Abilitazione di IAP per GKE

Questa pagina spiega come proteggere un'istanza di Google Kubernetes Engine (GKE) con Identity-Aware Proxy (IAP).

Panoramica

IAP è integrato tramite Ingress per GKE. Questa integrazione consente di controllare l'accesso dei dipendenti a livello di risorsa invece di utilizzare una VPN.

In un cluster GKE, il traffico in entrata è gestito da Bilanciamento del carico HTTP(S), un componente di Cloud Load Balancing. Il bilanciatore del carico HTTP(S) è in genere configurato dal controller Kubernetes Ingress. Il controller Ingress riceve informazioni di configurazione da un oggetto Kubernetes Ingress associato a uno o più oggetti Service. Ogni oggetto Service contiene informazioni di routing utilizzate per indirizzare una richiesta in arrivo a un pod e a una porta specifici.

A partire da Kubernetes versione 1.10.5-gke.3, puoi aggiungere la configurazione per il bilanciatore del carico associando un servizio a un oggetto BackendConfig. BackendConfig è una definizione di risorse personalizzate (CRD) definita nel repository kubernetes/ingress-gce.

Il controller Kubernetes Ingress legge le informazioni di configurazione da BackendConfig e imposta il bilanciatore del carico di conseguenza. Un oggetto BackendConfig contiene informazioni di configurazione specifiche per Cloud Load Balancing e consente di definire una configurazione separata per ogni servizio di backend di bilanciamento del carico HTTP(S).

Prima di iniziare

Per abilitare IAP per GKE, devi disporre di:

• Un progetto della console Google Cloud con fatturazione abilitata.
• Un gruppo di una o più istanze GKE, gestite da un bilanciatore del carico HTTPS. Il bilanciatore del carico deve essere creato automaticamente quando crei un oggetto Ingress in un cluster GKE.
  • Scopri di più sulla creazione di una risorsa Ingress per HTTPS.
• Un nome di dominio registrato all'indirizzo del bilanciatore del carico.
• Il codice dell'app per verificare che tutte le richieste abbiano un'identità.
  • Scopri di più su come ottenere l'identità dell'utente.

Abilitazione di IAP in corso...

Se non hai configurato la schermata per il consenso OAuth del progetto, dovrai viene richiesto di farlo. Per configurare la schermata per il consenso OAuth, consulta Configura la schermata per il consenso OAuth.

Configurazione dell'accesso IAP

1. Vai alla sezione Pagina Identity-Aware Proxy.
   Vai alla pagina Identity-Aware Proxy
2. Seleziona il progetto che vuoi proteggere con IAP.

3. Seleziona la casella di controllo accanto alla risorsa a cui vuoi concedere l'accesso.

   Se non vedi una risorsa, assicurati che sia stata creata e il controller in entrata BackendConfig Compute Engine è sincronizzato.

   Per verificare che il servizio di backend sia disponibile, esegui questo comando Comando gcloud:

   gcloud compute backend-services list
4. Nel riquadro laterale a destra, fai clic su Aggiungi entità.
5. Nella finestra di dialogo Aggiungi entità visualizzata, inserisci gli indirizzi email dei gruppi oppure utenti che dovrebbero avere il ruolo Utente applicazione web con protezione IAP per il progetto.

   I seguenti tipi di entità possono avere questo ruolo:

   • Account Google: [e-mail]
   • Gruppo Google: [e-mail]
   • Account di servizio: [e-mail]
   • Dominio Google Workspace: example.com

   Assicurati di aggiungere un Account Google a cui hai accesso.

6. Seleziona Cloud IAP > Utente applicazione web con protezione IAP dei ruoli dall'elenco a discesa.
7. Fai clic su Salva.

Configurazione di BackendConfig

Per configurare BackendConfig per IAP, crea un secret Kubernetes aggiungi un blocco iap a BackendConfig.

