Menggunakan workload identity dengan Google Cloud

Panduan ini menjelaskan cara mengonfigurasi identitas workload di GKE di AWS untuk mengontrol akses workload ke resource GCP. Artikel ini menyertakan contoh cara mengakses resource Google Cloud dari cluster Anda menggunakan identitas tersebut.

Untuk informasi tentang penggunaan identitas workload dengan akun IAM AWS untuk mengontrol akses ke resource AWS, lihat Menggunakan identitas workload dengan AWS.

Ringkasan

Workload Identity menggunakan izin Google Cloud IAM untuk mengontrol akses ke resource Google Cloud. Dengan workload identity, Anda dapat menetapkan peran IAM yang berbeda untuk setiap workload. Dengan kontrol izin yang mendetail ini, Anda dapat mengikuti prinsip hak istimewa terendah. Tanpa identitas workload, Anda harus menetapkan peran Google Cloud IAM ke GKE pada node AWS, sehingga semua beban kerja di node tersebut memiliki izin yang sama dengan node itu sendiri.

Prasyarat

  • Buat cluster pengguna dengan Kubernetes versi v1.20 atau yang lebih baru.

  • Jika VPC AWS Anda menggunakan proxy atau firewall, izinkan URL berikut:

    • securetoken.googleapis.com
    • iamcredentials.googleapis.com
    • sts.googleapis.com
  • Dari direktori anthos-aws, gunakan anthos-gke untuk mengalihkan konteks ke cluster pengguna.

    cd anthos-aws
    env HTTPS_PROXY=http://localhost:8118 \
      anthos-gke aws clusters get-credentials CLUSTER_NAME
    Ganti CLUSTER_NAME dengan nama cluster pengguna Anda.

  • Aktifkan empat layanan baru yang diperlukan untuk fitur ini dengan perintah berikut:

    gcloud services enable securetoken.googleapis.com
    gcloud services enable iam.googleapis.com
    gcloud services enable iamcredentials.googleapis.com
    gcloud services enable sts.googleapis.com
    

Menulis kumpulan WI dan nama penyedia

Setiap project Google Cloud secara otomatis membuat kumpulan identitas workload terkelola dengan nama dalam bentuk PROJECT_ID.svc.id.goog. Demikian pula, Google Cloud membuat penyedia identitas yang namanya mengikuti pola https://gkehub.googleapis.com/projects/PROJECT_ID/locations/global/memberships/MEMBERSHIP_ID. Untuk informasi selengkapnya tentang kumpulan workload identity, lihat Komponen yang mendukung fleet. Tulis nama ini dari project ID dan ID keanggotaan Anda seperti yang ditunjukkan di sini:

export PROJECT_ID=USER_PROJECT_NAME
export CLUSTER_MEMBERSHIP_ID=PROJECT_MEMBERSHIP_NAME
export IDP="https://gkehub.googleapis.com/projects/${PROJECT_ID}/locations/global/memberships/${CLUSTER_MEMBERSHIP_ID}"
export WI_POOL="${PROJECT_ID}.svc.id.goog"

Ganti kode berikut:

  • USER_PROJECT_NAME dengan nama project pengguna yang dipilih pengguna
  • PROJECT_MEMBERSHIP_NAME dengan nama keanggotaan cluster

Membuat binding kebijakan IAM

Buat binding kebijakan agar akun layanan Kubernetes (KSA) dapat meniru akun layanan Google Cloud (GSA).

export K8S_NAMESPACE=KUBERNETES_NAMESPACE
export KSA_NAME=KUBERNETES_SA_NAME
export GCP_SA_EMAIL="WORKLOAD_IDENTITY_TEST@${PROJECT_ID}.iam.gserviceaccount.com"
gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$WI_POOL[$K8S_NAMESPACE/$KSA_NAME]" $GCP_SA_EMAIL

Ganti kode berikut:

  • KUBERNETES_NAMESPACE dengan namespace Kubernetes tempat akun layanan Kubernetes ditentukan
  • WORKLOAD_IDENTITY_TEST dengan nama beban kerja pilihan Anda
  • KUBERNETES_SA_NAME dengan nama akun layanan Kubernetes yang dilampirkan ke aplikasi

