ログイン

コンソール

次の URL を新しいブラウザタブで開いて、Distributed Cloud ユーザー インターフェース（UI）にアクセスします。

https://GDC_URL

GDC_URL は、Infrastructure Operator（IO）が提供する Distributed Cloud へのアクセスに使用するドメイン名に置き換えます。URL を初めて開くと、Infrastructure Operator（IO）がページを構成している場合、Distributed Cloud は ID プロバイダのログイン ページにリダイレクトします。

たとえば、次の画像は、org-1 という名前の組織のコンソール UI にログインしています。

CLI

gdcloud CLI にログインするときは、gdcloud auth login コマンドを使用して、gdcloud CLI に対するプリンシパルを認証します。gdcloud CLI は、そのプリンシパルを使用して、 Google Cloud のリソースとサービスを管理するための認証と認可を行います。

ログインする前に、次のことを確認してください。

• gdcloud CLI バイナリをダウンロードして、システムにインストールします。詳細については、gdcloud CLI をダウンロードするをご覧ください。
• gdcloud CLI のデフォルト構成を設定して初期化します。ログイン構成エンドポイントの取得に使用される正しい組織 URL を設定してください。詳細については、gdcloud CLI のインストールをご覧ください。
• 認証プラグイン gdcloud-k8s-auth-plugin をインストールします。詳細については、gdcloud CLI 認証をご覧ください。

Management API サーバーまたは Kubernetes クラスタにログインする手順は次のとおりです。

• Management API サーバー:

1. Management API サーバーの kubeconfig ファイルを保存するパスをエクスポートします。

   export KUBECONFIG=MANAGEMENT_API_SERVER
   

   MANAGEMENT_API_SERVER は、kubeconfig ファイルを保存するディレクトリのパスに置き換えます。

2. gdcloud CLI インスタンスを認証してログインします。認証には次の 2 つの方法があります。

   • 標準のブラウザ ログイン: ブラウザからログインするときにこの認証フローを使用します。

     gdcloud auth login
     

   • セカンダリ デバイスのログイン: メイン デバイスでブラウザを使用できない場合は、この認証フローを使用します。このフローでは、ブラウザ アクセス権のないプライマリ デバイスでログインを開始し、ブラウザ アクセス権のあるセカンダリ デバイスでログインを続行します。

     ブラウザのないメインのデバイスでログインを開始します。

     gdcloud auth login --no-browser
     

     KUBECONFIG 環境変数は、組織内のすべての API サーバーとクラスタの kubeconfig ファイルで更新されます。KUBECONFIG 変数が設定されていない場合、kubectl CLI は $HOME/.kube/config に保存されているデフォルトの kubeconfig ファイルを使用します。

     kubeconfig ファイルの編集をスキップするには、コマンドに --skip-kubeconfig-update フラグを追加します。次に例を示します。

     gdcloud auth login --no-browser --skip-kubeconfig-update
     

     出力された gdcloud CLI コマンド出力をコピーし、ブラウザ アクセス権のあるマシンで実行します。

3. ウェブページの手順に沿ってログインを完了します。

   ログインが正常に完了すると、ブラウザに「認証に成功しました。このウィンドウを閉じてください。

4. ターミナルの指示に沿って操作します。ログインに成功すると、ターミナルに「You are now logged in」というメッセージが表示されます。

• Kubernetes クラスタ:

1. gdcloud CLI インスタンスを認証してログインします。認証には次の 2 つの方法があります。

   • 標準のブラウザ ログイン: ブラウザからログインするときにこの認証フローを使用します。

     gdcloud auth login
     

   • セカンダリ デバイスのログイン: メイン デバイスでブラウザを使用できない場合は、この認証フローを使用します。このフローでは、ブラウザ アクセス権のないプライマリ デバイスでログインを開始し、ブラウザ アクセス権のあるセカンダリ デバイスでログインを続行します。

