Configurare i cluster con GKE Identity Service a livello di parco risorse

OIDC

1. Seleziona Nuovo OpenID Connect per creare una nuova configurazione OIDC.
2. Specifica il nome che vuoi utilizzare per identificare questa configurazione nel campo Nome provider, in genere il nome del provider di identità. Il nome deve iniziare con una lettera seguita da un massimo di 39 lettere minuscole, numeri o trattini e non può terminare con un trattino. Una volta creata una configurazione, non puoi modificare questo nome.
3. Specifica l'ID client restituito durante la registrazione di GKE Identity Service con il tuo provider nel campo ID client.
4. Specifica il client secret che deve essere condiviso tra l'applicazione client e il provider di identità nel campo Client secret.
5. Specifica l'URI a cui vengono inviate le richieste di autorizzazione al tuo provider di identità nel campo URL emittente.
6. Fai clic su Avanti per impostare gli attributi OIDC.

Azure AD

1. Seleziona Nuova Azure Active Directory per creare una nuova configurazione di Azure AD.
2. Specifica il nome che vuoi utilizzare per identificare questa configurazione nel campo Nome provider, in genere il nome del provider di identità. Il nome deve iniziare con una lettera seguita da un massimo di 39 lettere minuscole, numeri o trattini e non può terminare con un trattino. Una volta creata una configurazione, non puoi modificare questo nome.
3. Specifica l'ID client restituito durante la registrazione di GKE Identity Service con il tuo provider nel campo ID client.
4. Specifica il client secret che deve essere condiviso tra l'applicazione client e il provider di identità nel campo Client secret.
5. Specifica il tenant che corrisponde all'account Azure AD da autenticare in Tenant.
6. Fai clic su Avanti per impostare gli attributi di Azure AD.

LDAP

1. Seleziona LDAP per creare una nuova configurazione LDAP.
2. Specifica il nome che vuoi utilizzare per identificare questa configurazione nel campo Nome provider, in genere il nome del provider di identità. Il nome deve iniziare con una lettera seguita da un massimo di 39 lettere minuscole, numeri o trattini e non può terminare con un trattino. Una volta creata una configurazione, non puoi modificare questo nome.
3. Fai clic su Avanti.
4. Specifica il nome host (obbligatorio), il tipo di connessione LDAP e il certificato CA con codifica Base64 del server LDAP.
5. Fai clic su Avanti per configurare il server.
6. Specifica il nome distinto, il filtro, l'attributo di accesso e l'attributo identificatore dell'utente.
7. Fai clic su Avanti per impostare i dettagli dell'utente.
8. Se scegli di utilizzare i gruppi, specifica il nome distinto, il filtro e l'attributo identificatore del gruppo.
9. Fai clic su Avanti per impostare i dettagli del gruppo.
10. Specifica il nome utente e la password dell'account di servizio.
11. Fai clic su Fine per impostare il nome dell'account di servizio.

OIDC

• Compila gli attributi di configurazione:

  • URI di reindirizzamento kubectl: l'URL di reindirizzamento e la porta utilizzati dall'interfaccia alla gcloud CLI e specificati dall'amministratore della piattaforma al momento della registrazione, in genere nel formato http://localhost:PORT/callback.
  • Autorità di certificazione (facoltativo): se fornita dall'amministratore della piattaforma, una stringa del certificato con codifica PEM per il provider di identità.
  • Attestazione gruppo (facoltativa): l'attributo JWT (nome del campo) utilizzato dal provider per restituire i gruppi di sicurezza di un account.
  • Prefisso gruppo (facoltativo): il prefisso da anteporre ai nomi dei gruppi di sicurezza per evitare conflitti con i nomi esistenti nelle regole di controllo dell'accesso#39;accesso se hai configurazioni per più provider di identità (in genere il nome del provider).
  • Proxy (facoltativo): indirizzo del server proxy da utilizzare per connettersi al provider di identità, se applicabile. Potresti dover impostare questo valore se, ad esempio, il tuo cluster si trova in una rete privata e deve connettersi a un provider di identità pubblico. Ad esempio: http://user:password@10.10.10.10:8888.
  • Ampiezze (facoltative): eventuali ambiti aggiuntivi richiesti dal tuo provider di identità. Microsoft Azure e Okta richiedono l'ambito offline_access. Fai clic su Aggiungi ambito per aggiungere altri ambiti, se necessario.
  • Claim utente (facoltativo): l'attributo JWT (nome del campo) utilizzato dal fornitore per identificare un account. Se non specifichi un valore qui, GKE Identity Service utilizza "sub", che è l'affermazione dell'ID utente utilizzata da molti provider. Puoi scegliere altri claim, ad esempio "email" o "name", a seconda del provider OpenID. Alle attestazioni diverse da "email" viene aggiunto come prefisso l'URL dell'emittente per evitare conflitti di denominazione.
  • Prefisso utente (facoltativo): il prefisso da anteporre alle attestazioni degli utenti per evitare conflitti con i nomi esistenti, se non vuoi utilizzare il prefisso predefinito.
  • Parametri aggiuntivi (facoltativo): eventuali parametri aggiuntivi necessari per la configurazione, specificati come parametri Chiave e Valore. Fai clic su Aggiungi param per aggiungere altri parametri, se necessario.
  • Attiva token di accesso (facoltativo): se attivato, consente il supporto dei gruppi per i provider OIDC come Okta.
  • Esegui il deployment del proxy della console Google Cloud (facoltativo): se questa opzione è attivata, viene eseguito il deployment di un proxy che consente alla console Google Cloud di connettersi a un provider di identità on-premise non accessibile pubblicamente su internet.

