Menggunakan workload identity dengan Google Cloud

Panduan ini menjelaskan cara mengonfigurasi identitas workload di GKE di AWS untuk mengontrol akses workload ke resource GCP. Artikel ini menyertakan contoh cara mengakses resource Google Cloud dari cluster Anda menggunakan identitas tersebut.

Untuk informasi tentang penggunaan identitas workload dengan akun IAM AWS untuk mengontrol akses ke resource AWS, lihat Menggunakan identitas workload dengan AWS.

Ringkasan

Workload Identity menggunakan izin Google Cloud IAM untuk mengontrol akses ke resource Google Cloud. Dengan workload identity, Anda dapat menetapkan peran IAM yang berbeda untuk setiap workload. Dengan kontrol izin yang mendetail ini, Anda dapat mengikuti prinsip hak istimewa terendah. Tanpa identitas workload, Anda harus menetapkan peran Google Cloud IAM ke GKE pada node AWS, sehingga semua beban kerja di node tersebut memiliki izin yang sama dengan node itu sendiri.

Prasyarat

• Buat cluster pengguna dengan Kubernetes versi v1.20 atau yang lebih baru.

• Jika VPC AWS Anda menggunakan proxy atau firewall, izinkan URL berikut:

  • securetoken.googleapis.com
  • iamcredentials.googleapis.com
  • sts.googleapis.com

• Dari direktori anthos-aws, gunakan anthos-gke untuk mengalihkan konteks ke cluster pengguna.

  cd anthos-aws
  env HTTPS_PROXY=http://localhost:8118 \
    anthos-gke aws clusters get-credentials CLUSTER_NAME

  Ganti CLUSTER_NAME dengan nama cluster pengguna Anda.

• Aktifkan empat layanan baru yang diperlukan untuk fitur ini dengan perintah berikut:

  gcloud services enable securetoken.googleapis.com
  gcloud services enable iam.googleapis.com
  gcloud services enable iamcredentials.googleapis.com
  gcloud services enable sts.googleapis.com
  

Catatan: Kolom cluster pengguna spec.controlPlane.workloadIdentity.oidcDiscoveryGCSBucket tidak diperlukan untuk federation identitas workload Google Cloud. Hal ini karena info OIDC JSON Web Key Set (JWKS) disimpan di Google Cloud, sehingga untuk alasan keamanan tidak mendukung penemuan OIDC melalui internet.

Menulis kumpulan WI dan nama penyedia

Setiap project Google Cloud secara otomatis membuat kumpulan identitas workload terkelola dengan nama dalam bentuk PROJECT_ID.svc.id.goog. Demikian pula, Google Cloud membuat penyedia identitas yang namanya mengikuti pola https://gkehub.googleapis.com/projects/PROJECT_ID/locations/global/memberships/MEMBERSHIP_ID. Untuk informasi selengkapnya tentang kumpulan workload identity, lihat Komponen yang mendukung fleet. Tulis nama ini dari project ID dan ID keanggotaan Anda seperti yang ditunjukkan di sini:

export PROJECT_ID=USER_PROJECT_NAME
export CLUSTER_MEMBERSHIP_ID=PROJECT_MEMBERSHIP_NAME
export IDP="https://gkehub.googleapis.com/projects/${PROJECT_ID}/locations/global/memberships/${CLUSTER_MEMBERSHIP_ID}"
export WI_POOL="${PROJECT_ID}.svc.id.goog"

Ganti kode berikut:

• USER_PROJECT_NAME dengan nama project pengguna yang dipilih pengguna
• PROJECT_MEMBERSHIP_NAME dengan nama keanggotaan cluster

Membuat binding kebijakan IAM

Buat binding kebijakan agar akun layanan Kubernetes (KSA) dapat meniru akun layanan Google Cloud (GSA).

export K8S_NAMESPACE=KUBERNETES_NAMESPACE
export KSA_NAME=KUBERNETES_SA_NAME
export GCP_SA_EMAIL="WORKLOAD_IDENTITY_TEST@${PROJECT_ID}.iam.gserviceaccount.com"
gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:$WI_POOL[$K8S_NAMESPACE/$KSA_NAME]" $GCP_SA_EMAIL

Ganti kode berikut:

• KUBERNETES_NAMESPACE dengan namespace Kubernetes tempat akun layanan Kubernetes ditentukan
• WORKLOAD_IDENTITY_TEST dengan nama beban kerja pilihan Anda
• KUBERNETES_SA_NAME dengan nama akun layanan Kubernetes yang dilampirkan ke aplikasi

Catatan: Semua KSA dengan nama dan namespace yang sama dalam project ini ditiru identitasnya dari GSA yang sama. Hal ini memungkinkan workload bersifat portabel di antara cluster dalam project yang sama.

