在機群層級設定叢集，使用 GKE Identity 服務

控制台

確認已選取註冊叢集的專案。

• Enable the GKE Hub and Kubernetes Engine APIs.

  Enable the APIs

gcloud

執行下列指令，啟用設定所需的 API：

gcloud services enable 

gkehub.googleapis.com 

container.googleapis.com

控制台

啟用 GKE Identity Service

1. 前往 Google Cloud 控制台的「Feature Manager」頁面。

   前往功能管理工具

2. 在「身分識別服務」面板中按一下「啟用」，然後在顯示的窗格中再次按一下「啟用」。這會建立新的 GKE Identity Service 控制器執行個體，用於管理機群叢集中 GKE Identity Service 的生命週期。

選取叢集

1. 返回「功能管理員」頁面，然後按一下「身分識別服務」面板中的「詳細資料」，開啟服務的詳細資料窗格。這會顯示專案的叢集，以及叢集層級的 GKE Identity Service 狀態。
2. 按一下「更新身分識別服務」，開啟設定窗格。
3. 選取要設定的叢集。只能選取支援的叢集類型。您可以選擇個別叢集，也可以指定要為所有叢集設定相同的身分識別設定。如果您已設定機群層級預設值，系統會將設定調解回預設值。詳情請參閱「設定車隊層級預設值」。
4. 在「身分識別提供者」下拉式選單中，選擇叢集的設定方式。如果叢集已有 GKE Identity Service 設定，您可以選擇更新。如果現有已註冊的叢集有您想使用的 GKE Identity Service 設定，您可以選擇將該設定複製到所選叢集。如要建立全新的設定，請按照下一節的說明，根據所選供應商操作。

設定提供者詳細資料

您需要新增的供應商詳細資料，取決於您要用於設定的識別資訊提供者類型。

設定屬性

您需要新增的屬性取決於識別資訊提供者，以及平台管理員為 GKE Identity Service 設定供應商時選擇的設定選項。

新增識別資訊提供者

• 如要為機群設定其他身分識別提供者，可以在這裡新增提供者。按照步驟指定其他身分識別提供者。

更新設定

• 按一下「更新設定」。如有必要，這會安裝 GKE Identity Service (僅限 EKS 叢集，GKE 叢集預設已安裝 GKE Identity Service)，並在所選叢集上套用用戶端設定。

gcloud

建立設定檔

GKE Identity Service 使用名為 ClientConfig 的 Kubernetes 自訂資源類型 (CRD) 進行叢集設定，並提供欄位，讓 GKE Identity Service 與身分識別提供者互動時可使用所有必要資訊。以下各節提供 OIDC 和 LDAP 的設定，您可以在其中建立名為 auth-config.yaml 的檔案，並加入設定。

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: NAME
      proxy: PROXY_URL
      oidc:
        certificateAuthorityData: CERTIFICATE_STRING
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        deployCloudConsoleProxy: PROXY_BOOLEAN
        extraParams: EXTRA_PARAMS
        groupsClaim: GROUPS_CLAIM
        groupPrefix: GROUP_PREFIX
        issuerURI: ISSUER_URI
        kubectlRedirectURI: http://localhost:PORT/callback
        scopes: SCOPES
        userClaim: USER_CLAIM
        userPrefix: USER_PREFIX
    - name: NAME
      proxy: PROXY_URL
      azureAD:
        clientID: CLIENT_ID
        clientSecret: CLIENT_SECRET
        tenant: TENANT_UUID
        kubectlRedirectURI: http://localhost:PORT/callback

   apiVersion: authentication.gke.io/v2alpha1
   kind: ClientConfig
   metadata:
     name: default
     namespace: kube-public
   spec:
     authentication:
     - name: NAME
       saml:
         idpEntityID: ENTITY_ID
         idpSingleSignOnURI: SIGN_ON_URI
         idpCertificateDataList: IDP_CA_CERT
         userAttribute: USER_ATTRIBUTE
         groupsAttribute: GROUPS_ATTRIBUTE
         userPrefix: USER_PREFIX
         groupPrefix: GROUP_PREFIX
         attributeMapping:
           ATTRIBUTE_KEY_1 : ATTRIBUTE_CEL_EXPRESSION_1
           ATTRIBUTE_KEY_2 : ATTRIBUTE_CEL_EXPRESSION_2
      certificateAuthorityData: CERTIFICATE_STRING
      preferredAuthentication: PREFERRED_AUTHENTICATION
      server: <>

  apiVersion: authentication.gke.io/v2alpha1
  kind: ClientConfig
  metadata:
    name: default
    namespace: kube-public
  spec:
    authentication:
    - name: ldap
      ldap:
        server:
          host: HOST_NAME
          connectionType: CONNECTION_TYPE
          certificateAuthorityData: CERTIFICATE_AUTHORITY_DATA
        user:
          baseDn: BASE_DN
          loginAttribute: LOGIN_ATTRIBUTE
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        group:
          baseDn: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
        serviceAccount:
          simpleBindCredentials:
            dn: DISTINGUISHED_NAME
            password: PASSWORD

