Memecahkan masalah server LDAP

Dokumen ini memberikan panduan pemecahan masalah untuk masalah server LDAP di GKE Identity Service.

Masalah konektivitas

Saat mengonfigurasi Identity Service GKE, Anda dapat mengalami masalah konektivitas saat mencoba terhubung ke server LDAP. Masalah konektivitas juga dapat terjadi jika sertifikat yang digunakan untuk mengidentifikasi server LDAP tidak cocok dengan sertifikat yang disebutkan dalam ClientConfig.

Pesan error

Pesan berikut berlaku untuk error yang terjadi saat perintah gcloud anthos auth login dieksekusi.

  • ERROR: LDAP login failed: could not obtain an STS token: Post "https://127.0.0.1:15001/sts/v1beta/token": failed to obtain an endpoint for deployment anthos-identity-service/ais: Unauthorized
  • ERROR: Configuring Anthos authentication failed

Solusi

Anda dapat mengatasi masalah tersebut dengan salah satu cara berikut:

  • Jika Identity Service GKE tidak dapat terhubung ke server LDAP, lakukan hal berikut:
    • Untuk memverifikasi apakah ada traffic jaringan yang dapat menjangkau server LDAP (penyedia identitas) dari cluster, gunakan telnet, nc, atau perintah serupa untuk terhubung ke server LDAP. Untuk terhubung ke server LDAP, Anda harus menjalankan perintah di node atau pod tempat Identity Service GKE berjalan.
    • Jika perintah berhasil, pod Identity Service GKE akan terhubung ke server LDAP.
    • Jika perintah gagal, hal ini menunjukkan bahwa ada masalah dengan konektivitas jaringan. Anda perlu memeriksa setelan jaringan atau menghubungi administrator jaringan untuk mengatasi masalah koneksi.
  • Pastikan sertifikat publik dalam konfigurasi diformat dengan benar dan cocok dengan server LDAP Anda untuk kasus berikut:
    • Anda menggunakan LDAP dengan TLS.
    • Anda mengautentikasi ke LDAP dengan akun layanan. Anda menggunakan sertifikat untuk mengidentifikasi akun layanan dengan server LDAP.

Masalah autentikasi

Masalah autentikasi terjadi dalam salah satu kasus berikut:

  • Setelan penyedia LDAP tidak dikonfigurasi dengan benar di ClientConfig untuk Identity Service GKE.
  • Kredensial pengguna yang Anda berikan tidak ada di server LDAP.
  • Server LDAP tidak berfungsi.

Pesan error

Pesan berikut berlaku untuk error yang terjadi saat perintah gcloud anthos auth login dieksekusi.

  • ERROR: LDAP login failed: could not obtain an STS token: Post "https://127.0.0.1:15001/sts/v1beta/token": failed to obtain an endpoint for deployment anthos-identity-service/ais: Unauthorized
  • ERROR: Configuring Anthos authentication failed

Solusi

Sebagai administrator cluster, tinjau log Identity Service GKE dan selesaikan masalah autentikasi dengan cara berikut:

  • Can't contact LDAP server: Untuk informasi selengkapnya tentang cara menyelesaikan masalah ini, lihat masalah konektivitas.
  • Attempting to bind as the LDAP service account: GKE Identity Service mencoba terhubung ke server LDAP menggunakan kredensial akun layanan yang disediakan di ClientConfig. Tidak adanya pesan log ini menunjukkan adanya masalah konektivitas.
  • Successfully completed BIND as LDAP service account: GKE Identity Service berhasil terhubung ke server LDAP dan menggunakan akun layanannya untuk autentikasi pengguna. Tidak adanya pesan log ini menunjukkan adanya masalah konfigurasi.
  • Successfully found an entry for the user in the database: Entri pengguna ada di server LDAP. Hal ini menyiratkan bahwa kolom baseDN, filter, dan loginAttribute dikonfigurasi dengan benar untuk mengambil pengguna. Pesan ini hanya ditampilkan jika panjang logging di atas tingkat default. Untuk informasi selengkapnya tentang cara mengaktifkan log, lihat Mengaktifkan log debug.
  • Attempting to BIND as the user to verify their credentials: GKE Identity Service mencoba memverifikasi kredensial pengguna.
  • Successfully completed LDAP authentication: Autentikasi pengguna berhasil. Tidak adanya pesan log ini menunjukkan kredensial tidak valid.

Masa berlaku token autentikasi telah berakhir

Meskipun berhasil login, Anda dapat mengalami masalah saat masa berlaku token autentikasi telah habis.

