Identität mit GKE Identity Service verwalten

GKE on AWS unterstützt OpenID Connect (OIDC) und AWS IAM als Authentifizierungsmechanismus für die Interaktion mit dem Kubernetes API-Server eines Clusters unter Verwendung des GKE Identity Service. GKE Identity Service ist ein Authentifizierungsdienst, mit dem Sie Ihre vorhandenen Identitätslösungen zur Authentifizierung in mehreren Umgebungen verwenden können. Nutzer können sich über die Befehlszeile oder dieGoogle Cloud Console bei Ihren GKE-Clustern anmelden und diese verwenden, indem Sie Ihren vorhandenen Identitätsanbieter verwenden.

Eine Übersicht über die Funktionsweise von GKE Identity Service finden Sie unter Einführung in GKE Identity Service.

Wenn Sie sich bereits mit Google-Identitäten anmelden oder diese für die Anmeldung bei Ihren GKE-Clustern nutzen möchten, empfehlen wir die Verwendung des Befehls gcloud containers aws clusters get-credentials zur Authentifizierung. Weitere Informationen finden Sie unter Verbindung zum Cluster herstellen und sich authentifizieren.

OpenID Connect-Authentifizierung

Hinweis

  1. Nutzer müssen eine Verbindung zur Steuerungsebene des Clusters herstellen können, um die OIDC-Authentifizierung zu verwenden. Siehe Verbindung zur Steuerungsebene Ihres Clusters herstellen.

  2. Zur Authentifizierung über die Google Cloud Console müssen Sie jeden Cluster registrieren, den Sie mit Ihrer Projektflotte konfigurieren möchten. Bei GKE on AWS erfolgt dies automatisch, sobald Sie einen Knotenpool erstellt haben.

  3. Damit sich Nutzer über die Google Cloud Console authentifizieren können, müssen alle Cluster, die Sie konfigurieren möchten, bei Ihrer Projektflotte registriert sein. Bei GKE on AWS erfolgt dies automatisch, sobald Sie einen Knotenpool erstellt haben.

Einrichtungsprozess und -optionen

  1. Registrieren Sie GKE Identity Service als Client bei Ihrem OIDC-Anbieter. Folgen Sie dazu der Anleitung unter Anbieter für GKE Identity Service konfigurieren.

  2. Wählen Sie eine der folgenden Clusterkonfigurationsoptionen aus:

  3. Richten Sie den Nutzerzugriff auf Ihre Cluster einschließlich rollenbasierter Zugriffssteuerung ein. Folgen Sie dazu der Anleitung unter Nutzerzugriff für GKE Identity Service einrichten.

Auf Cluster zugreifen

Nachdem GKE Identity Service für einen Cluster eingerichtet wurde, können sich Nutzer entweder über die Befehlszeile oder die Google Cloud Console bei Clustern anmelden.

AWS IAM-Authentifizierung

Die AWS IAM-Unterstützung für GKE on AWS verwendet GKE Identity Service.

Hinweise

Nutzer müssen in der Lage sein, eine Verbindung zur Steuerungsebene des Clusters herzustellen, um die AWS IAM-Authentifizierung zu verwenden. Siehe Verbindung zur Steuerungsebene Ihres Clusters herstellen.

Einrichtungsprozess und -optionen

So konfigurieren Sie Ihren Cluster, damit die AWS IAM-Authentifizierung für eine bestimmte AWS-Region zulässig ist:

  1. Bearbeiten Sie die ClientConfig-Ressource in Ihrem Cluster:

    kubectl --kubeconfig=KUBECONFIG_PATH edit ClientConfigs default -n kube-public

    Ersetzen Sie KUBECONFIG_PATH durch den Pfad zur kubeconfig-Datei Ihres Clusters, z. B. $HOME/.kube/config.

    Die ClientConfig-Ressource des Clusters wird in einem Texteditor geladen. Fügen Sie das Objekt spec.authentication.aws wie unten gezeigt hinzu. Ändern Sie keine bereits geschriebenen Standarddaten.

    apiVersion: authentication.gke.io/v2alpha1
kind: ClientConfig
metadata:
  name: default
  namespace: kube-public
spec:
  authentication:
  - name: NAME
    aws:
      region: AWS_REGION

    Dabei gilt:

    • NAME: Beliebiger Name dieser Authentifizierungsmethode, z. B. „aws-iam“.
    • AWS_REGION: die AWS-Region, in der die Nutzerinformationen abgerufen werden. Sie muss mit der Region übereinstimmen, die in der AWS-Befehlszeile Ihrer Nutzer konfiguriert ist.

  2. Folgen Sie der Anleitung unter Nutzerzugriff für GKE Identity Service einrichten, um Ihren Clusternutzern die Verwendung von AWS IAM zu ermöglichen.

Auf Cluster zugreifen

Nachdem GKE Identity Service für einen Cluster eingerichtet wurde, können sich Nutzer entweder über die Befehlszeile oder die Google Cloud Console bei Clustern anmelden.

Informationen zum Anmelden in registrierten Clustern mit Ihrer AWS IAM-Identität finden Sie unter Mit GKE Identity Service auf Cluster zugreifen.