署名なしトークンを使用して認証する

kubectl

cloud-console-reader ClusterRole を作成してクラスタに適用するには、次のコマンドを実行します。

cat <<EOF > cloud-console-reader.yaml
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: cloud-console-reader
rules:
- apiGroups: [""]
  resources: ["nodes", "persistentvolumes", "pods"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["storage.k8s.io"]
  resources: ["storageclasses"]
  verbs: ["get", "list", "watch"]
EOF
kubectl apply -f cloud-console-reader.yaml

kubectl

KSA を作成して、それに権限をバインドするには、次の手順に従います。

1. KSA および ClusterRoleBinding リソースを作成して view および cloud-console-reader Kubernetes RBAC ClusterRoles を KSA にバインドします。

   KSA_NAME=KSA_NAME
   kubectl create serviceaccount ${KSA_NAME}
   kubectl create clusterrolebinding VIEW_BINDING_NAME \
      --clusterrole view --serviceaccount default:${KSA_NAME}
   kubectl create clusterrolebinding CLOUD_CONSOLE_READER_BINDING_NAME \
      --clusterrole cloud-console-reader --serviceaccount default:${KSA_NAME}
   

   以下を置き換えます。

   • KSA_NAME: KSA に付ける名前
   • VIEW_BINDING_NAME: view ClusterRoleBinding リソースに付ける名前。任意の名前を付けることができますが、KSA にちなんだ名前を付けるのが最も簡単です。
   • CLOUD_CONSOLE_READER_BINDING_NAME: cloud-console-reader ClusterRoleBinding リソースに付ける名前。任意の名前を付けることもできます

2. サービス アカウントに必要な権限に応じて、追加のロールを KSA にバインドします。オプションについては、Kubernetes のデフォルトのロールをご覧ください。

   たとえば、Cloud Marketplace から Kubernetes アプリケーションをデプロイする場合は、cluster-admin ロールを KSA にバインドします。

   kubectl create clusterrolebinding BINDING_NAME \
      --clusterrole cluster-admin --serviceaccount default:KSA_NAME
   

   BINDING_NAME を、サービス アカウントのクラスタ ロール バインディングの名前に置き換えます。

kubectl

クラスタにアクセスするすべての他のユーザーまたはサービス アカウントが ClusterRoleBinding リソースを作成して、view ロールと cloud-console-reader ロールを自分のアカウントにバインドします。

1. view、cloud-console-reader ClusterRoles をバインドします。

   ACCOUNT_NAME=ACCOUNT_NAME
   kubectl create clusterrolebinding VIEW_BINDING_NAME \
      --clusterrole view --serviceaccount default:${ACCOUNT_NAME}
   kubectl create clusterrolebinding CLOUD_CONSOLE_READER_BINDING_NAME \
      --clusterrole cloud-console-reader --serviceaccount default:${ACCOUNT_NAME}
   

   以下を置き換えます。

   • ACCOUNT_NAME: Kubernetes サービス アカウント
   • VIEW_BINDING_NAME: view ClusterRoleBinding リソースに付ける名前。任意の名前を付けることができますが、ユーザーまたはサービス アカウントにちなんだ名前を付けるのが最も簡単です。
   • CLOUD_CONSOLE_READER_BINDING_NAME: view ClusterRoleBinding リソースに付ける名前。任意の名前を付けることもできます。

2. アカウントに付与するアクセス権に応じて、追加のロールをバインドします。オプションについては、Kubernetes のデフォルトのロールをご覧ください。

   たとえば、cluster-admin ロールをバインドするには、次のコマンドを実行します。

   kubectl create clusterrolebinding BINDING_NAME \
      --clusterrole cluster-admin --serviceaccount default:ACCOUNT_NAME
   

   BINDING_NAME を、サービス アカウントのクラスタ ロール バインディングの名前に置き換えます。

kubectl

KSA の署名なしトークンを取得するには、次のコマンドを実行します。

SECRET_NAME=KSA_NAME-token

kubectl apply -f - << __EOF__
apiVersion: v1
kind: Secret
metadata:
  name: "${SECRET_NAME}"
  annotations:
    kubernetes.io/service-account.name: "${KSA_NAME}"
type: kubernetes.io/service-account-token
__EOF__

until [[ $(kubectl get -o=jsonpath="{.data.token}" "secret/${SECRET_NAME}") ]]; do
  echo "waiting for token..." >&2;
  sleep 1;
done

kubectl get secret ${SECRET_NAME} -o jsonpath='{$.data.token}' | base64 --decode

KSA_NAME を KSA に付ける名前に置き換えます。

このコマンドの出力から、トークンをコピーして保存します。これにより、ユーザーはトークンを使用して Google Cloud コンソールにログインできます。