为 GKE Identity Service 设置 LDAP 提供商

本文档介绍如何设置首选轻量级目录访问协议 (LDAP) 提供商以与 GKE Identity Service 搭配使用。如需详细了解 GKE Identity Service，请参阅概览。

本文档适用于平台管理员或组织中管理身份设置的人员。如果您是集群管理员或应用运维人员，您或您的平台管理员必须先按照本部分中的说明操作，然后再开始使用 LDAP 为 GKE Identity Service 配置集群。

使用 LDAP 的 GKE Identity Service 只能与 VMware 和裸金属上的 Google Distributed Cloud 纯软件部署搭配使用。

准备工作

在设置过程中，您可能需要参考 LDAP 服务器的文档。以下管理员指南介绍了一些常用 LDAP 提供商的配置，包括在何处查找登录 LDAP 服务器所需的信息：

获取 LDAP 登录详细信息

GKE Identity Service 需要服务账号密钥才能向 LDAP 服务器进行身份验证并检索用户详细信息。LDAP 身份验证、基本身份验证（使用用户名和密码向服务器进行身份验证）或客户端证书（使用客户端私钥和客户端证书）允许两种类型的服务账号。如需了解特定 LDAP 服务器支持的类型，请参阅其相应文档。通常，Google LDAP 仅支持客户端证书作为服务账号。OpenLDAP、Microsoft Active Directory 和 Azure AD 原生仅支持基本身份验证。

以下说明展示了如何创建客户端以及获取某些常用提供商的 LDAP 服务器登录详细信息。对于其他 LDAP 提供商，请参阅服务器的管理员文档。

Azure AD/Active Directory

按照界面说明创建新的用户账号。
保存完整的用户标识名 (DN) 和密码以供日后使用。

Google LDAP

确保您已在 accounts.google.com 中登录您的 Google Workspace 或 Cloud Identity 账号。
使用该账号登录 Google 管理控制台。
从左侧菜单中选择应用 - LDAP。
点击添加客户端。
添加所选客户端名称和说明，然后点击继续。
在访问权限部分，确保客户端具有读取目录和访问用户信息所需的权限。
下载客户端证书并完成客户端创建过程。下载证书也会下载相应的密钥。
在相关目录中运行以下命令，以对证书和密钥进行 base64 编码，并替换下载的证书和密钥的文件名：
```
cat CERTIFICATE_FILENAME.crt | base64
cat KEY_FILENAME.key | base64
```
保存加密的证书和密钥字符串以供日后使用。

OpenLDAP

使用 ldapadd 命令在目录中添加新的服务账号条目。确保该账号有权读取目录并访问用户信息。
保存完整的用户标识名 (DN) 和密码以供日后使用。

后续步骤

确保设置 GKE Identity Service 的集群管理员拥有上一步中的 LDAP 服务器登录详细信息，或自行继续使用 LDAP 为 GKE Identity Service 配置集群。