Menyiapkan cluster dengan GKE Identity Service di tingkat fleet

Dokumen ini ditujukan untuk administrator cluster atau operator aplikasi yang ingin menyiapkan GKE Identity Service di cluster mereka. Panduan ini berisi petunjuk cara menyiapkan GKE Identity Service di tingkat kecil pada cluster Anda dengan penyedia identitas pilihan Anda.

Mengaktifkan API

Untuk memulai, Anda harus mengaktifkan API yang relevan.

Konsol

Pastikan project tempat cluster didaftarkan dipilih.

• Enable the GKE Hub and Kubernetes Engine APIs.

  Enable the APIs

gcloud

Jalankan perintah berikut untuk mengaktifkan API yang diperlukan untuk penyiapan:

gcloud services enable 

gkehub.googleapis.com 

container.googleapis.com

Konfigurasi cluster

Untuk mengonfigurasi cluster agar menggunakan penyedia yang Anda pilih, GKE Identity Service mengharuskan Anda menentukan detail tentang penyedia identitas, informasi dalam token JWT yang diberikannya untuk identifikasi pengguna, dan informasi lain yang diberikan saat mendaftarkan GKE Identity Service sebagai aplikasi klien. Jadi, misalnya, jika penyedia Anda membuat token identitas dengan kolom berikut (antara lain), dengan iss adalah URI penyedia identitas, sub akan mengidentifikasi pengguna, dan groupList mencantumkan grup keamanan tempat pengguna berada:

{
  'iss': 'https://server.example.com'
  'sub': 'u98523-4509823'
  'groupList': ['[e-mail]', '[e-mail]']
  ...
}

...konfigurasi Anda akan memiliki kolom yang sesuai berikut:

issueruri: 'https://server.example.com'
username: 'sub'
group: 'groupList'
...

Administrator platform Anda, atau siapa pun yang mengelola identitas di organisasi, harus memberikan sebagian besar informasi yang diperlukan untuk membuat konfigurasi. Untuk mengetahui contoh konfigurasi untuk beberapa penyedia identitas yang umum digunakan, lihat Konfigurasi khusus penyedia.

GKE Identity Service memungkinkan Anda membuat, mengupdate, dan menerapkan konfigurasi ini dari Google Cloud Console atau menggunakan Google Cloud CLI.

Konsol

Mengaktifkan GKE Identity Service

1. Di konsol Google Cloud, buka halaman Feature Manager.

   Buka Feature Manager

2. Klik Enable pada panel Identity Service, lalu klik Enable lagi di panel yang ditampilkan. Tindakan ini akan membuat instance pengontrol GKE Identity Service baru untuk mengelola siklus proses GKE Identity Service di cluster fleet Anda.

Pilih cluster

1. Kembali ke halaman Feature Manager, klik Details di panel Identity Service untuk membuka panel detail layanan. Tindakan ini akan menampilkan cluster project Anda dan status GKE Identity Service pada level fleet.
2. Klik Update identity service untuk membuka panel penyiapan.
3. Pilih cluster yang ingin Anda konfigurasi. Hanya jenis cluster yang didukung yang dapat dipilih. Anda dapat memilih cluster satu per satu, atau menentukan bahwa Anda ingin semua cluster dikonfigurasi dengan konfigurasi identitas yang sama. Jika Anda telah mengonfigurasi setelan default tingkat fleet, konfigurasi akan direkonsiliasi kembali ke default. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi default tingkat fleet.
4. Di drop-down Identity provider, pilih cara Anda ingin mengonfigurasi cluster. Jika cluster sudah memiliki konfigurasi GKE Identity Service, Anda dapat memilih untuk mengupdatenya. Jika cluster terdaftar yang sudah ada memiliki konfigurasi GKE Identity Service yang ingin digunakan, Anda dapat memilih untuk menyalin konfigurasi tersebut ke cluster yang dipilih. Untuk membuat konfigurasi yang benar-benar baru, ikuti petunjuk untuk penyedia pilihan Anda seperti yang dijelaskan di bagian berikutnya.

Tetapkan detail penyedia

Detail penyedia yang perlu Anda tambahkan bergantung pada jenis penyedia identitas yang ingin Anda gunakan untuk konfigurasi Anda.