Membuat config map SDK

Jalankan skrip shell di bawah untuk menyimpan detail identitas workload di ConfigMap. Saat Pod memasang ConfigMap, Google Cloud CLI dapat membaca detail workload identity.

cat << EOF > cfmap.yaml
kind: ConfigMap
apiVersion: v1
metadata:
  namespace: ${K8S_NAMESPACE}
  name: my-cloudsdk-config
data:
  config: |
    {
      "type": "external_account",
      "audience": "identitynamespace:${WI_POOL}:${IDP}",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/${GCP_SA_EMAIL}:generateAccessToken",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "credential_source": {
        "file": "/var/run/secrets/tokens/gcp-ksa/token"
      }
    }
EOF

env HTTPS_PROXY=http://localhost:8118 \
  kubectl apply -f cfmap.yaml

Membuat akun layanan Kubernetes

Buat KSA di cluster pengguna Anda dengan nama dan namespace yang sama seperti yang digunakan dalam binding IAM.

cat << EOF > k8s-service-account.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: ${KSA_NAME}
  namespace: ${K8S_NAMESPACE}
EOF

env HTTPS_PROXY=http://localhost:8118 \
  kubectl apply -f k8s-service-account.yaml

Membuat Pod

Selanjutnya, buat Pod dengan proyeksi token akun layanan dan ConfigMap yang dibuat di atas.

  1. Membuat sampel file yaml Pod.

    cat << EOF > sample-pod.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: sample-pod
      namespace: ${K8S_NAMESPACE}
    spec:
      serviceAccountName: ${KSA_NAME}
      containers:
      - command:
        - /bin/bash
        - -c
        - while :; do echo '.'; sleep 500 ; done
        image: google/cloud-sdk
        name: cloud-sdk
        env:
          - name: GOOGLE_APPLICATION_CREDENTIALS
            value: /var/run/secrets/tokens/gcp-ksa/google-application-credentials.json
        volumeMounts:
        - name: gcp-ksa
          mountPath: /var/run/secrets/tokens/gcp-ksa
          readOnly: true
      volumes:
      - name: gcp-ksa
        projected:
          defaultMode: 420
          sources:
          - serviceAccountToken:
              path: token
              audience: ${WI_POOL}
              expirationSeconds: 172800
          - configMap:
              name: my-cloudsdk-config
              optional: false
              items:
               - key: "config"
                 path: "google-application-credentials.json"
    EOF
    
  2. Terapkan YAML Pod ke cluster Anda.

    env HTTPS_PROXY=http://localhost:8118 \
     kubectl apply -f sample-pod.yaml
    

Menggunakan Google Cloud Workload Identity

Versi SDK yang didukung

Untuk menggunakan fitur Google Cloud Workload Identity, Anda harus membuat kode dengan SDK yang mendukungnya. Untuk mengetahui daftar versi SDK yang mendukung Google Cloud Workload Identity, lihat Fleet Workload Identity.

Kode contoh menggunakan Workload Identity

Bagian ini mencakup contoh kode Python yang menggunakan identitas workload Google Cloud. Akun layanan dalam contoh ini menggunakan identitas dengan hak istimewa "Cloud Storage Admin" untuk mencantumkan semua bucket Cloud Storage project Google Cloud.

  1. Menjalankan shell di dalam Pod.

    env HTTPS_PROXY=http://localhost:8118 \
    kubectl exec -it sample-pod -- bash
    
  2. Menjalankan skrip untuk membuat daftar bucket penyimpanan project.

    # execute these commands inside the Pod
    pip install --upgrade google-cloud-storage
    
    cat << EOF > sample-list-bucket.py
    from google.cloud import storage
    storage_client = storage.Client()
    buckets = storage_client.list_buckets()
    
    for bucket in buckets:
      print(bucket.name)
    EOF
    
    env GOOGLE_CLOUD_PROJECT=USER_PROJECT_NAME \
     python3 sample-list-bucket.py
    

    Ganti USER_PROJECT_NAME dengan project Google Cloud Anda.

Untuk informasi lebih lanjut