Pesan error

ERROR: You must be logged in to the server (Unauthorized)

Solusi

Anda dapat mengatasi masalah ini dengan login lagi ke server.

Masalah pada pengikatan peran RBAC ke pengguna atau grup

Masalah ini terjadi saat autentikasi Anda berhasil, tetapi otorisasi gagal karena tidak ada peran RBAC yang terikat dengan pengguna atau grup. Misalnya, masalah ini tetap ada saat Anda mencoba mengeluarkan perintah kubectl get pods.

Pesan error

Error from server (Forbidden): <SERVICE or PODS> is forbidden: <MORE DETAILS>

Solusi

Anda dapat menyelesaikan masalah tersebut dengan melakukan hal berikut:

  1. Login ke server LDAP untuk melihat grup pengguna target.
  2. Pastikan peran dan binding peran Kubernetes Anda ditentukan dengan benar dan cocok dengan nilai di direktori LDAP Anda. Administrator dapat membantu memverifikasi binding peran melalui Peniruan Identitas Pengguna Kubernetes.
  3. Perbarui binding peran sehingga grup pengguna target diberi otorisasi untuk melakukan tindakan yang diperlukan.
  4. Verifikasi bahwa nilai untuk baseDN dan secara opsional filter dan identifierAttribute untuk grup sudah benar. Identity Service GKE menggunakan konfigurasi grup dari kolom ini untuk membuat kueri semua grup yang menjadi bagian dari pengguna. Jika baseDN kosong, tidak ada grup yang disediakan ke server Kubernetes API. Tidak ada pesan yang dicatat dalam kasus tersebut. Jika baseDN tidak kosong, Identity Service GKE akan membuat kueri database untuk grup pengguna.
    • Jika kueri berhasil, grup akan diberikan ke server Kubernetes API.
    • Jika kueri gagal, grup tidak akan diberikan ke server Kubernetes API. Dalam hal ini, Anda perlu memperbaiki nilai konfigurasi baseDN dan filter untuk grup.

Pengguna menjadi anggota beberapa grup

Masalah ini terjadi saat pengguna menjadi anggota beberapa grup.

Pesan error

could not obtain an STS token: STS token exceeds allowed size limit. Possibility of too many groups associated with the credentials provided.

Solusi

Sebagai administrator cluster, Anda perlu mengonfigurasi kolom filter di ClientConfig untuk mengurangi jumlah grup yang ditampilkan oleh kueri ke server LDAP.

Masalah kompatibilitas versi

Masalah ini terjadi jika ada ketidakcocokan kompatibilitas versi antara Layanan Identitas GKE dan versi Google Cloud CLI yang diinstal.

Pesan error

  • unable to parse STS Token Response
  • could not obtain an STS token: JSON parse error: The request was malformed.
  • could not obtain an STS token: Grant type must confirm that the request is intended for a token exchange.
  • could not obtain an STS token: Requested token type must correspond to an access token.
  • could not obtain an STS token: Subject token type must be a valid token type supported for token exchange.

Solusi

Anda perlu mengupgrade utilitas gcloud dan Identity Service GKE ke versi terbaru yang tersedia.

Kode status autentikasi 401 gagal

Masalah ini terjadi saat server Kubernetes API tidak dapat mengautentikasi layanan dan menampilkan kode error 401.

Pesan error

  • ERROR: LDAP login failed: STSToken() failed: could not obtain an STS token: Post "https://127.0.0.1:15001/sts/v1beta/token": DialContext() failed: podEndpoint() failed to obtain an endpoint for deployment anthos-identity-service/ais: Unauthorized

  • ERROR: Configuring Anthos authentication failed

Solusi

Anda dapat mengatasi masalah ini dengan salah satu cara berikut:

  • Periksa apakah pod Identity Service GKE berada dalam status running menggunakan perintah berikut: 
    kubectl get pods -l k8s-app=ais -n anthos-identity-service --kubeconfig USER_CLUSTER_KUBECONFIG
  • Periksa konfigurasi LDAP di ClientConfig menggunakan perintah berikut: 
    kubectl get clientconfig -n kube-public -o jsonpath='{.items[].spec.authentication[].ldap}' --kubeconfig USER_CLUSTER_KUBECONFIG
  • Tinjau log untuk mengetahui informasi mendetail terkait error. Untuk informasi selengkapnya tentang logging, lihat Menggunakan logging dan pemantauan untuk komponen sistem.