OIDC

1. Pilih New Open ID Connect untuk membuat konfigurasi OIDC baru.
2. Tentukan nama yang ingin Anda gunakan untuk mengidentifikasi konfigurasi ini di kolom Nama penyedia, biasanya nama penyedia identitas. Nama ini harus diawali dengan huruf yang diikuti dengan maksimal 39 huruf kecil, angka, atau tanda hubung, dan tidak boleh diakhiri dengan tanda hubung. Anda tidak dapat mengedit nama ini setelah membuat konfigurasi.
3. Tentukan client ID yang ditampilkan saat mendaftarkan GKE Identity Service dengan penyedia Anda di kolom Client ID.
4. Tentukan rahasia klien yang harus dibagikan antara aplikasi klien dan penyedia identitas di kolom Rahasia Klien.
5. Tentukan URI tempat permintaan otorisasi dibuat untuk penyedia identitas Anda di kolom URL Penerbit.
6. Klik Next untuk menetapkan atribut OIDC.

Azure AD

1. Pilih New Azure Active Directory untuk membuat konfigurasi Azure AD baru.
2. Tentukan nama yang ingin Anda gunakan untuk mengidentifikasi konfigurasi ini di kolom Nama penyedia, biasanya nama penyedia identitas. Nama ini harus diawali dengan huruf yang diikuti dengan maksimal 39 huruf kecil, angka, atau tanda hubung, dan tidak boleh diakhiri dengan tanda hubung. Anda tidak dapat mengedit nama ini setelah membuat konfigurasi.
3. Tentukan client ID yang ditampilkan saat mendaftarkan GKE Identity Service dengan penyedia Anda di kolom Client ID.
4. Tentukan rahasia klien yang harus dibagikan antara aplikasi klien dan penyedia identitas di kolom Rahasia Klien.
5. Tentukan tenant yang merupakan akun Azure AD yang akan diautentikasi di Tenant.
6. Klik Next untuk menetapkan atribut Azure AD.

LDAP

1. Pilih LDAP untuk membuat konfigurasi LDAP baru.
2. Tentukan nama yang ingin Anda gunakan untuk mengidentifikasi konfigurasi ini di kolom Nama penyedia, biasanya nama penyedia identitas. Nama ini harus diawali dengan huruf yang diikuti dengan maksimal 39 huruf kecil, angka, atau tanda hubung, dan tidak boleh diakhiri dengan tanda hubung. Anda tidak dapat mengedit nama ini setelah membuat konfigurasi.
3. Klik Next.
4. Tentukan nama host (wajib), jenis koneksi LDAP, dan sertifikat CA berenkode base64 dari server LDAP.
5. Klik Next untuk mengonfigurasi server.
6. Tentukan nama pengguna, filter, atribut login, dan atribut ID yang dibedakan.
7. Klik Berikutnya untuk menetapkan detail pengguna.
8. Jika Anda memilih untuk menggunakan grup, tentukan nama, filter, dan atribut ID grup yang dibedakan.
9. Klik Berikutnya untuk menetapkan detail grup.
10. Tentukan nama pengguna dan sandi akun layanan.
11. Klik Done untuk menetapkan nama akun layanan.

Menetapkan atribut

Atribut yang perlu Anda tambahkan bergantung pada penyedia identitas dan opsi penyiapan yang dipilih oleh administrator platform saat mengonfigurasi penyedia untuk GKE Identity Service.

OIDC

• Isi atribut konfigurasi:

