Configurer des fournisseurs OIDC pour GKE Identity Service

Microsoft AD FS

Utilisez un ensemble d'assistants de gestion AD FS pour configurer votre serveur AD FS et votre base de données utilisateur AD.

1. Ouvrez le volet de gestion AD FS.

2. Sélectionnez Groupes d'applications > Actions > Ajouter un groupe d'applications.

3. Sélectionnez Application de serveur. Saisissez le nom et la description de votre choix. Cliquez sur Suivant.

4. Saisissez vos deux URL de redirection, comme indiqué ci-dessus. Vous recevez un ID client. C'est avec celui-ci que le serveur AD FS identifie le service GKE Identity. Notez l'identifiant client pour pouvoir l'utiliser ultérieurement.

5. Sélectionnez Générer une clé secrète partagée. GKE Identity Service s'authentifie auprès du serveur AD FS à l'aide de ce secret. Enregistrez la clé secrète pour plus tard.

Configurer des groupes de sécurité (facultatif)

1. Dans la gestion AD FS, sélectionnez Approbations par un tiers de confiance > Ajouter une approbation par un tiers de confiance.

2. Sélectionnez Prise en charge des revendications, puis cliquez sur Démarrer.

3. Sélectionnez Saisir manuellement les données concernant le tiers de confiance.

4. Saisissez un nom à afficher.

5. Ignorez les deux étapes suivantes.

6. Saisissez un identifiant d'approbation par un tiers de confiance. Suggestion : token-groups-claim.

7. Pour Stratégie de contrôle d'accès, sélectionnez Autoriser tout le monde. Cela signifie que tous les utilisateurs partagent leurs informations de groupe de sécurité avec gcloud CLI et Google Cloud Console.

8. Cliquez sur Terminer.

Mapper des attributs LDAP à des noms de revendication

1. Dans la gestion AD FS, sélectionnez Approbations par des tiers de confiance > Éditer la stratégie d'émission de revendication.

2. Sélectionnez Envoyer les attributs LDAP en tant que revendications, puis cliquez sur Suivant.

3. Dans Nom de la règle de revendication, saisissez groups.

4. Dans Liste des attributs, sélectionnez Active Directory.

5. Dans la table, pour Attribut LDAP, sélectionnez :

   • AD FS version 5.0 ou ultérieure : Groupes de jetons qualifiés par nom de domaine
   • Versions d'AD FS antérieures à la version 5.0 : Groupes de jetons - Noms qualifiés

6. Dans Type de revendication sortante, sélectionnez :

   • AD FS version 5.0 et ultérieure : Groupe
   • Versions d'AD FS antérieures à la version 5.0 : groupes

7. Cliquez sur Finish (Terminer), puis sur Apply (Appliquer).

Enregistrer GKE Identity Service avec AD FS

Ouvrez une fenêtre PowerShell en mode Administrateur, puis entrez la commande suivante :

Grant-AD FSApplicationPermission `
  -ClientRoleIdentifier "[CLIENT_ID]" `
 -ServerRoleIdentifier [SERVER_ROLE_IDENTIFIER] `
  -ScopeName "allatclaims", "openid"

Remplacez les éléments suivants :

• [CLIENT_ID] est l'ID client que vous avez obtenu précédemment.

• [SERVER_ROLE_IDENTIFIER] est l'identifiant de revendication que vous avez saisi précédemment. Rappelez-vous que l'identifiant suggéré était token-groups-claim.

Azure AD

Enregistrer un client OAuth auprès d'Azure

Pour enregistrer un client OAuth avec Azure, procédez comme suit :

1. Si vous ne l'avez pas déjà fait, configurez un locataire sur Azure Active Directory.

2. Enregistrez une application avec la plate-forme Microsoft Identity.

3. Ouvrez la page Enregistrements d'applications sur le portail Azure et sélectionnez votre application par nom.

4. Créez un code secret du client.

   1. Cliquez sur Ajouter un certificat ou un secret sous Essentials. Une liste de certificats et une liste de secrets s'affichent.

   2. Cliquez sur Nouvelle clé secrète client. Attribuez un nom à votre secret, puis cliquez sur Ajouter.

   3. Enregistrez la valeur* du secret dans un emplacement sécurisé. Vous ne pourrez pas le récupérer après la fermeture ou l'actualisation de la page.

