Restez organisé à l'aide des collections
Enregistrez et classez les contenus selon vos préférences.
Google Distributed Cloud est compatible avec OpenID Connect (OIDC) et le protocole LDAP (Lightweight Directory Access Protocol), qui constituent des mécanismes d'authentification permettant d'interagir avec le serveur d'API Kubernetes d'un cluster à l'aide de GKE Identity Service. GKE Identity Service est un service d'authentification qui vous permet d'exploiter vos solutions existantes pour l'authentification dans plusieurs environnements GKE Enterprise. Les utilisateurs peuvent se connecter à vos clusters GKE depuis la ligne de commande (tous les fournisseurs) ou depuis la consoleGoogle Cloud (OIDC uniquement), en se servant tous de votre fournisseur d'identité existant.
GKE Identity Service fonctionne avec n'importe quel type de cluster Bare Metal : administrateur, utilisateur, hybride ou autonome. Vous pouvez utiliser des fournisseurs d'identité sur site et des fournisseurs d'identité accessibles publiquement. Si par exemple votre entreprise exécute un serveur ADFS (Active Directory Federation Services), celui-ci peut servir de fournisseur OpenID. Vous pouvez également utiliser des services de fournisseurs d'identité accessibles publiquement, tels que Okta. Les certificats du fournisseur d'identité peuvent être émis par une autorité de certification publique bien connue ou par une autorité de certification privée.
Si vous utilisez ou souhaitez utiliser des ID Google pour vous connecter à vos clusters GKE, plutôt que de passer par un fournisseur OIDC ou LDAP, nous vous recommandons d'utiliser la passerelle Connect pour l'authentification. Pour en savoir plus, consultez la section Se connecter à des clusters enregistrés avec la passerelle Connect.
Avant de commencer
Un processus d'authentification basé sur navigateur est utilisé pour inviter les utilisateurs à donner leur autorisation et autoriser leur compte utilisateur. Les systèmes headless ne sont pas compatibles.
GKE Identity Service accepte les fournisseurs d'identité qui utilisent les protocoles suivants :
OpenID Connect (OIDC). Nous fournissons des instructions spécifiques pour la configuration de certains fournisseurs OpenID populaires, y compris Microsoft, mais vous pouvez choisir n'importe quel fournisseur utilisant une mise en œuvre OIDC.
Choisissez l'une des options de configuration de cluster suivantes :
Configurez vos clusters au niveau du parc en suivant les instructions de la section Configurer des clusters pour GKE Identity Service au niveau du parc (preview, Google Distributed Cloud version 1.8 et ultérieure). Avec cette option, votre configuration d'authentification est gérée de manière centralisée par Google Cloud.
Configurez les clusters individuellement en suivant les instructions de la page Configurer des clusters pour GKE Identity Service avec OIDC. La configuration au niveau du parc étant une fonctionnalité bêta, vous pouvez utiliser cette option dans les environnements de production, si vous utilisez une version antérieure de Google Distributed Cloud ou si vous avez besoin de fonctionnalités GKE Identity Service qui ne sont pas encore compatibles avec la gestion du cycle de vie au niveau du parc.
Après avoir configuré GKE Identity Service, les utilisateurs peuvent se connecter à des clusters configurés à l'aide de la ligne de commande ou de la console Google Cloud .