  • URI pengalihan kubectl: URL alihan dan port yang digunakan oleh gcloud CLI dan ditentukan oleh administrator platform Anda saat pendaftaran, biasanya dalam bentuk http://localhost:PORT/callback.
  • Certificate Authority (Opsional): Jika disediakan oleh administrator platform, string sertifikat yang dienkode ke PEM untuk penyedia identitas.
  • Klaim Grup (Opsional): Klaim JWT (nama kolom) yang digunakan penyedia Anda untuk menampilkan grup keamanan akun.
  • Awalan Grup (Opsional): Awalan yang ingin ditambahkan ke nama grup keamanan untuk menghindari bentrok dengan nama yang sudah ada di aturan kontrol akses jika Anda memiliki konfigurasi untuk beberapa penyedia identitas (biasanya nama penyedia).
  • Proxy (Opsional): Alamat server proxy yang akan digunakan untuk terhubung ke penyedia identitas, jika ada. Anda mungkin perlu menyetelnya jika, misalnya, cluster Anda berada dalam jaringan pribadi dan perlu terhubung ke penyedia identitas publik. Contoh: http://user:password@10.10.10.10:8888.
  • Cakupan (Opsional): Cakupan tambahan apa pun yang diperlukan oleh penyedia identitas Anda. Microsoft Azure dan Okta memerlukan cakupan offline_access. Klik Tambahkan cakupan untuk menambahkan cakupan lainnya jika diperlukan.
  • Klaim Pengguna (Opsional): Klaim JWT (nama kolom) yang digunakan penyedia Anda untuk mengidentifikasi akun. Jika Anda tidak menentukan nilai di sini, GKE Identity Service akan menggunakan "sub", yang merupakan klaim ID pengguna yang digunakan oleh banyak penyedia. Anda dapat memilih klaim lain, seperti "email" atau "nama", bergantung pada penyedia OpenID. Klaim selain "email" diawali dengan URL penerbit untuk mencegah konflik penamaan.
  • Awalan Pengguna (Opsional): Awalan yang ingin ditambahkan ke klaim pengguna untuk mencegah bentrok dengan nama yang sudah ada, jika Anda tidak ingin menggunakan awalan default.
  • Parameter Tambahan (Opsional): Parameter tambahan yang diperlukan untuk konfigurasi Anda, ditetapkan sebagai parameter Kunci dan Nilai. Klik Tambahkan parameter untuk menambahkan parameter lainnya jika diperlukan.
  • Aktifkan token akses (Opsional): Jika diaktifkan, dukungan grup akan diizinkan untuk penyedia OIDC seperti Okta.
  • Deploy proxy konsol Google Cloud (Opsional): Jika diaktifkan, proxy akan di-deploy yang memungkinkan konsol Google Cloud terhubung ke penyedia identitas lokal yang tidak dapat diakses secara publik melalui internet.

Azure AD

• Isi atribut konfigurasi:

  • URI pengalihan kubectl: URL alihan dan port yang digunakan oleh gcloud CLI dan ditentukan oleh administrator platform Anda saat pendaftaran, biasanya dalam bentuk http://localhost:PORT/callback.
  • Klaim Pengguna (Opsional): Klaim JWT (nama kolom) yang digunakan penyedia Anda untuk mengidentifikasi akun. Jika Anda tidak menentukan nilai di sini, GKE Identity Service akan menggunakan nilai dalam urutan "email", "preferred_username", atau "sub" untuk mengambil detail pengguna.
  • Proxy (Opsional): Alamat server proxy yang akan digunakan untuk terhubung ke penyedia identitas, jika ada. Anda mungkin perlu menyetelnya jika, misalnya, cluster Anda berada dalam jaringan pribadi dan perlu terhubung ke penyedia identitas publik. Contoh: http://user:password@10.10.10.10:8888.

Tambahkan penyedia identitas

• Jika memiliki penyedia identitas tambahan yang ingin dikonfigurasi untuk perangkat, Anda memiliki opsi untuk menambahkan penyedia tersebut di sini. Ikuti langkah-langkah untuk menentukan penyedia identitas tambahan.

Perbarui konfigurasi

• Klik Update configuration. Tindakan ini akan menginstal GKE Identity Service jika diperlukan (khusus cluster EKS, cluster GKE sudah menginstal GKE Identity Service secara default) dan menerapkan konfigurasi klien pada cluster yang Anda pilih.

gcloud

Membuat file konfigurasi

GKE Identity Service menggunakan jenis resource kustom (CRD) Kubernetes yang disebut ClientConfig untuk konfigurasi cluster, dengan kolom untuk semua informasi yang diperlukan GKE Identity Service untuk berinteraksi dengan penyedia identitas. Bagian berikut menyediakan konfigurasi untuk OIDC dan LDAP tempat Anda membuat file bernama auth-config.yaml dengan konfigurasi Anda.

OIDC

File berikut menunjukkan konfigurasi oidc dan konfigurasi azuread. Untuk mengetahui informasi selengkapnya terkait kapan harus menggunakan oidc atau azuread, lihat Konfigurasi khusus penyedia.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: NAME
      proxy: PROXY_URL
      oidc:
        certificateAuthorityData: CERTIFICATE_STRING
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        deployCloudConsoleProxy: PROXY_BOOLEAN
        extraParams: EXTRA_PARAMS
        groupsClaim: GROUPS_CLAIM
        groupPrefix: GROUP_PREFIX
        issuerURI: ISSUER_URI
        kubectlRedirectURI: http://localhost:PORT/callback
        scopes: SCOPES
        userClaim: USER_CLAIM
        userPrefix: USER_PREFIX
    - name: NAME
      proxy: PROXY_URL
      azureAD:
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        tenant: TENANT_UUID
        kubectlRedirectURI: http://localhost:PORT/callback

Jika telah mengonfigurasi lebih dari satu penyedia identitas, Anda dapat mencantumkan beberapa konfigurasi autentikasi dalam file auth-config.yaml di bagian anchor authentication dalam format yang sama seperti dalam konfigurasi sebelumnya. Tabel berikut menjelaskan kolom objek oidc dan azuread ClientConfig. Sebagian besar kolom bersifat opsional. Kolom yang perlu ditambahkan bergantung pada penyedia identitas Anda dan opsi penyiapan yang dipilih oleh administrator platform Anda saat mengonfigurasi penyedia untuk GKE Identity Service.