Membuat config map SDK

Jalankan skrip shell di bawah untuk menyimpan detail identitas workload di ConfigMap. Saat Pod memasang ConfigMap, Google Cloud CLI dapat membaca detail workload identity.

cat << EOF > cfmap.yaml
kind: ConfigMap
apiVersion: v1
metadata:
  namespace: ${K8S_NAMESPACE}
  name: my-cloudsdk-config
data:
  config: |
    {
      "type": "external_account",
      "audience": "identitynamespace:${WI_POOL}:${IDP}",
      "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/${GCP_SA_EMAIL}:generateAccessToken",
      "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
      "token_url": "https://sts.googleapis.com/v1/token",
      "credential_source": {
        "file": "/var/run/secrets/tokens/gcp-ksa/token"
      }
    }
EOF

env HTTPS_PROXY=http://localhost:8118 \
  kubectl apply -f cfmap.yaml

Membuat akun layanan Kubernetes

Buat KSA di cluster pengguna Anda dengan nama dan namespace yang sama seperti yang digunakan dalam binding IAM.

cat << EOF > k8s-service-account.yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: ${KSA_NAME}
  namespace: ${K8S_NAMESPACE}
EOF

env HTTPS_PROXY=http://localhost:8118 \
  kubectl apply -f k8s-service-account.yaml

Membuat Pod

Selanjutnya, buat Pod dengan proyeksi token akun layanan dan ConfigMap yang dibuat di atas.

1. Membuat sampel file yaml Pod.

   cat << EOF > sample-pod.yaml
   apiVersion: v1
   kind: Pod
   metadata:
     name: sample-pod
     namespace: ${K8S_NAMESPACE}
   spec:
     serviceAccountName: ${KSA_NAME}
     containers:
     - command:
       - /bin/bash
       - -c
       - while :; do echo '.'; sleep 500 ; done
       image: google/cloud-sdk
       name: cloud-sdk
       env:
         - name: GOOGLE_APPLICATION_CREDENTIALS
           value: /var/run/secrets/tokens/gcp-ksa/google-application-credentials.json
       volumeMounts:
       - name: gcp-ksa
         mountPath: /var/run/secrets/tokens/gcp-ksa
         readOnly: true
     volumes:
     - name: gcp-ksa
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             path: token
             audience: ${WI_POOL}
             expirationSeconds: 172800
         - configMap:
             name: my-cloudsdk-config
             optional: false
             items:
              - key: "config"
                path: "google-application-credentials.json"
   EOF
   

2. Terapkan YAML Pod ke cluster Anda.

   env HTTPS_PROXY=http://localhost:8118 \
    kubectl apply -f sample-pod.yaml
   

Menggunakan Google Cloud Workload Identity

Versi SDK yang didukung

Untuk menggunakan fitur Google Cloud Workload Identity, Anda harus membuat kode dengan SDK yang mendukungnya. Untuk mengetahui daftar versi SDK yang mendukung Google Cloud Workload Identity, lihat Fleet Workload Identity.

Kode contoh menggunakan Workload Identity

Bagian ini mencakup contoh kode Python yang menggunakan identitas workload Google Cloud. Akun layanan dalam contoh ini menggunakan identitas dengan hak istimewa "Cloud Storage Admin" untuk mencantumkan semua bucket Cloud Storage project Google Cloud.

1. Menjalankan shell di dalam Pod.

   env HTTPS_PROXY=http://localhost:8118 \
   kubectl exec -it sample-pod -- bash
   

2. Menjalankan skrip untuk membuat daftar bucket penyimpanan project.

   # execute these commands inside the Pod
   pip install --upgrade google-cloud-storage
   
   cat << EOF > sample-list-bucket.py
   from google.cloud import storage
   storage_client = storage.Client()
   buckets = storage_client.list_buckets()
   
   for bucket in buckets:
     print(bucket.name)
   EOF
   
   env GOOGLE_CLOUD_PROJECT=USER_PROJECT_NAME \
    python3 sample-list-bucket.py
   

   Ganti USER_PROJECT_NAME dengan project Google Cloud Anda.

Untuk informasi lebih lanjut

• Workload Identity Perangkat
• Workload identity federation
• Mengakses resource dari penyedia identitas OIDC (Cluster Kubernetes adalah penyedia identitas OIDC)
• Menggunakan workload identity dengan AWS