Creazione di un secret Kubernetes

BackendConfig utilizza un cluster Kubernetes Segreto per eseguire il wrapping del client OAuth creato in precedenza. I secret di Kubernetes sono gestiti e altri oggetti Kubernetes kubectl a interfaccia a riga di comando (CLI). Per creare un secret, esegui questo comando dove client_id_key e client_secret_key sono le chiavi del file JSON che scaricate al momento della creazione delle credenziali OAuth:

kubectl create secret generic my-secret --from-literal=client_id=client_id_key \
    --from-literal=client_secret=client_secret_key

Il comando precedente mostra l'output per confermare la creazione del secret:

secret "my-secret" created

Aggiunta di un blocco iap a BackendConfig

Per configurare BackendConfig per IAP, devi specificare enabled e secretName e i relativi valori. Per specificare questi valori, assicurati che disponi dell'autorizzazione compute.backendServices.update e aggiungere iap in BackendConfig. In questo blocco, my-secret è il nome del secret Kubernetes che hai creato in precedenza:

Nota: non puoi abilitare sia IAP sia Cloud CDN (Cloud CDN) in una BackendConfig. Se BackendConfig non ha il blocco IAP, quindi tutte le impostazioni IAP esistenti sul backend vengono ereditati.

Per GKE versione 1.16.8-gke.3 e successive, utilizza la versione API "cloud.google.com/v1". Se utilizzi una versione precedente di GKE, usa "cloud.google.com/v1beta1".

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: config-default
  namespace: my-namespace
spec:
  iap:
    enabled: true
    oauthclientCredentials:
      secretName: my-secret

Devi inoltre associare le porte dei servizi a BackendConfig per attivare IAP. Un modo per creare questa associazione è rendere tutte le porte per il servizio predefinito a BackendConfig, cosa che puoi fare aggiungendo la seguente annotazione alla risorsa Service:

metadata:
  annotations:
    beta.cloud.google.com/backend-config: '{"default": "config-default"}'

Per testare la configurazione, esegui kubectl get event. Se viene visualizzato il messaggio "no BackendConfig for service port exists", allora hai eseguito correttamente associata a una porta di servizio con BackendConfig, ma risorsa non trovata. Questo errore può verificarsi se non hai creato la risorsa BackendConfig, lo ha creato nello spazio dei nomi sbagliato o ha scritto in modo errato il riferimento nell'annotazione Service.

Nota: IAP aggiunge il parametro di query gcp-iap-mode=AUTHENTICATING all'annuncio reindirizzato che si verifica dopo l'autenticazione OAuth, quindi assicurati di controllare configurazione del routing per garantire che le richieste reindirizzate vadano al servizio di backend corretto dopo che un utente ha eseguito l'autenticazione tramite OAuth.

Se la risorsa secretName a cui fai riferimento non esiste o non è strutturata verrà visualizzato correttamente uno dei seguenti messaggi di errore:

• BackendConfig default/config-default is not valid: error retrieving secret "foo": secrets "foo" not found. Per risolvere questo errore, assicurati di avere creato il secret di Kubernetes correttamente, come descritto sezione precedente.
• BackendConfig default/config-default is not valid: secret "foo" missing client_secret data. Per risolvere questo errore, assicurati di avere creato le credenziali OAuth in modo corretto. Inoltre, assicurati di aver fatto riferimento alle chiavi client_id e client_secret corrette nel file JSON che hai scaricato in precedenza.

Quando il flag enabled è impostato su true e secretName è impostato correttamente, IAP è configurato per la risorsa selezionata.

Nota: potresti visualizzare il messaggio di avviso "Aggiungi regola firewall" sull'IAP di configurazione per i backend basati su gruppi di endpoint di rete (NEG) anche se esiste la regola firewall corretta. La regola firewall l'avviso è informativo e può essere ignorato.

Disattivazione di IAP

Per disattivare IAP, devi impostare enabled su false in BackendConfig. Se elimini l'IAP da BackendConfig, le impostazioni verranno mantenute. Ad esempio, se IAP è attivato con secretName: my_secret ed elimini il blocco, poi IAP verrà comunque attivato con le credenziali OAuth archiviate in my_secret.

Passaggi successivi

• Scopri come configurare Cloud CDN su GKE.
• Scopri come configurare Cloud Armor per GKE.
• Scopri di più sulla risorsa BackendConfig.