Kolom	Diperlukan	Deskripsi	Format
name	ya	Nama yang ingin Anda gunakan untuk mengidentifikasi konfigurasi ini, biasanya nama penyedia identitas. Nama konfigurasi harus diawali dengan huruf, diikuti dengan maksimal 39 huruf kecil, angka, atau tanda hubung, dan tidak boleh diakhiri dengan tanda hubung.	String
certificateAuthorityData	Tidak	Jika disediakan oleh administrator platform Anda, string sertifikat berenkode PEM untuk penyedia identitas. Sertakan string yang dihasilkan di certificateAuthorityData sebagai baris tunggal.	String
clientID	Ya	ID klien yang ditampilkan saat mendaftarkan GKE Identity Service dengan penyedia Anda.	String
clientSecret	Ya	Rahasia klien yang ditampilkan saat mendaftarkan GKE Identity Service dengan penyedia Anda.	String
deployCloudConsoleProxy	Tidak	Menentukan apakah proxy di-deploy yang memungkinkan Konsol Google Cloud terhubung ke penyedia identitas lokal yang tidak dapat diakses secara publik melalui internet. Secara default, parameter ini ditetapkan ke false.	Boolean
extraParams	Tidak	Parameter key=value tambahan yang akan dikirim ke penyedia identitas, ditetapkan sebagai daftar yang dipisahkan koma; misalnya `prompt=consent,access_type=offline`.	Daftar yang dipisahkan koma
enableAccessToken	Tidak	Jika diaktifkan, GKE Identity Service dapat menggunakan endpoint userinfo penyedia identitas untuk mendapatkan informasi grup saat pengguna login dari command line. Hal ini memungkinkan Anda menggunakan grup keamanan untuk otorisasi jika Anda memiliki penyedia (seperti Okta) yang memberikan klaim grup dari endpoint ini. Jika tidak disetel, nilai ini akan dianggap false.	Boolean
groupsClaim	Tidak	Klaim JWT (nama kolom) yang digunakan penyedia Anda untuk menampilkan grup keamanan akun.	String
groupPrefix	Tidak	Awalan yang ingin Anda tambahkan ke nama grup keamanan untuk menghindari bentrok dengan nama yang sudah ada di aturan kontrol akses jika Anda memiliki konfigurasi untuk beberapa penyedia identitas (biasanya nama penyedia).	String
issuerURI	Ya	URI tempat permintaan otorisasi dibuat ke penyedia identitas Anda. URI harus menggunakan HTTPS.	URL String
kubectlRedirectURI	Ya	Port dan URL alihan yang digunakan oleh gcloud CLI dan ditentukan oleh administrator platform Anda saat pendaftaran, biasanya dalam bentuk `http://localhost:PORT/callback`.	URL String
cakupan	Ya	Cakupan tambahan untuk dikirimkan ke penyedia OpenID. Misalnya, Microsoft Azure dan Okta memerlukan cakupan offline_access.	Daftar yang dipisahkan koma
userClaim	Tidak	Klaim JWT (nama kolom) yang digunakan penyedia Anda untuk mengidentifikasi akun pengguna. Jika Anda tidak menentukan nilai di sini, GKE Identity Service akan menggunakan "sub", yang merupakan klaim ID pengguna yang digunakan oleh banyak penyedia. Anda dapat memilih klaim lain, seperti "email" atau "nama", bergantung pada penyedia OpenID. Klaim selain "email" diawali dengan URL penerbit untuk mencegah konflik penamaan.	String
userPrefix	Tidak	Awalan yang ingin ditambahkan pada klaim pengguna untuk mencegah bentrok dengan nama yang sudah ada, jika Anda tidak ingin menggunakan awalan default.	String
tenant	Ya	Jenis akun Azure AD yang akan diautentikasi. Nilai yang didukung adalah ID tenant, atau nama tenant untuk akun milik tenant tertentu. Nama tenant juga dikenal sebagai domain primer. Untuk mengetahui detail tentang cara menemukan nilai ini, lihat Menemukan ID tenant Microsoft Azure AD dan nama domain primer.	String
proxy	Tidak	Alamat server proxy yang akan digunakan untuk terhubung ke penyedia identitas, jika berlaku. Anda mungkin perlu menyetelnya jika, misalnya, cluster Anda berada dalam jaringan pribadi dan perlu terhubung ke penyedia identitas publik. Misalnya: http://user:password@10.10.10.10:8888.	String

