Memecahkan masalah akses pengguna

Dokumen ini memberikan panduan pemecahan masalah untuk masalah akses pengguna di Identity Service GKE.

gcloud anthos create-login-config gagal mendapatkan clientconfig

Masalah ini terjadi dalam salah satu kasus berikut:

  • File kubeconfig yang diteruskan ke gcloud anthos create-login-config salah.
  • Resource kustom ClientConfig tidak ada di cluster (Identity Service GKE tidak diinstal di cluster).

Pesan error

  failed to get clientconfig default in namespace kube-public

Solusi

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

  1. Pastikan Anda memiliki file kubeconfig yang benar untuk cluster.

  2. Untuk memverifikasi apakah resource kustom ClientConfig ada di cluster, jalankan perintah berikut:

    kubectl --kubeconfig KUBECONFIG  get clientconfig default -n kube-public

    Jika ClientConfig tidak ada di cluster, instal dan konfigurasikan Identity Service GKE di cluster. Untuk informasi selengkapnya tentang opsi penyiapan cluster, lihat Opsi penyiapan untuk cluster.

gcloud anthos create-login-config gagal karena nama cluster duplikat

Masalah ini terjadi jika Anda mencoba membuat konfigurasi login untuk cluster ke dalam file yang sudah berisi konfigurasi login untuk cluster ini.

Pesan error

  error merging with file FILENAME because FILENAME contains a
    cluster with the same name as the one read from KUBECONFIG.

Solusi

Untuk mengatasi masalah ini, gunakan flag --output untuk menentukan file tujuan baru.

Jika Anda tidak memberikan --output, data konfigurasi login ini akan ditulis ke file bernama kubectl-anthos-config.yaml di direktori saat ini.

gcloud anthos auth login gagal dengan proxyconnect tcp

Masalah ini terjadi jika ada error dalam konfigurasi variabel lingkungan https_proxy atau HTTPS_PROXY. Jika ada https:// yang ditentukan dalam variabel lingkungan, library klien HTTP GoLang mungkin gagal jika proxy dikonfigurasi untuk menangani koneksi HTTPS menggunakan protokol lain seperti SOCK5.

Pesan error

  proxyconnect tcp: tls: first record does not look like a TLS handshake

Solusi

Untuk mengatasi masalah ini, ubah variabel lingkungan https_proxy dan HTTPS_PROXY untuk menghapus https:// prefix. Di Windows, ubah variabel lingkungan sistem. Misalnya, ubah nilai variabel lingkungan https_proxy dari https://webproxy.example.com:8000 menjadi webproxy.example.com:8000.

Akses cluster gagal saat menggunakan kubeconfig yang dibuat oleh gcloud anthos auth login

Masalah ini terjadi saat server Kubernetes API tidak dapat memberikan otorisasi kepada pengguna karena salah satu alasan berikut:

  • Terjadi error pada konfigurasi yang digunakan untuk login dengan perintah gcloud anthos auth login.
  • Kebijakan RBAC yang diperlukan salah atau tidak ada untuk pengguna.

Pesan error

  Unauthorized

Solusi

Untuk menyelesaikan masalah ini, lakukan tindakan berikut:

  1. Verifikasi konfigurasi yang digunakan untuk login.

    Konfigurasi OIDC

    Bagian authentication.oidc dalam file konfigurasi cluster pengguna memiliki kolom group dan username yang digunakan untuk menetapkan tanda --oidc-group-claim dan --oidc-username-claim di server Kubernetes API. Saat server API diberi token identitas pengguna, server akan meneruskan token ke Layanan Identitas GKE, yang menampilkan group-claim dan username-claim yang diekstrak kembali ke server API. Server API menggunakan respons untuk memverifikasi bahwa grup atau pengguna yang sesuai memiliki izin yang benar.

    Verifikasi bahwa klaim yang ditetapkan untuk group dan user di bagian authentication.oidc file konfigurasi cluster ada dalam token ID.

  2. Verifikasi kebijakan RBAC yang diterapkan.

    Untuk mempelajari cara menyiapkan kebijakan RBAC yang benar untuk GKE Identity Service, lihat Menyiapkan kontrol akses berbasis peran (RBAC).

RBAC untuk grup tidak berfungsi untuk penyedia OIDC

  1. Memverifikasi apakah token ID memiliki informasi grup

    Setelah Anda menjalankan perintah gcloud anthos auth login untuk memulai alur autentikasi OIDC, Token ID akan disimpan dalam file kubeconfig di kolom id-token. Gunakan jwt.io untuk mendekode token ID dan memverifikasi apakah token tersebut berisi informasi grup pengguna seperti yang diharapkan.