     1. ブラウザのないメインのデバイスでログインを開始します。

        gdcloud auth login --no-browser
        

        プライマリ デバイスのコマンドは、手順 c でセカンダリ デバイスで実行する必要がある別の gdcloud コマンドを出力します。

     2. 手順 1 を繰り返して、セカンダリ デバイスに証明書をダウンロードします。

     3. 手順 a でメインのデバイスに表示されたコマンドを入力して、セカンダリ デバイスでのログインを完了します。

   この操作により、構成された ID プロバイダ（IdP）にログインするためのブラウザが開きます。ログインするには、gdcloud CLI の初期設定時に設定したユーザーとパスワードを指定します。

2. ユーザー ID kubeconfig ファイルを変数としてエクスポートします。

   export KUBECONFIG=/tmp/admin-kubeconfig-with-user-identity.yaml
   

3. ユーザー ID を使用して kubeconfig ファイルを生成します。

   gdcloud clusters get-credentials CLUSTER_NAME --zone ZONE
   

   ZONE は、ゾーン名に置き換えます。

   kubeconfig ファイルがユーザー ID で生成されます。次の YAML ファイルは、例を示しています。

   apiVersion: v1
   clusters:
   - cluster:
     certificate-authority-data: <REDACTED>
     server: https://10.200.0.32:443
   name: cluster-name
   contexts:
   - context:
     cluster: cluster-name
     user: cluster-name-anthos-default-user
   name: cluster-name-cluster-name-anthos-default-user
   current-context: cluster-name-cluster-name-anthos-default-user
   kind: Config
   preferences: {}
   users:
   - name: cluster-name-anthos-default-user
   user:
     exec:
       apiVersion: client.authentication.k8s.io/v1
       args:
       - --audience=root-admin
       command: gdcloud-k8s-auth-plugin
       env: null
       installHint: Run 'gdcloud components install gdcloud-k8s-auth-plugin' to use plugin
       interactiveMode: Never
       provideClusterInfo: false
   

4. クラスタにアクセスできることを確認するには、生成された kubeconfig ファイルを使用してユーザー ID でログインします。

   kubectl --kubeconfig /tmp/admin-kubeconfig-with-user-identity.yaml version
   

コンソール

メニューバーの logout [ログアウト] をクリックします。

CLI

CLI からログアウトします。

gdcloud auth revoke

コンソール

セッションが非アクティブになると、GDC コンソールからログアウトされます。GDC コンソールが非アクティブ状態のためにログアウトする 2 分前に、ログアウトを警告するダイアログが表示されます。

操作がないためログアウトすると、次の画面が表示されます。

GDC コンソールに再度ログインするには、ID プロバイダを選択してログイン認証情報を追加します。モニタリング ダッシュボードなどのサービスを使用しているときに、GDC コンソールが非アクティブ状態のためにログアウトした場合は、再度ログインしてアクセスしてください。

gdcloud

セッションが非アクティブになると、gdcloud CLI からログアウトします。gdcloud CLI からログアウトした後、コマンドを実行しようとすると、承認エラーが発生します。

Error: error when creating kube client: unable to create k8sclient: Unauthorized

GDC に再度ログインするには、ログインの CLI 手順に沿って操作します。

Management API サーバーを介して GDC に再度ログインすると、kubeconfig ファイルが自動的に更新されます。kubeconfig ファイルが更新されないようにするには、gdcloud auth login コマンドで --skip-kubeconfig-update フラグを使用します。

kubectl

gdcloud CLI は、セッションが非アクティブになると kubeconfig ファイルを期限切れにします。非アクティブ状態の後に kubectl コマンドを実行しようとすると、認証エラーが発生します。

error: You must be logged in to the server (Unauthorized)

再度ログインして kubeconfig ファイルを使用するには、ログインの CLI の手順に沿って操作します。セッションがタイムアウトするたびに、kubeconfig ファイルを再生成する必要があります。