SAML

File berikut menunjukkan konfigurasi SAML:

   apiVersion: authentication.gke.io/v2alpha1
   kind: ClientConfig
   metadata:
     name: default
     namespace: kube-public
   spec:
     authentication:
     - name: NAME
       saml:
         idpEntityID: ENTITY_ID
         idpSingleSignOnURI: SIGN_ON_URI
         idpCertificateDataList: IDP_CA_CERT
         userAttribute: USER_ATTRIBUTE
         groupsAttribute: GROUPS_ATTRIBUTE
         userPrefix: USER_PREFIX
         groupPrefix: GROUP_PREFIX
         attributeMapping:
           ATTRIBUTE_KEY_1 : ATTRIBUTE_CEL_EXPRESSION_1
           ATTRIBUTE_KEY_2 : ATTRIBUTE_CEL_EXPRESSION_2
      certificateAuthorityData: CERTIFICATE_STRING
      preferredAuthentication: PREFERRED_AUTHENTICATION
      server: <>

Tabel berikut menjelaskan kolom objek saml ClientConfig. Kolom yang perlu ditambahkan bergantung pada penyedia identitas Anda dan opsi penyiapan yang dipilih oleh administrator platform Anda saat mengonfigurasi penyedia untuk GKE Identity Service.

Kolom	Diperlukan	Deskripsi	Format
name	ya	Nama yang ingin Anda gunakan untuk mengidentifikasi konfigurasi ini, biasanya nama penyedia identitas. Nama konfigurasi harus diawali dengan huruf, diikuti dengan maksimal 39 huruf kecil, angka, atau tanda hubung, dan tidak boleh diakhiri dengan tanda hubung.	String
idpEntityID	Ya	ID entitas SAML untuk penyedia SAML, yang ditentukan dalam format URI. Misalnya: https://www.idp.com/saml.	URL String
idpSingleSignOnURI	Ya	Endpoint SSO penyedia SAML, yang ditentukan dalam format URI. Misalnya: https://www.idp.com/saml/sso.	URL String
idpCertificateDataList	Ya	Sesuai dengan sertifikat penyedia identitas yang digunakan untuk memverifikasi respons SAML. Sertifikat ini harus berenkode base64 standar dan diformat PEM. Hanya maksimum dua sertifikat yang didukung untuk memfasilitasi rotasi sertifikat penyedia identitas.	String
userAttribute	Tidak	Nama atribut dalam respons SAML yang menyimpan nama pengguna.	String
groupsAttribute	Tidak	Nama atribut dalam respons SAML yang menyimpan informasi grup pengguna.	String
userPrefix	Tidak	Awalan yang ingin ditambahkan pada klaim pengguna untuk mencegah bentrok dengan nama yang sudah ada, jika Anda tidak ingin menggunakan awalan default.	String
groupPrefix	Tidak	Awalan yang ingin Anda tambahkan ke nama grup keamanan untuk menghindari bentrok dengan nama yang sudah ada di aturan kontrol akses jika Anda memiliki konfigurasi untuk beberapa penyedia identitas (biasanya nama penyedia).	String
attributeMapping	Tidak	Pemetaan atribut pengguna tambahan.	String
certificateAuthorityData	Tidak	Jika disediakan oleh administrator platform Anda, string sertifikat berenkode PEM untuk penyedia identitas. Sertakan string yang dihasilkan dalam certificateAuthorityData sebagai baris tunggal.	String
preferredAuthentication	Tidak	Nama metode autentikasi pilihan yang dikonfigurasi di cluster.	String

LDAP

File berikut menunjukkan konfigurasi ldap.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: ldap
      ldap:
        server:
          host: HOST_NAME
          connectionType: CONNECTION_TYPE
          certificateAuthorityData: CERTIFICATE_AUTHORITY_DATA
        user:
          baseDn: BASE_DN
          loginAttribute: LOGIN_ATTRIBUTE
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        group:
          baseDn: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        serviceAccount:
          simpleBindCredentials:
            dn: DISTINGUISHED_NAME
            password: PASSWORD