  2. Jika token ID tidak memiliki informasi grup pengguna, konfigurasikan penyedia OIDC dengan benar untuk menampilkan informasi grup sesuai dengan dokumentasi penyedia OIDC Anda. Misalnya, jika Anda menggunakan konfigurasi OIDC dari penyedia Identitas Okta, ikuti dokumentasi penyedia Identitas Okta untuk mengonfigurasi grup dalam token ID.

  3. Jika token ID memiliki informasi grup, verifikasi apakah kunci informasi grup di token ID cocok dengan kolom groupsClaim yang dikonfigurasi di bagian oidc.

    Misalnya, jika token ID berisi informasi grup di kunci groups:

    "groups" : ["group1", "group2" ...]

    maka nilai kolom groupsClaim harus groups di bagian oidc.

    Setelah mengubah konfigurasi di bagian oidc, pastikan Anda menjalankan petunjuk yang tercantum di Menyiapkan akses pengguna dan Mengakses cluster lagi.

Memecahkan masalah penyedia identitas

Jika Anda mengalami masalah saat menggunakan OIDC atau LDAP dengan cluster GKE, ikuti langkah-langkah di bagian ini untuk memecahkan masalah Identity Service GKE dan membantu menentukan apakah ada masalah dengan konfigurasi penyedia identitas Anda.

Mengaktifkan log debug Identity Service GKE

Untuk membantu memecahkan masalah terkait identitas di cluster, aktifkan log debug Identity Service GKE.

  1. Terapkan patch pada cluster yang ada dengan kubectl patch:

    kubectl patch deployment ais \
  -n anthos-identity-service --type=json \
  -p='[{"op": "add", "path": "/spec/template/spec/containers/0/args/-", "value":"--vmodule=cloud/identity/hybrid/charon/*=LOG_LEVEL"}]' \
  --kubeconfig KUBECONFIG

    Ganti kode berikut:

    • LOG_LEVEL: Untuk log yang paling panjang, tetapkan nilai ini ke level 3 saat memecahkan masalah.

    • KUBECONFIG: Jalur ke file kubeconfig cluster pengguna Anda.

Memeriksa log penampung GKE Identity Service

Tinjau konten log penampung Layanan Identitas GKE untuk menemukan error atau peringatan.

  1. Untuk meninjau log, gunakan kubectl logs:

    kubectl logs -f -l k8s-app=ais \
  -n anthos-identity-service \
  --kubeconfig KUBECONFIG

    Ganti KUBECONFIG dengan jalur ke file kubeconfig cluster pengguna Anda.

Memulai ulang pod Identity Service GKE

Jika log penampung menunjukkan masalah, mulai ulang pod Identity Service GKE.

  1. Untuk memulai ulang pod Identity Service GKE, hapus pod yang ada. Pod baru akan otomatis dibuat sebagai pengganti.

    kubectl delete pod -l k8s-app=ais \
  -n anthos-identity-service \
  --kubeconfig KUBECONFIG

    Ganti KUBECONFIG dengan jalur ke file kubeconfig cluster pengguna Anda.

Memecahkan masalah konektivitas ke penyedia identitas

Jika pod Identity Service GKE tampaknya berjalan dengan benar, uji konektivitas ke penyedia identitas jarak jauh.

  1. Mulai pod busybox di namespace yang sama dengan pod Identity Service GKE:

    kubectl run curl --image=radial/busyboxplus:curl \
  -n anthos-identity-service -- sleep 3000 \
  --kubeconfig KUBECONFIG

    Ganti KUBECONFIG dengan jalur ke file kubeconfig cluster pengguna Anda.

  2. Untuk memeriksa apakah Anda dapat mengambil URL penemuan, jalankan ke pod busybox dan jalankan perintah curl:

    kubectl exec pod/curl -n anthos-identity-service -- \
  curl ISSUER_URL \
  --kubeconfig KUBECONFIG

    Ganti kode berikut:

    • ISSUER_URL: URL penerbit penyedia identitas Anda.
    • KUBECONFIG: Jalur ke file kubeconfig cluster pengguna Anda.

    Respons yang berhasil adalah hasil JSON dengan endpoint penyedia identitas yang terperinci.

  3. Jika perintah sebelumnya tidak menampilkan hasil yang diharapkan, hubungi administrator penyedia identitas Anda untuk mendapatkan bantuan tambahan.

Login LDAP tidak berfungsi untuk cluster admin Google Distributed Cloud

LDAP saat ini hanya didukung untuk cluster pengguna Google Distributed Cloud.