啟用 GKE Identity Service

如要為專案啟用 GKE Identity Service，請執行下列指令：

gcloud container fleet identity-service enable

這會建立新的 GKE Identity Service 控制器執行個體，用於管理機群叢集中 GKE Identity Service 的生命週期。如要搭配使用 GKE Identity Service 與註冊至專案機群的所有支援叢集，您只需要為每個專案執行一次這個指令。

您也可以選擇使用機群層級的預設設定，啟用 GKE Identity Service。使用這項設定時，您指定的 GKE Identity Service 供應商設定，會在建立叢集時自動套用至 Google Cloud 註冊至機群的每個 GKE 叢集。如要進一步瞭解如何執行這項操作，請參閱「設定機群層級的預設值」。

將設定套用到叢集

如要安裝 GKE Identity Service (僅限 EKS 叢集，其他支援的叢集類型預設已安裝 GKE Identity Service)，並將設定套用至叢集，請執行下列指令：

gcloud container fleet identity-service apply \
--membership=CLUSTER_NAME \
--config=/path/to/auth-config.yaml

將 CLUSTER_NAME 替換為機群中叢集的專屬名稱。執行這項指令後，設定會由 GKE Identity Service 控制器管理。控制器會將對 GKE Identity Service 用戶端設定所做的任何本機變更，與此設定中指定的設定進行比對。

這樣一來，GKE Identity Service 就能為使用 Google ID 登入的使用者帳戶擷取 Google 群組資訊。 這項設定適用於 Google Distributed Cloud 上的叢集 (包括 VMware 和裸機)，且須為 GKE Enterprise 1.13 以上版本。如要進一步瞭解 Google 網路論壇功能，請參閱「使用 Google 網路論壇設定連線閘道」。

Azure AD

這是使用 Azure AD 設定 GKE Identity Service 的預設設定。透過這項設定，GKE Identity Service 可以從 Azure AD 取得使用者和群組資訊，並根據群組設定 Kubernetes 角色型存取控制 (RBAC)。不過，使用這項設定時，每位使用者只能擷取約 200 個群組。

如需為每位使用者擷取超過 200 個群組，請參閱 Azure AD (進階) 的操作說明。

...
spec:
  authentication:
  - name: oidc-azuread
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      extraParams: prompt=consent, access_type=offline
      issuerURI: https://login.microsoftonline.com/TENANT_ID/v2.0
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: openid,email,offline_access
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

Azure AD (進階)

這項 Azure AD 選用設定可讓 GKE Identity Service 使用 Microsoft Graph API 擷取使用者和群組資訊，且每位使用者可擁有的群組數量沒有限制。如要瞭解支援這項設定的平台，請參閱「Azure AD 進階設定」。

如果每位使用者需要擷取的群組少於 200 個，建議您使用 ClientConfig 中的 oidc 錨點，採用預設設定。詳情請參閱 Azure AD 的操作說明。

範例設定中的所有欄位都是必填欄位。

...
spec:
  authentication:
  - name: azure
    azureAD:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      tenant: TENANT_UUID
      kubectlRedirectURI: http://localhost:PORT/callback
      groupFormat: GROUP_FORMAT
      userClaim: USER_CLAIM

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

將 GROUP_FORMAT 替換為您要擷取群組資訊的格式。這個欄位可以採用與使用者群組的 ID 或 NAME 相對應的值。這項設定僅適用於 Google Distributed Cloud (內部部署) 部署作業中的叢集。

Okta

以下說明如何使用使用者和群組設定驗證，並以 Okta 做為身分識別提供者。GKE Identity Service 可透過這項設定，使用存取權杖和 Okta 的使用者資訊端點，擷取使用者和群組憑證附加資訊。

...
spec:
  authentication:
  - name: okta
    oidc:
      clientID: CLIENT_ID
      clientSecret: CLIENT_SECRET
      cloudConsoleRedirectURI: https://console.cloud.google.com/kubernetes/oidc
      enableAccessToken: true
      extraParams: prompt=consent
      groupsClaim: groups
      issuerURI: https://OKTA_ISSUER_URI/
      kubectlRedirectURI: http://localhost:PORT/callback
      scopes: offline_access,email,profile,groups
      userClaim: email

# Rest of the resource is managed by Google. DO NOT MODIFY.
...

控制台

1. 前往 Google Cloud 控制台的「Feature Manager」頁面。

   前往功能管理工具

   所有已啟用的功能都會在面板中列為「已啟用」。

2. 在「身分識別服務」面板中，按一下「詳細資料」。詳細資料面板會顯示已註冊叢集的狀態。

gcloud

執行下列指令：

gcloud container fleet identity-service describe