup jendela ini.

4. Ikuti petunjuk di terminal. Setelah berhasil login, terminal akan menampilkan pesan: You are now logged in.

   Catatan: Jika Anda melihat error x509: certificate signed by unknown authority, berarti workstation Anda tidak memercayai sertifikat CA yang digunakan di GDC. Ikuti prosedur organisasi Anda untuk memeriksa penyimpanan sertifikasi tepercaya untuk workstation Anda.
   Peringatan: Menggunakan --login-config-cert dengan sertifikat yang tidak terverifikasi membuat Anda rentan terhadap serangan man-in-the-middle. Pastikan Anda hanya mengandalkan penyimpanan tepercaya workstation, bukan mempercayai sertifikat CA dari sumber yang tidak dikenal.

5. Ekspor file kubeconfig identitas pengguna Anda sebagai variabel:

     export KUBECONFIG=/tmp/admin-kubeconfig-with-user-identity.yaml
   

6. Buat file kubeconfig dengan identitas pengguna Anda:

     gdcloud clusters get-credentials CLUSTER_NAME --zone ZONE
   

   Ganti ZONE dengan nama zona.

   Catatan: Daftar nama cluster yang tersedia dapat dilihat di URL konfigurasi login:
   https://GDC_URL/.well-known/login-config?allZones=true.

   File kubeconfig dibuat dengan identitas pengguna Anda. File YAML berikut menunjukkan contoh:

   apiVersion: v1
   clusters:
   - cluster:
       certificate-authority-data: <REDACTED>
       server: https://10.200.0.32:443
     name: cluster-name
   contexts:
   - context:
       cluster: cluster-name
       user: cluster-name-anthos-default-user
     name: cluster-name-cluster-name-anthos-default-user
   current-context: cluster-name-cluster-name-anthos-default-user
   kind: Config
   preferences: {}
   users:
   - name: cluster-name-anthos-default-user
     user:
       exec:
         apiVersion: client.authentication.k8s.io/v1
         args:
         - --audience=root-admin
         command: gdcloud-k8s-auth-plugin
         env: null
         installHint: Run 'gdcloud components install gdcloud-k8s-auth-plugin' to use plugin
         interactiveMode: Never
         provideClusterInfo: false
   

7. Untuk memverifikasi bahwa Anda dapat mengakses cluster, login dengan file kubeconfig yang dibuat dengan identitas pengguna:

   kubectl --kubeconfig /tmp/admin-kubeconfig-with-user-identity.yaml version
   

Keluar

Untuk memverifikasi logout, lakukan hal berikut:

Konsol

Untuk logout dari UI web, klik Logout di panel menu.

CLI

Logout dari CLI:

gdcloud auth revoke

Membuat file kubeconfig secara manual

Jika Anda mengelola resource dengan kubectl CLI dengan memanggil KRM API secara langsung, Anda harus membuat file kubeconfig untuk cluster yang menghosting resource, bergantung pada jenis resource yang Anda kelola. Cluster dan server yang tersedia adalah sebagai berikut:

Cluster	Nama
Cluster admin root	admin-root
Server API global root	global-api
Cluster admin org (organisasi v1)	ORG_NAME-admin
Cluster sistem (organisasi v1)	ORG_NAME-system
Cluster infrastruktur org (organisasi v2)	ORG_NAME-infra
Server Management API (organisasi v2)	ORG_NAME-admin
Server API global admin org.	global-api
Cluster pengguna	CLUSTER_NAME

Anda juga harus mengetahui konfigurasi semesta GDC untuk menentukan zona tempat Anda ingin men-deploy resource zonal, atau server API global untuk resource global. Untuk mengetahui informasi selengkapnya, lihat Server API global dan zonal.

Tentukan apakah resource yang Anda manipulasi adalah resource global atau zonal. Buka dokumentasi khusus resource untuk mendapatkan bantuan jika Anda tidak yakin.

Selesaikan penyiapan yang berlaku berdasarkan jenis resource Anda.

Resource zona

Selesaikan langkah-langkah berikut untuk membuat file kubeconfig bagi cluster zonal Anda:

1. Melihat semua zona yang tersedia:

   gdcloud zones list
   

   Catat nama zona yang menghosting resource kustom Anda.

2. Tetapkan variabel lingkungan ZONE ke zona yang menghosting resource zonal Anda:

   export ZONE="ZONE"
   

   Ganti ZONE dengan nama zona.