Tabel berikut menjelaskan kolom dalam objek ldap ClientConfig. Kolom yang perlu ditambahkan bergantung pada penyedia identitas Anda dan opsi penyiapan yang dipilih oleh administrator platform Anda saat mengonfigurasi penyedia untuk GKE Identity Service:

Kolom	Diperlukan	Deskripsi	Format
name	ya	Nama untuk mengidentifikasi konfigurasi LDAP ini	String
server
host	ya	Nama host atau alamat IP server LDAP. Port bersifat opsional dan akan ditetapkan secara default ke 389, jika tidak ditentukan. Misalnya ldap.server.example.com atau 10.10.10.10:389.	String
connectionType	ya	Jenis koneksi LDAP yang akan digunakan saat terhubung ke server LDAP. Jika starttls atau ldaps ditentukan, kolom certificateAuthorityData wajib diisi.	String
certificateAuthorityData	Diperlukan untuk jenis koneksi LDAP tertentu	Berisi sertifikat otoritas sertifikat berformat PEM yang dienkode dengan Base64 untuk server LDAP. Kunci ini hanya boleh disediakan untuk koneksi ldaps dan startTLS.	String
pengguna
baseDN	ya	Lokasi subtree di direktori LDAP untuk menelusuri entri pengguna.	String dalam format DN.
loginAttribute	tidak ada	Nama atribut yang cocok dengan nama pengguna input. Atribut ini digunakan untuk menemukan pengguna di database LDAP, misalnya (<LoginAttribute>=<username>) dan digabungkan dengan kolom filter opsional. Default-nya adalah userPrincipalName.	String
filter	tidak ada	Filter opsional yang akan diterapkan saat menelusuri pengguna. Tindakan ini dapat digunakan untuk lebih membatasi akun pengguna yang diizinkan untuk login. Jika tidak ditentukan, defaultnya adalah (objectClass=User).	String
identifierAttribute	tidak ada	Menentukan atribut mana yang akan digunakan sebagai identitas pengguna setelah mereka diautentikasi. Hal ini berbeda dengan kolom loginAttribute untuk memungkinkan pengguna login dengan nama pengguna, tetapi ID sebenarnya mereka berupa alamat email atau Nama yang Dibedakan lengkap (DN). Misalnya, menetapkan loginAttribute ke sAMAccountName dan IDAttribute ke userPrincipalName akan memungkinkan pengguna login sebagai bsmith, tetapi kebijakan RBAC sebenarnya untuk pengguna akan ditulis sebagai [e-mail]. Penggunaan userPrincipalName direkomendasikan karena akan bersifat unik untuk setiap pengguna. Jika tidak ditentukan, defaultnya adalah userPrincipalName.	String
group (Kolom opsional)
baseDN	ya	Lokasi subtree di direktori LDAP untuk menelusuri entri grup.	String
filter	tidak ada	Filter opsional yang akan digunakan saat menelusuri grup tempat pengguna berada. Ini dapat digunakan untuk mencocokkan hanya grup tertentu secara eksplisit guna mengurangi jumlah grup yang ditampilkan untuk setiap pengguna. Default-nya adalah (objectClass=Group).	String
identifierAttribute	tidak ada	Nama pengidentifikasi setiap grup yang mencakup pengguna. Misalnya, jika ditetapkan ke distinguishedName, RBAC dan ekspektasi grup lainnya harus ditulis sebagai DN lengkap. Jika tidak ditentukan, defaultnya adalah distinguishedName.	String
serviceAccount/simpleBindCredentials
dn	ya	Nama yang dibedakan pengguna akun layanan.	String
sandi	ya	Sandi pengguna akun layanan.	String

Mengaktifkan GKE Identity Service

Untuk mengaktifkan GKE Identity Service untuk project Anda, jalankan perintah berikut:

gcloud container fleet identity-service enable

Tindakan ini akan membuat instance pengontrol GKE Identity Service baru untuk mengelola siklus proses GKE Identity Service di cluster fleet Anda. Anda hanya perlu menjalankan perintah ini sekali per project untuk menggunakan GKE Identity Service dengan semua cluster yang didukung yang terdaftar di fleet project Anda.

Secara opsional, Anda dapat mengaktifkan GKE Identity Service dengan konfigurasi default level fleet. Dengan penyiapan ini, konfigurasi penyedia GKE Identity Service yang Anda tentukan akan otomatis diterapkan ke setiap cluster GKE di Google Cloud yang terdaftar ke fleet Anda selama pembuatan cluster. Anda dapat mengetahui cara melakukannya lebih lanjut di Mengonfigurasi default tingkat fleet.

