Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Mengonfigurasi penyedia LDAP untuk Identity Service GKE
Dokumen ini ditujukan untuk administrator platform, atau siapa pun yang mengelola penyiapan identitas di organisasi Anda. Panduan ini menjelaskan cara mengonfigurasi penyedia identitas Lightweight Directory Access Protocol (LDAP) yang Anda pilih untuk Identity Service GKE.
Selama penyiapan ini, Anda mungkin perlu melihat dokumentasi untuk server LDAP Anda. Panduan administrator berikut menjelaskan konfigurasi untuk beberapa penyedia LDAP populer, termasuk tempat menemukan informasi yang diperlukan untuk login ke server LDAP:
Layanan Identitas GKE memerlukan secret akun layanan untuk melakukan autentikasi ke server LDAP dan mengambil detail pengguna. Ada dua jenis akun layanan yang diizinkan dalam autentikasi LDAP, autentikasi dasar (menggunakan nama pengguna dan sandi untuk melakukan autentikasi ke server) atau sertifikat klien (menggunakan kunci pribadi klien dan sertifikat klien). Untuk mengetahui jenis yang didukung di server LDAP tertentu, lihat dokumentasinya. Umumnya, Google LDAP hanya mendukung sertifikat klien sebagai akun layanan. OpenLDAP, Microsoft Active Directory, dan Azure AD hanya mendukung autentikasi dasar secara native.
Petunjuk berikut menunjukkan cara membuat klien dan mendapatkan detail login server LDAP untuk beberapa penyedia populer. Untuk penyedia LDAP lainnya, lihat dokumentasi administrator server.
Azure AD/Active Directory
Ikuti petunjuk UI untuk membuat akun pengguna baru.
Simpan nama yang dibedakan (DN) dan sandi pengguna lengkap untuk digunakan nanti.
Google LDAP
Pastikan Anda login ke akun Google Workspace atau Cloud Identity di accounts.google.com.
Tambahkan nama dan deskripsi klien yang dipilih, lalu klik Lanjutkan.
Di bagian Izin akses, pastikan klien memiliki izin yang sesuai untuk membaca direktori Anda dan mengakses informasi pengguna.
Download sertifikat klien dan selesaikan pembuatan klien. Mendownload sertifikat juga akan mendownload kunci yang sesuai.
Jalankan perintah berikut di direktori yang relevan untuk mengenkode sertifikat dan kunci ke base64, dengan mengganti nama file sertifikat dan kunci yang Anda download:
Simpan string kunci dan sertifikat terenkripsi untuk digunakan nanti.
OpenLDAP
Gunakan perintah ldapadd untuk menambahkan entri akun layanan baru ke direktori. Pastikan akun memiliki izin untuk membaca direktori dan mengakses informasi pengguna.
Simpan nama yang dibedakan (DN) dan sandi pengguna lengkap untuk digunakan nanti.
Langkah selanjutnya
Administrator cluster Anda dapat menyiapkan Identity Service GKE untuk setiap cluster atau fleet.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-07-31 UTC."],[],[],null,["# Configure LDAP provider for GKE Identity Service\n================================================\n\nThis document is for **platform administrators** , or whoever manages identity setup in your organization. It explains how to configure your chosen [Lightweight Directory Access Protocol (LDAP)](https://ldap.com/) identity provider for GKE Identity Service.\n\nGKE Identity Service with LDAP can be used with\n[Google Distributed Cloud](/anthos/clusters/docs/on-prem) and\n[Google Distributed Cloud](/anthos/clusters/docs/bare-metal) only.\n\nBefore you begin\n----------------\n\nThroughout this setup, you might need to refer to the documentation for your LDAP server. The following administrator guides explain configuration for some popular LDAP providers, including where to find the information you need to log in to the LDAP server:\n\n- [OpenLDAP](https://www.openldap.org/doc/)\n- [Azure AD](https://azure.microsoft.com/en-us/services/active-directory/)\n- [Microsoft Active Directory](https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/active-directory-overview)\n- [Google LDAP](https://support.google.com/a/topic/9173976?ref_topic=9048334)\n\nGet LDAP login details\n----------------------\n\nGKE Identity Service needs a service account secret to authenticate to the LDAP server and retrieve user details. There are two types of service accounts permitted in LDAP authentication, basic auth (using a username and password to authenticate to the server) or client certificate (using a client private key and client certificate). To find out which type is supported in your specific LDAP server, see its documentation. Generally, Google LDAP only supports a client certificate as the service account. OpenLDAP, Microsoft Active Directory and Azure AD support only basic auth natively.\n\nThe following instructions show you how to create a client and get LDAP server login details for some popular providers. For other LDAP providers, see the server's administrator documentation. \n\n### Azure AD/Active Directory\n\n1. Follow the UI instructions to create a new user account.\n2. Save the full user distinguished name (DN) and password for later.\n\n### Google LDAP\n\n1. Ensure that you are logged in to your Google Workspace or Cloud Identity account in [accounts.google.com](https://accounts.google.com).\n2. Log in to the [Google Admin console](https://admin.google.com) with the account.\n3. Select **Apps** - **LDAP** from the left menu.\n4. Click **Add client**.\n5. Add your chosen client name and description and click **Continue**.\n6. In the **Access permissions** section, ensure that the client has the appropriate permissions to read your directory and access user information.\n7. Download the client certificate and complete client creation. Downloading the certificate also downloads the corresponding key.\n8. Run the following commands in the relevant directory to base64 encode the certificate and key, substituting the file names of your downloaded certificate and key:\n\n cat \u003cvar translate=\"no\"\u003eCERTIFICATE_FILENAME\u003c/var\u003e.crt | base64\n cat \u003cvar translate=\"no\"\u003eKEY_FILENAME\u003c/var\u003e.key | base64\n\n9. Save the encrypted certificate and key strings for later.\n\n### OpenLDAP\n\n1. Use the [`ldapadd`](https://man7.org/linux/man-pages/man1/ldapadd.1.html) command to add a new service account entry into the directory. Make sure that the account has permission to read the directory and access user information.\n2. Save the full user distinguished name (DN) and password for later.\n\nWhat's next\n-----------\n\nYour cluster administrator can set up GKE Identity Service for [individual clusters](/kubernetes-engine/enterprise/identity/setup/ldap) or a [fleet](/kubernetes-engine/enterprise/identity/setup/fleet)."]]