3. Tetapkan variabel lingkungan CLUSTER:

   export CLUSTER="CLUSTER_NAME"
   

   Ganti CLUSTER_NAME dengan nama cluster yang menghosting resource Anda.

4. Buat file kubeconfig cluster untuk zona target, dan validasi kredensial:

   export KUBECONFIG=${HOME}/${CLUSTER:?}-kubeconfig.yaml
   rm ${KUBECONFIG:?}
   gdcloud clusters get-credentials ${CLUSTER:?} --zone ${ZONE:?}
   [[ $(kubectl config current-context) == *${CLUSTER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"
   

   Perintah rm ${KUBECONFIG:?} menghapus file kubeconfig yang ada di direktori beranda. Meskipun tanpa menghapus file kubeconfig yang ada secara eksplisit, file kubeconfig akan digantikan oleh file kubeconfig yang baru dibuat. Jika Anda tidak ingin menimpa atau menghapus file yang ada, cadangkan file tersebut di lokasi aman lainnya.

Resource global

Selesaikan langkah-langkah berikut untuk membuat file kubeconfig Anda untuk server API global:

1. Tetapkan variabel lingkungan GLOBAL_API_SERVER:

   export GLOBAL_API_SERVER="global-api"
   

2. Buat file kubeconfig server API global, dan validasi kredensial:

   export KUBECONFIG=${HOME}/${GLOBAL_API_SERVER:?}-kubeconfig.yaml
   rm ${KUBECONFIG:?}
   gdcloud clusters get-credentials ${GLOBAL_API_SERVER:?}
   [[ $(kubectl config current-context) == *${GLOBAL_API_SERVER:?}* ]] && echo "Success. Your kubeconfig is at $KUBECONFIG" || echo "Failure"
   

   Perintah rm ${KUBECONFIG:?} menghapus file kubeconfig yang ada di direktori beranda. Meskipun tanpa menghapus file kubeconfig yang ada secara eksplisit, file kubeconfig akan digantikan oleh file kubeconfig yang baru dibuat. Jika Anda tidak ingin menimpa atau menghapus file yang ada, cadangkan file tersebut di lokasi aman lainnya.

Logout karena tidak ada aktivitas sesi

Setelah tidak ada aktivitas selama lima belas menit atau lebih dalam sesi, konsol GDC dan gdcloud CLI akan mengeluarkan Anda. GDC menganggap tidak adanya aktivitas sesi sebagai periode selama sesi terbuka tanpa adanya engagement aktif dari Anda, seperti tidak ada pergerakan kursor atau keyboard. Sesi aktif berlangsung hingga dua belas jam dengan aktivitas pengguna.

Konsol

Jika tidak ada aktivitas sesi, konsol GDC akan membuat Anda logout. Dua menit sebelum konsol GDC mengeluarkan Anda karena tidak ada aktivitas, Anda akan menerima dialog yang memperingatkan Anda tentang logout:

Setelah logout karena tidak ada aktivitas, Anda akan melihat layar berikut:

Untuk login kembali ke konsol GDC, pilih penyedia identitas Anda dan tambahkan kredensial login Anda. Jika Anda menggunakan layanan, seperti dasbor pemantauan, dan konsol GDC mengeluarkan Anda karena tidak ada aktivitas, login kembali untuk mendapatkan akses.

CLI

Untuk sesi tidak aktif, gdcloud CLI akan membuat Anda logout. Setelah gdcloud CLI mengeluarkan Anda, dan Anda mencoba menjalankan perintah, Anda akan menerima error otorisasi:

Error: error when creating kube client: unable to create k8sclient: Unauthorized

Untuk login kembali ke gdcloud CLI, ikuti langkah-langkah CLI di Login.

Catatan: Perintah yang tidak membuat permintaan API, seperti gdcloud init dan gdcloud config, tidak dihitung dalam aktivitas Anda. Saat menggunakan perintah ini, CLI gdcloud akan membuat Anda logout.

kubectl

gdcloud CLI akan menghentikan masa berlaku file kubeconfig Anda setelah sesi tidak aktif. Jika Anda mencoba menjalankan perintah kubectl setelah tidak ada aktivitas, Anda akan menerima error otorisasi:

error: You must be logged in to the server (Unauthorized)

Untuk login kembali dan menggunakan file kubeconfig, ikuti langkah-langkah CLI di bagian Login. Untuk setiap waktu tunggu sesi, Anda harus membuat ulang file kubeconfig.