Menerapkan konfigurasi ke cluster

Untuk menginstal GKE Identity Service jika diperlukan (khusus cluster EKS, semua jenis cluster yang didukung lainnya telah menginstal GKE Identity Service secara default) dan menerapkan konfigurasi ke cluster, jalankan perintah berikut:

gcloud container fleet identity-service apply \
--membership=CLUSTER_NAME \
--config=/path/to/auth-config.yaml

Ganti CLUSTER_NAME dengan nama unik cluster Anda dalam fleet. Setelah perintah ini dijalankan, konfigurasi akan dikelola oleh pengontrol GKE Identity Service. Setiap perubahan lokal yang dibuat pada konfigurasi klien GKE Identity Service direkonsiliasi kembali oleh pengontrol ke konfigurasi yang ditentukan dalam penyiapan ini.

Catatan: Untuk beberapa versi cluster, menerapkan konfigurasi tingkat fleet secara default juga akan menambahkan konfigurasi authentication tambahan ke cluster Anda.

Hal ini memungkinkan GKE Identity Service mengambil informasi Google Grup untuk akun pengguna yang login dengan ID Google mereka. Konfigurasi ini berlaku untuk cluster di Google Distributed Cloud (VMware dan bare metal) dari GKE Enterprise versi 1.13 dan seterusnya. Untuk mengetahui fitur Google Grup lebih lanjut, lihat Menyiapkan gateway terhubung dengan Google Grup.

Perlu diketahui bahwa jika Anda sudah memiliki konfigurasi di cluster untuk opsi autentikasi apa pun, hal berikut akan berlaku:

• Jika Anda sudah memiliki konfigurasi level cluster untuk penyedia OIDC, penerapan konfigurasi GKE Identity Service level fleet ke cluster akan menimpa semua spesifikasi autentikasi yang ada.
• Jika Anda memiliki konfigurasi tingkat cluster yang sudah ada untuk penyedia yang tidak didukung untuk konfigurasi tingkat fleet, penyiapan ini akan gagal. Anda harus menghapus konfigurasi penyedia yang ada untuk menerapkan konfigurasi tingkat fleet.

Jika Anda tidak ingin lagi pengontrol GKE Identity Service mengelola konfigurasi Anda, misalnya jika Anda ingin menggunakan opsi atau opsi autentikasi yang berbeda, Anda dapat menonaktifkan fitur ini dengan mengikuti petunjuk di Menonaktifkan pengelolaan GKE Identity Service.

Konfigurasi khusus penyedia

Bagian ini memberikan panduan konfigurasi untuk penyedia OIDC (seperti Azure AD dan Okta), termasuk contoh konfigurasi yang dapat Anda salin dan edit dengan detail Anda sendiri.

Azure AD

Ini adalah konfigurasi default untuk menyiapkan GKE Identity Service dengan Azure AD. Dengan menggunakan konfigurasi ini, GKE Identity Service dapat mendapatkan informasi pengguna dan grup dari Azure AD, dan memungkinkan Anda menyiapkan Kontrol akses berbasis peran (RBAC) Kubernetes berdasarkan grup. Namun, penggunaan konfigurasi ini membatasi Anda untuk mengambil sekitar 200 grup per pengguna.

Jika perlu mengambil lebih dari 200 grup per pengguna, lihat petunjuk untuk Azure AD (Advanced).

...
spec:
  authentication:
  - name: oidc-azuread
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      extraParams: prompt=consent, access_type=offline
      issuerURI: https://login.microsoftonline.com/TENANT_ID/v2.0
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: openid,email,offline_access
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Azure AD (Lanjutan)

Konfigurasi opsional untuk Azure AD ini memungkinkan GKE Identity Service mengambil informasi pengguna dan grup tanpa batasan jumlah grup per pengguna, menggunakan Microsoft Graph API. Untuk mengetahui informasi tentang platform yang mendukung konfigurasi ini, lihat Penyiapan lanjutan untuk Azure AD.

Jika Anda perlu mengambil kurang dari 200 grup per pengguna, sebaiknya gunakan konfigurasi default menggunakan anchor oidc di ClientConfig. Untuk mengetahui informasi selengkapnya, lihat petunjuk untuk Azure AD.

Semua kolom dalam contoh konfigurasi wajib diisi.