5. Ajoutez des URI de redirection.

   1. Revenez à la page de l'application.

   2. Sélectionnez Ajouter un URI de redirection sous Essentials. La page Authentification s'affiche.

   3. Sélectionnez Ajouter une plate-forme. Le panneau Configurer les plates-formes s'affiche alors sur la droite.

   4. Sélectionnez Web. Sous URI de redirection, saisissez http://localhost:PORT/callback pour le flux de connexion de gcloud CLI. Choisissez un PORT supérieur à 1 024. Cliquez sur le bouton Configurer.

   5. Cliquez sur le bouton Ajouter un URI pour ajouter un autre URI https://console.cloud.google.com/kubernetes/oidc pour la connexion à Google Cloud Console.

   6. Cliquez sur le bouton Enregistrer en haut de l'écran.

Votre inscription client est terminée. Vous devez disposer des informations suivantes pour pouvoir les communiquer à votre administrateur de cluster :

• URI d'émetteur : https://login.microsoftonline.com/TENANT_ID/v2.0. L'ID de locataire est affiché en tant que Directory (tenant) ID sur la page "Application" du portail Azure.

• ID client : l'ID client est affiché en tant que Application (client) ID sur la page "Application" du portail Azure.

• Secret du client : vous avez reçu ce secret à la dernière étape. Vous ne pourrez pas le récupérer si vous fermez la page lors de la création du secret. Veillez à enregistrer la valeur dans un emplacement sécurisé (ou à générer un nouveau secret si vous perdez le précédent).

Configuration avancée pour Azure AD

N'utilisez cette configuration avancée que si vous souhaitez configurer des clusters avec des règles d'autorisation basées sur des groupes Azure AD dans lesquels les utilisateurs des clusters appartiennent à plus de 200 groupes Azure AD. La configuration avancée pour Azure AD est compatible avec les plates-formes suivantes :

• Clusters GKE sur site (VMware et Bare Metal) : à partir de GKE Enterprise 1.14
• Anthos clusters on AWS : à partir de GKE Enterprise 1.14 (version de Kubernetes 1.25 ou ultérieure)
• Clusters Anthos sur Azure : à partir de GKE Enterprise 1.14 (Kubernetes version 1.25 ou ultérieure)
• Clusters Anthos sur AWS (génération précédente) : à partir de GKE Enterprise 1.14

Avant de commencer, assurez-vous que chaque utilisateur dispose d'une adresse e-mail associée configurée comme identifiant dans Azure AD. GKE Identity Service utilise l'adresse e-mail de l'utilisateur pour valider son identité et authentifier la requête.

Vous devez vous assurer que le client que vous avez enregistré dans la section précédente dispose des autorisations déléguées pour obtenir des informations sur les utilisateurs et les groupes à partir de l'API Microsoft Graph. Ces autorisations permettent au plug-in GKE Identity Service d'accéder aux points de terminaison de l'API Microsoft Graph à partir desquels les informations de groupe sont extraites. Sans cette étape, GKE Identity Service ne peut pas recenser les groupes de l'utilisateur, et les règles d'autorisation RBAC basées sur des groupes ne fonctionneront pas comme prévu.

Vous devez disposer des autorisations d'administrateur global ou d'administrateur de l'organisation pour effectuer cette étape de configuration.

1. Connectez-vous au portail Azure.
2. Si vous avez accès à plusieurs locataires, définissez un filtrage par annuaire et par abonnement, dans le menu supérieur, pour sélectionner le locataire contenant l'enregistrement de votre application cliente.
3. Sélectionnez Azure Active Directory – Inscriptions des applications, puis sélectionnez votre application cliente.
4. Sélectionnez Autorisations de l'API – Ajouter une autorisation – Microsoft Graph – Autorisations déléguées.
5. Dans l'onglet Groupe, cochez Group.Read.All. Dans l'onglet Utilisateur, cochez User.Read.All.
6. Cliquez sur Ajouter des autorisations pour terminer le processus.
7. Accordez l'autorisation au nom de tous les utilisateurs en cliquant sur le bouton Grant admin consent for… (Accorder l'autorisation de l'administrateur pour…). Pour en savoir plus sur l'octroi du consentement des administrateurs, consultez En savoir plus sur les autorisations des API et le consentement administrateur.