Azure AD

• Compila gli attributi di configurazione:

  • URI di reindirizzamento kubectl: l'URL di reindirizzamento e la porta utilizzati dall'interfaccia alla gcloud CLI e specificati dall'amministratore della piattaforma al momento della registrazione, in genere nel formato http://localhost:PORT/callback.
  • Claim utente (facoltativo): l'attributo JWT (nome del campo) utilizzato dal fornitore per identificare un account. Se non specifichi un valore qui, GKE Identity Service utilizza un valore nell'ordine di "email", "preferred_username" o "sub" per recuperare i dettagli dell'utente.
  • Proxy (facoltativo): indirizzo del server proxy da utilizzare per connettersi al provider di identità, se applicabile. Potresti dover impostare questo valore se, ad esempio, il tuo cluster si trova in una rete privata e deve connettersi a un provider di identità pubblico. Ad esempio: http://user:password@10.10.10.10:8888.

OIDC

Il seguente file mostra sia una configurazione oidc sia una configurazione azuread. Per ulteriori informazioni su quando utilizzare oidc o azuread, consulta Configurazioni specifiche del provider.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: NAME
      proxy: PROXY_URL
      oidc:
        certificateAuthorityData: CERTIFICATE_STRING
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        deployCloudConsoleProxy: PROXY_BOOLEAN
        extraParams: EXTRA_PARAMS
        groupsClaim: GROUPS_CLAIM
        groupPrefix: GROUP_PREFIX
        issuerURI: ISSUER_URI
        kubectlRedirectURI: http://localhost:PORT/callback
        scopes: SCOPES
        userClaim: USER_CLAIM
        userPrefix: USER_PREFIX
    - name: NAME
      proxy: PROXY_URL
      azureAD:
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        tenant: TENANT_UUID
        kubectlRedirectURI: http://localhost:PORT/callback

Se hai configurato più di un provider di identità, puoi elencare più configurazioni di autenticazione nel file auth-config.yaml sotto l'ancora authentication nello stesso formato della configurazione precedente. La tabella seguente descrive i campi dell'oggetto ClientConfig oidc e azuread. La maggior parte dei campi è facoltativa. I campi da aggiungere dipendono dal provider di identità e dalle opzioni di configurazione scelte dall'amministratore della piattaforma durante la configurazione del provider per GKE Identity Service.

SAML

Il seguente file mostra una configurazione SAML:

   apiVersion: authentication.gke.io/v2alpha1
   kind: ClientConfig
   metadata:
     name: default
     namespace: kube-public
   spec:
     authentication:
     - name: NAME
       saml:
         idpEntityID: ENTITY_ID
         idpSingleSignOnURI: SIGN_ON_URI
         idpCertificateDataList: IDP_CA_CERT
         userAttribute: USER_ATTRIBUTE
         groupsAttribute: GROUPS_ATTRIBUTE
         userPrefix: USER_PREFIX
         groupPrefix: GROUP_PREFIX
         attributeMapping:
           ATTRIBUTE_KEY_1 : ATTRIBUTE_CEL_EXPRESSION_1
           ATTRIBUTE_KEY_2 : ATTRIBUTE_CEL_EXPRESSION_2
      certificateAuthorityData: CERTIFICATE_STRING
      preferredAuthentication: PREFERRED_AUTHENTICATION
      server: <>

La tabella seguente descrive i campi dell'oggetto ClientConfig saml. I campi da aggiungere dipendono dal provider di identità e dalle opzioni di configurazione scelte dall'amministratore della piattaforma durante la configurazione del provider per GKE Identity Service.

LDAP

Il seguente file mostra una configurazione ldap.

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: ldap
      ldap:
        server:
          host: HOST_NAME
          connectionType: CONNECTION_TYPE
          certificateAuthorityData: CERTIFICATE_AUTHORITY_DATA
        user:
          baseDn: BASE_DN
          loginAttribute: LOGIN_ATTRIBUTE
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        group:
          baseDn: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        serviceAccount:
          simpleBindCredentials:
            dn: DISTINGUISHED_NAME
            password: PASSWORD

La tabella seguente descrive i campi dell'oggetto ClientConfig ldap. I campi da aggiungere dipendono dal provider di identità e dalle opzioni di configurazione scelte dall'amministratore della piattaforma durante la configurazione del provider per GKE Identity Service: