LDAP로 GKE Identity Service 설정

이 문서는 클러스터에 GKE Identity Service를 설정하는 클러스터 관리자 또는 애플리케이션 운영자를 대상으로 합니다. 여기에서는 Microsoft Active Directory를 포함하여 선호하는 경량 디렉터리 액세스 프로토콜(LDAP) 공급업체를 사용하여 클러스터에 GKE Identity Service를 설정하는 방법을 설명합니다. GKE Identity Service의 LDAP 공급업체 설정 안내에 따라 사용자 또는 플랫폼 관리자가 이미 LDAP 공급업체의 로그인 세부정보를 가지고 있다고 가정합니다. GKE Identity Service 작동 방법 및 기타 설정 옵션에 대한 자세한 내용은 개요를 참조하세요. 개발자 또는 다른 클러스터 사용자로서 이 서비스를 사용하여 클러스터에 액세스하는 방법은 GKE Identity Service로 클러스터에 액세스를 참조하세요. LDAP가 있는 GKE Identity Service는 VMware(사용자 클러스터) 및 베어메탈의 Google Distributed Cloud 배포에서만 사용할 수 있습니다.

시작하기 전에

1. 다음 명령줄 도구가 설치되었는지 확인합니다.
   • 최신 버전의 Google Cloud CLI(Google Cloud와의 상호작용을 위한 명령줄 도구인 gcloud 포함). Google Cloud CLI를 설치해야 하는 경우 설치 가이드를 참조하세요.
   • Kubernetes 클러스터에 명령어를 실행하기 위한 kubectl. kubectl을 설치해야 하는 경우 설치 가이드를 참조하세요. Cloud Shell을 Google Cloud와 상호 작용하기 위한 셸 환경으로 사용하는 경우 자동으로 도구가 설치됩니다.
2. 프로젝트에서 사용할 수 있도록 gcloud CLI를 초기화했는지 확인합니다.

이 설정을 진행하는 동안 LDAP 서버의 문서를 참조해야 할 수 있습니다. 다음 관리자 가이드에서는 LDAP 서버에 로그인하고 클러스터를 구성하기 위해 필요한 정보를 찾을 수 있는 장소를 포함하여 몇 가지 인기 있는 LDAP 제공업체에 대한 구성을 설명합니다.

• OpenLDAP
• Azure AD
• Microsoft Active Directory
• Google LDAP

LDAP 서비스 계정 보안 비밀 채우기

GKE Identity Service를 통해 LDAP 서버에 인증하고 사용자 세부정보를 검색하려면 서비스 계정 보안 비밀이 필요합니다. LDAP 인증에 허용되는 두 가지 서비스 계정 유형은 기본 인증(서버 인증을 위해 사용자 이름과 비밀번호 사용) 또는 클라이언트 인증서(클라이언트 비공개 키 및 클라이언트 인증서 사용)입니다. 사용자 또는 플랫폼 관리자에게 다음 GKE Identity Service용 LDAP 공급업체 설정에서 가져온 공급업체 관련 정보가 있어야 합니다. LDAP 서버 로그인 정보를 GKE Identity Service에 제공하려면 GKE Identity Service용 LDAP 공급업체 설정에서 가져온 로그인 세부정보로 Kubernetes 보안 비밀 리소스를 만들어야 합니다. 다음 예시에서는 두 서비스 계정 유형 모두에 대해 보안 비밀을 구성하는 방법을 보여줍니다. 예시에서는 anthos-identity-service 네임스페이스에 적용되는 보안 비밀을 보여줍니다.

다음은 기본 인증 보안 비밀 구성의 예시입니다.

apiVersion: v1
kind: Secret
metadata:
  name: SERVICE_ACCOUNT_SECRET_NAME
  namespace: "anthos-identity-service"
type: kubernetes.io/basic-auth     # Make sure the type is correct
data:
  username: USERNAME  # Use a base64-encoded username
  password: PASSWORD  # Use a base64-encoded password

여기서 SERVICE_ACCOUNT_SECRET_NAME은 이 보안 비밀에 대해 선택된 이름입니다. 사용자 이름과 비밀번호 값을 이전 단계에서 가져온 사용자 이름 및 비밀번호로 바꿉니다. USERNAME은 base64로 인코딩된 사용자 이름입니다. PASSWORD는 base64로 인코딩된 비밀번호입니다.

다음은 클라이언트 인증서 보안 비밀 구성의 예시입니다.

apiVersion: v1
kind: Secret
metadata:
  name: SERVICE_ACCOUNT_SECRET_NAME
  namespace: anthos-identity-service
type: kubernetes.io/tls            # Make sure the type is correct
data:
  # the data is abbreviated in this example
  tls.crt: |
       MIIC2DCCAcCgAwIBAgIBATANBgkqh ...
  tls.key: |
       MIIEpgIBAAKCAQEA7yn3bRHQ5FHMQ ...

SERVICE_ACCOUNT_SECRET_NAME을 이 보안 비밀에 대해 선택한 이름으로 바꿉니다. TLS 인증서와 키 값을 이전 단계에서 가져온 인코딩된 인증서와 키 값으로 바꿉니다.

이 예시에서는 권장 방법인 anthos-identity-service 네임스페이스에 적용되는 보안 비밀을 보여줍니다. 이는 anthos-identity-service의 보안 비밀 읽기 권한이 GKE Identity Service에 기본으로 있기 때문입니다. 다른 네임스페이스를 사용하려면 보안 비밀에서 메타데이터를 변경한 후 다음과 같이 GKE Identity Service에 해당 네임스페이스의 보안 비밀을 읽을 수 있는 권한을 부여하는 새 RBAC 정책을 추가합니다.

---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: NAMESPACE
  name: ais-secret-reader-role
rules:
- apiGroups: [""]
  resources: ["secrets"]
  verbs: ["get","list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: ais-secret-reader-role-binding
  namespace: NAMESPACE
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: ais-secret-reader-role
subjects:
- kind: ServiceAccount
  name: default
  namespace: anthos-identity-service
---

클러스터 구성

GKE Identity Service는 ID 공급업체에 대한 정보 필드, 사용자 정보를 반환하는 데 필요한 매개변수와 함께 특수 Kubernetes 커스텀 리소스 유형(CRD)을 사용하여 ClientConfig라는 클러스터를 구성합니다. 또한 ClientConfig 구성에는 이전 섹션에서 만들고 적용한 보안 비밀의 보안 비밀 이름과 네임스페이스가 포함되어 있어 GKE Identity Service가 LDAP 서버에 인증할 수 있습니다.

클러스터에 구성을 적용하려면 kube-public 네임스페이스에서 clientconfig 유형의 KRM 기본 객체를 수정합니다.

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG -n kube-public edit clientconfig default

USER_CLUSTER_KUBECONFIG를 클러스터의 kubeconfig 파일 경로로 바꾸세요. kubeconfig에 여러 컨텍스트가 있으면 현재 컨텍스트가 사용됩니다. 명령어를 사용하기 전 현재 컨텍스트를 올바른 클러스터로 재설정해야 할 수 있습니다.

다음은 ClientConfig 구성의 형식을 보여줍니다.

apiVersion: authentication.gke.io/v2alpha1
kind: ClientConfig
metadata:
  name: default
  namespace: kube-public
spec:
  authentication:
    - name: NAME_STRING
      ldap:
        host: HOST_NAME
        certificateAuthorityData: CERTIFICATE_AUTHORITY_DATA
        connectionType: CONNECTION_TYPE
        serviceAccountSecret:
          name: SERVICE_ACCOUNT_SECRET_NAME
          namespace: NAMESPACE
          type: SECRET_FORMAT
        user:
          baseDN: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE
          loginAttribute: LOGIN_ATTRIBUTE
        group:
          baseDN: BASE_DN
          filter: FILTER
          identifierAttribute: IDENTIFIER_ATTRIBUTE

다음 표에서는 ClientConfig CRD의 필드를 설명합니다.

다음 단계

구성이 적용된 후에는 GKE Identity Service를 사용하여 클러스터에 대한 사용자 액세스를 설정합니다.