Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
LDAP-Anbieter für GKE Identity Service konfigurieren
Dieses Dokument richtet sich an Plattformadministratoren bzw. an die Person, die die Identitätseinrichtung in Ihrer Organisation verwaltet. Es wird erläutert, wie Sie den ausgewählten LDAP-Identitätsanbieter (Lightweight Directory Access Protocol) für GKE Identity Service konfigurieren.
Während der Einrichtung müssen Sie möglicherweise die Dokumentation des LDAP-Servers lesen. Im Folgenden werden die Konfigurationen für einige beliebte LDAP-Anbieter erläutert. Außerdem erfahren Sie, wo Sie die Informationen finden, die Sie für die Anmeldung beim LDAP-Server benötigen:
GKE Identity Service benötigt ein Dienstkonto-Secret, um sich beim LDAP-Server zu authentifizieren und Nutzerdetails abzurufen. Für die LDAP-Authentifizierung sind zwei Arten von Dienstkonten zulässig: die Basisauthentifizierung (mit einem Nutzernamen und einem Passwort zur Authentifizierung beim Server) oder ein Clientzertifikat (mit einem privaten Clientschlüssel und einem Clientzertifikat). Informationen dazu, welcher Typ in Ihrem spezifischen LDAP-Server unterstützt wird, finden Sie in der Dokumentation. Im Allgemeinen unterstützt Google LDAP nur ein Clientzertifikat als Dienstkonto. OpenLDAP, Microsoft Active Directory und Azure AD unterstützen nativ nur die Basisauthentifizierung.
Die folgende Anleitung zeigt, wie Sie einen Client erstellen und die Anmeldedaten für den LDAP-Server für einige beliebte Anbieter abrufen. Informationen zu anderen LDAP-Anbietern finden Sie in der Administratordokumentation zum Server.
Azure AD/Active Directory
Folgen Sie der Anleitung in der Benutzeroberfläche, um ein neues Nutzerkonto zu erstellen.
Speichern Sie den vollständigen DN (Distinguished Name) des Nutzers und das Passwort für später.
Google LDAP
Sie müssen in Ihrem Google Workspace- oder Cloud Identity-Konto unter accounts.google.com angemeldet sein.
Melden Sie sich mit dem Konto in der Admin-Konsole an.
Wählen Sie im linken Menü Apps – LDAP aus.
Klicken Sie auf Client hinzufügen.
Fügen Sie den ausgewählten Clientnamen und die Beschreibung hinzu und klicken Sie auf Weiter.
Achten Sie im Abschnitt Zugriffsberechtigungen darauf, dass der Client die entsprechenden Berechtigungen zum Lesen Ihres Verzeichnisses und zum Zugriff auf Nutzerinformationen hat.
Laden Sie das Clientzertifikat herunter und schließen Sie die Erstellung des Clients ab. Wenn Sie das Zertifikat herunterladen, wird auch der entsprechende Schlüssel heruntergeladen.
Führen Sie die folgenden Befehle im relevanten Verzeichnis aus, um das Zertifikat und den Schlüssel mit base64 zu codieren. Ersetzen Sie dabei die Dateinamen des heruntergeladenen Zertifikats und des Schlüssels.
Speichern Sie das verschlüsselte Zertifikat und die Schlüsselstrings für später.
OpenLDAP
Verwenden Sie den Befehl ldapadd, um dem Verzeichnis einen neuen Dienstkontoeintrag hinzuzufügen. Sorgen Sie dafür, dass das Konto berechtigt ist, das Verzeichnis zu lesen und auf Nutzerinformationen zuzugreifen.
Speichern Sie den vollständigen DN (Distinguished Name) des Nutzers und das Passwort für später.
Nächste Schritte
Ihr Clusteradministrator kann GKE Identity Service für einzelne Cluster oder eine Flotte einrichten.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-07-31 (UTC)."],[],[],null,["# Configure LDAP provider for GKE Identity Service\n================================================\n\nThis document is for **platform administrators** , or whoever manages identity setup in your organization. It explains how to configure your chosen [Lightweight Directory Access Protocol (LDAP)](https://ldap.com/) identity provider for GKE Identity Service.\n\nGKE Identity Service with LDAP can be used with\n[Google Distributed Cloud](/anthos/clusters/docs/on-prem) and\n[Google Distributed Cloud](/anthos/clusters/docs/bare-metal) only.\n\nBefore you begin\n----------------\n\nThroughout this setup, you might need to refer to the documentation for your LDAP server. The following administrator guides explain configuration for some popular LDAP providers, including where to find the information you need to log in to the LDAP server:\n\n- [OpenLDAP](https://www.openldap.org/doc/)\n- [Azure AD](https://azure.microsoft.com/en-us/services/active-directory/)\n- [Microsoft Active Directory](https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/active-directory-overview)\n- [Google LDAP](https://support.google.com/a/topic/9173976?ref_topic=9048334)\n\nGet LDAP login details\n----------------------\n\nGKE Identity Service needs a service account secret to authenticate to the LDAP server and retrieve user details. There are two types of service accounts permitted in LDAP authentication, basic auth (using a username and password to authenticate to the server) or client certificate (using a client private key and client certificate). To find out which type is supported in your specific LDAP server, see its documentation. Generally, Google LDAP only supports a client certificate as the service account. OpenLDAP, Microsoft Active Directory and Azure AD support only basic auth natively.\n\nThe following instructions show you how to create a client and get LDAP server login details for some popular providers. For other LDAP providers, see the server's administrator documentation. \n\n### Azure AD/Active Directory\n\n1. Follow the UI instructions to create a new user account.\n2. Save the full user distinguished name (DN) and password for later.\n\n### Google LDAP\n\n1. Ensure that you are logged in to your Google Workspace or Cloud Identity account in [accounts.google.com](https://accounts.google.com).\n2. Log in to the [Google Admin console](https://admin.google.com) with the account.\n3. Select **Apps** - **LDAP** from the left menu.\n4. Click **Add client**.\n5. Add your chosen client name and description and click **Continue**.\n6. In the **Access permissions** section, ensure that the client has the appropriate permissions to read your directory and access user information.\n7. Download the client certificate and complete client creation. Downloading the certificate also downloads the corresponding key.\n8. Run the following commands in the relevant directory to base64 encode the certificate and key, substituting the file names of your downloaded certificate and key:\n\n cat \u003cvar translate=\"no\"\u003eCERTIFICATE_FILENAME\u003c/var\u003e.crt | base64\n cat \u003cvar translate=\"no\"\u003eKEY_FILENAME\u003c/var\u003e.key | base64\n\n9. Save the encrypted certificate and key strings for later.\n\n### OpenLDAP\n\n1. Use the [`ldapadd`](https://man7.org/linux/man-pages/man1/ldapadd.1.html) command to add a new service account entry into the directory. Make sure that the account has permission to read the directory and access user information.\n2. Save the full user distinguished name (DN) and password for later.\n\nWhat's next\n-----------\n\nYour cluster administrator can set up GKE Identity Service for [individual clusters](/kubernetes-engine/enterprise/identity/setup/ldap) or a [fleet](/kubernetes-engine/enterprise/identity/setup/fleet)."]]
