Configura i cluster per il servizio di identità GKE con SAML

Questo documento è rivolto agli amministratori di cluster o agli operatori di applicazioni che vogliono configurare GKE Identity Service su singoli cluster, consentendo a sviluppatori e altri utenti di accedere ai cluster utilizzando i dettagli di identità esistenti da un provider SAML (Security Assertion Markup Language). La guida presuppone che tu abbia letto la panoramica di GKE Identity Service. Le istruzioni in questo documento presuppongono che il servizio di identità GKE sia già stato registrato con il tuo provider di identità come applicazione client.

Prima di iniziare

  • Prima di iniziare la configurazione, assicurati che l'amministratore della piattaforma ti abbia fornito tutte le informazioni necessarie in Registra il servizio di identità GKE con il tuo provider.

  • Assicurati di avere installato i seguenti strumenti a riga di comando:

    • Utilizza la versione 466.0.0 di Google Cloud CLI o superiore, che include gcloud, lo strumento a riga di comando per interagire con Google Cloud. Se devi installare Google Cloud CLI, consulta la guida all'installazione.
    • kubectl per l'esecuzione di comandi sui cluster Kubernetes. Se devi installare kubectl, segui queste istruzioni.

    Se utilizzi Cloud Shell come ambiente shell per interagire con Google Cloud, questi strumenti sono installati automaticamente.

  • Assicurati di aver inizializzato gcloud CLI per l'utilizzo con il progetto in cui sono registrati i cluster.

Configura il cluster

GKE Identity Service utilizza un tipo di risorsa personalizzato (CRD) speciale Kubernetes per configurare i tuoi cluster chiamati ClientConfig, con campi per informazioni il provider di identità e i parametri necessari per restituire le informazioni sull'utente.

kubectl

Per modificare la configurazione ClientConfig predefinita, assicurati di poterti connettere al cluster utilizzando kubectl ed esegui questo comando:

kubectl --kubeconfig=KUBECONFIG_PATH edit ClientConfigs default -n kube-public

Sostituisci KUBECONFIG_PATH con il percorso del tuo kubeconfig del cluster, ad esempio $HOME/.kube/config.

Un editor di testo carica la risorsa ClientConfig del cluster. Aggiungi saml come indicato nello snippet.

apiVersion: authentication.gke.io/v2alpha1
kind: ClientConfig
metadata:
  name: default
  namespace: kube-public
spec:
  authentication:
  - name: NAME
   saml:
     idpEntityID: ENTITY_ID
     idpSingleSignOnURI: SIGN_ON_URI
     idpCertificateDataList: IDP_CA_CERT
     userAttribute: USER_ATTRIBUTE
     groupsAttribute: {'<var name="user attribute">GROUPS_ATTRIBUTE</var>'}}
     userPrefix: USER_PREFIX
     groupPrefix: GROUP_PREFIX
     attributeMapping:
       ATTRIBUTE_KEY_1 : ATTRIBUTE_CEL_EXPRESSION_1
       ATTRIBUTE_KEY_2 : ATTRIBUTE_CEL_EXPRESSION_2
  certificateAuthorityData: CERTIFICATE_STRING
  preferredAuthentication: PREFERRED_AUTHENTICATION
  server: <>

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

La seguente tabella descrive i campi dell'oggetto ClientConfig saml. La i campi che devi aggiungere dipendono dal tuo provider di identità e dalle opzioni di configurazione scelto dall'amministratore di piattaforma durante la configurazione del provider per GKE Identity Service.

Campo Obbligatorio Descrizione Formato
nome Sì Il nome che vuoi utilizzare per identificare questa configurazione, in genere il nome del provider di identità. Il nome della configurazione deve iniziare con una lettera seguita da un massimo di 39 lettere minuscole, numeri o trattini e non può terminare con un trattino. Stringa
idpEntityID Sì L'ID entità SAML per il provider SAML specificato in un formato URI. Ad esempio: https://www.idp.com/saml. Stringa URL
idpSingleSignOnURI sì L'endpoint SSO del provider SAML specificato in un formato URI. Ad esempio: https://www.idp.com/saml/sso. Stringa URL
idpCertificateDataList Sì Corrisponde ai certificati del provider di identità utilizzati per verificare la risposta SAML. Questi certificati devono avere codifica standard Base64 e formato PEM. Solo un è supportato un massimo di due certificati per facilitare il provider di identità la rotazione dei certificati. Stringa
userAttribute No Nome dell'attributo nella risposta SAML che contiene il nome utente. Stringa
groupsAttribute No Nome dell'attributo nella risposta SAML che contiene le informazioni sul gruppo dell'utente. Stringa
userPrefix No Il prefisso da anteporre alle rivendicazioni dell'utente per evitare conflitti con nomi esistenti, se non vuoi usare il prefisso predefinito. Stringa
groupPrefix No Il prefisso da anteporre ai nomi dei gruppi di sicurezza. Questo per evitare si crea un conflitto con i nomi esistenti nelle regole di controllo dell'accesso, se configurazioni per più provider di identità (in genere il nome del provider). Stringa
attributeMapping No La mappatura degli attributi utente aggiuntivi. Stringa
certificateAuthorityData No Se fornito dall'amministratore di piattaforma, si tratta di un certificato con codifica PEM stringa per il provider di identità. Includi la stringa risultante in certificateAuthorityData come una singola riga. Stringa
preferredAuthentication No Nome del metodo di autenticazione preferito configurato nel cluster. Stringa

Dopo aver completato ClientConfig, salva il file, che aggiorna la ClientConfig sul cluster. Se hai commesso errori di sintassi, di modificare di nuovo la configurazione per correggerle.

Passaggi successivi

Una volta applicata la configurazione, passa alla configurazione dell'accesso degli utenti ai cluster.