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/01 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/01 (UTC)."],[],[],null,["Google Distributed Cloud supports [OpenID Connect\n(OIDC)](https://openid.net/connect/) and [Lightweight Directory\nAccess Protocol (LDAP)](https://ldap.com/) as authentication\nmechanisms for interacting with a cluster's Kubernetes API server, using\nGKE Identity Service. GKE Identity Service is an authentication service\nthat lets you bring your existing identity solutions for authentication to\nyour clusters. Users can log in to and use clusters from the command line\n(all providers) or from the Google Cloud console (OIDC only), all using your\nexisting identity provider.\n\nGKE Identity Service works with any kind of bare metal cluster: admin, user,\nhybrid, or standalone. You can use both on-premises and publicly reachable\nidentity providers. For example, if your enterprise runs an [Active Directory\nFederation Services\n(ADFS)](https://docs.microsoft.com/en-us/windows-server/identity/active-directory-federation-services)\nserver, the ADFS server could serve as your OpenID provider. You might also use\npublicly-reachable identity provider services such as Okta. Identity provider\ncertificates may be issued by either a well-known public certificate authority\n(CA), or by a private CA.\n| **Note:** The GKE Identity Service runs as a Pod inside the cluster control plane. During cluster lifecycle phases, the API Server is dynamically configured to use the in-cluster GKE Identity Service as the authentication webhook for all incoming requests. The API Server [isn't able to use in-cluster\n| DNS](https://github.com/kubernetes/minikube/issues/3772). As a result, the API Server is configured to access GKE Identity Service as a REST resource access. In audit logs, this invocation is recorded as a `CREATE` request to the Services or proxy resource by a `system:anonymous` user.\n\nFor an overview of how GKE Identity Service works, see [Introducing\nGKE Identity Service](/kubernetes-engine/enterprise/identity).\n\nIf you already use or want to use Google IDs to sign in to your GKE clusters\ninstead of an OIDC or LDAP provider, we recommend using connect gateway\nfor authentication. Find out more in [Connecting to registered clusters with the\nconnect gateway](/kubernetes-engine/enterprise/multicluster-management/gateway).\n\nBefore you begin\n\n- To prompt users for consent and authorize their user account, a\n browser-based authentication flow is used. Headless systems aren't\n supported.\n\n- To authenticate through the Google Cloud console, each cluster that you want to\n configure must be [registered with your project\n fleet](/kubernetes-engine/fleet-management/docs/fleet-creation).\n\nSetup process and options\n\nGKE Identity Service supports identity providers using the following\nprotocols:\n\n- [OpenID Connect (OIDC)](https://openid.net/connect/). We provide\n specific instructions for setup for some popular OpenID providers, including\n Microsoft, but you can use any provider that implements OIDC.\n\n- [Lightweight Directory Access Protocol\n (LDAP)](https://ldap.com/). You can use\n GKE Identity Service to authenticate using LDAP with Active Directory\n or an LDAP server.\n\nOIDC\n\n1. Register GKE Identity Service as a client with your OIDC provider\n following the instructions in [Configuring providers for\n GKE Identity Service](/kubernetes-engine/enterprise/identity/setup/provider).\n\n2. Choose from the following cluster configuration options:\n\n - Configure your clusters at fleet level following the instructions in\n [Configuring clusters for fleet-level\n GKE Identity Service](/kubernetes-engine/enterprise/identity/setup/fleet-cluster) (preview,\n Google Distributed Cloud version 1.8 and higher). With this option, your\n authentication configuration is centrally managed by Google Cloud.\n\n - Configure your clusters individually following the instructions in\n [Configuring clusters for GKE Identity Service with\n OIDC](/kubernetes-engine/enterprise/identity/setup/per-cluster). Because fleet-level setup is\n a preview feature, you may want to use this option in production\n environments, if you are using an earlier version of\n Google Distributed Cloud, or if you require GKE Identity Service\n features that aren't yet supported with fleet-level lifecycle\n management.\n\n3. Set up user access to your clusters, including role-based access control\n (RBAC), following the instructions in [Setting up user access for\n GKE Identity Service](/kubernetes-engine/enterprise/identity/setup/user-access).\n\nLDAP\n\nTo get started with LDAP, follow the instructions in [Set up\nGKE Identity Service with\nLDAP](/kubernetes-engine/enterprise/identity/setup/ldap).\n\nAccess clusters\n\nAfter GKE Identity Service has been set up, users can sign in to configured\nclusters using either the command line or the Google Cloud console.\n\n- Learn how to sign in to registered clusters with your OIDC or LDAP ID in\n [Accessing clusters using\n GKE Identity Service](/kubernetes-engine/enterprise/identity/accessing).\n\n- Learn how to sign in to clusters from the Google Cloud console in [Work\n with clusters from the\n Google Cloud console](/kubernetes-engine/fleet-management/docs/console)\n (OIDC only).\n\nTroubleshoot the login flow\n\nTo troubleshoot [login flows that authenticate directly on the\nGKE Identity Service server with a fully qualified domain name\n(FQDN)](/kubernetes-engine/enterprise/identity/setup/authenticate-fqdn-access),\nyou can use the GKE Identity Service diagnostic utility. The diagnostic\nutility simulates login flows with your OIDC provider to quickly identify\nconfiguration problems. This tool requires a version 1.32 or higher cluster and\nonly supports OIDC. For more information, see [GKE Identity Service\ndiagnostic\nutility](/kubernetes-engine/enterprise/identity/setup/anthos-v2-diagnostic-utility)."]]