...
spec:
  authentication:
  - name: azure
    azureAD:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      tenant: TENANT_UUID
      kubectlRedirectURI: http://localhost:PORT/callback
      groupFormat: GROUP_FORMAT
      userClaim: USER_CLAIM

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Ganti GROUP_FORMAT dengan format yang informasinya ingin Anda ambil untuk grup. Kolom ini dapat mengambil nilai yang sesuai dengan ID atau NAME grup pengguna. Setelan ini hanya tersedia untuk cluster di deployment Google Distributed Cloud (lokal).

Okta

Berikut cara menyiapkan autentikasi menggunakan pengguna dan grup dengan Okta sebagai penyedia identitas. Dengan konfigurasi ini, GKE Identity Service dapat mengambil klaim pengguna dan grup menggunakan token akses dan endpoint userinfo Okta.

Catatan: Meskipun konfigurasi ini ditujukan untuk Okta, Anda juga dapat mengambil informasi pengguna dan grup dari penyedia identitas lain yang mendukung endpoint infopengguna. Dalam konfigurasi Anda, tentukan enableAccessToken: true untuk menggunakan fitur ini.

...
spec:
  authentication:
  - name: okta
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      enableAccessToken: true
      extraParams: prompt=consent
      groupsClaim: groups
      issuerURI: https://OKTA_ISSUER_URI/
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: offline_access,email,profile,groups
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Mengonfigurasi default tingkat fleet

Anda dapat mengaktifkan GKE Identity Service dengan konfigurasi default level fleet. Dengan penyiapan ini, setiap GKE di cluster Google Cloud baru yang terdaftar selama pembuatan cluster atau cluster GKE akan otomatis mengaktifkan GKE Identity Service di cluster tersebut dengan konfigurasi yang Anda tentukan. Jika Anda sudah memiliki cluster anggota fleet saat mengaktifkan fitur ini, cluster tersebut tidak otomatis diupdate dengan default fleet, meskipun Anda dapat memilih untuk menerapkan konfigurasi default ke cluster tersebut. Untuk mengetahui informasi selengkapnya tentang mengelola konfigurasi tingkat fleet, lihat Mengelola fitur tingkat fleet.

Catatan: Konfigurasi default dikelola oleh pengontrol fleet dan setiap perubahan konfigurasi lokal yang dilakukan pada cluster Anda akan dikembalikan ke konfigurasi default.

Untuk mengonfigurasi GKE Identity Service dengan konfigurasi default level fleet, lakukan langkah berikut:

1. Buat file bernama fleet-default.yaml dan isi sesuai dengan Membuat file konfigurasi.

2. Aktifkan GKE Identity Service dengan konfigurasi default tingkat fleet Anda:

   Catatan: Jika GKE Identity Service sudah diaktifkan di fleet Anda tanpa konfigurasi default level fleet, gunakan perintah apply sebagai gantinya.

   gcloud container fleet identity-service enable --fleet-default-member-config=fleet-default.yaml
   

   Untuk mengubah konfigurasi default tingkat fleet yang ada, atau menambahkannya jika GKE Identity Service sudah diaktifkan di fleet Anda tanpa fitur ini, jalankan perintah berikut:

   gcloud container fleet identity-service apply --fleet-default-member-config=default-config.yaml
   

   Cluster anggota fleet yang ada yang Anda daftarkan sebelum menyiapkan konfigurasi default tingkat fleet tidak otomatis mewarisi konfigurasi default. Untuk menerapkan konfigurasi default ke cluster anggota fleet yang ada, jalankan perintah berikut:

   gcloud container fleet identity-service apply --origin=fleet --membership=CLUSTER_NAME
   

   Guna menonaktifkan default tingkat fleet untuk GKE Identity Service, jalankan perintah berikut untuk menghapus konfigurasi default:

   gcloud container fleet identity-service delete --fleet-default-member-config
   

Memverifikasi konfigurasi layanan identitas

Setelah menyelesaikan penyiapan tingkat fleet, Anda dapat memverifikasi apakah cluster di fleet Anda telah berhasil dikonfigurasi dengan konfigurasi layanan identitas yang Anda tentukan.

Konsol

1. Di konsol Google Cloud, buka halaman Feature Manager.

   Buka Feature Manager

   Semua fitur yang diaktifkan tercantum sebagai Diaktifkan di panelnya.

2. Klik DETAIL di panel Identity Service. Panel detail menampilkan status cluster yang terdaftar.

gcloud

Jalankan perintah berikut:

gcloud container fleet identity-service describe

Langkah selanjutnya

Setelah Anda mengonfigurasi cluster, lanjutkan ke menyiapkan akses pengguna.