Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
SAML-Anbieter für GKE Identity Service konfigurieren
Dieses Dokument richtet sich an Plattformadministratoren bzw. an die Person, die die Identitätseinrichtung in Ihrer Organisation verwaltet. Darin wird erläutert, wie Sie den ausgewählten SAML-Identitätsanbieter (Security Assertion Markup Language) für GKE Identity Service konfigurieren.
Registrieren Sie GKE Identity Service bei Ihrem Anbieter
Zum Registrieren von GKE Identity Service für den Identitätsanbieter benötigen Sie die folgenden Informationen:
EntityID – Dies ist eine eindeutige Kennung, die den GKE Identity Service für den Anbieter darstellt. Dieser wird aus der URL des API-Servers abgeleitet. Wenn APISERVER-URL beispielsweise https://cluster.company.com ist, sollte EntityIDhttps://cluster.company.com:11001 sein. Die URL enthält keine abschließenden Schrägstriche.
AssertionConsumerServiceURL – Dies ist die Callback-URL in GKE Identity Service. Die Antwort wird an diese URL weitergeleitet, nachdem der Anbieter den Nutzer authentifiziert hat. Wenn APISERVER-URL beispielsweise https://cluster.company.com ist, sollte AssertionConsumerServiceURL den Wert https://cluster.company.com:11001/saml-callback haben.
Informationen zur Einrichtung des Anbieters
Dieser Abschnitt enthält zusätzliche anbieterspezifische Informationen zur Registrierung von GKE Identity Service.
Wenn Ihr Anbieter hier aufgeführt ist, registrieren Sie GKE Identity Service mithilfe der folgenden Anleitung als Clientanwendung bei Ihrem Anbieter.
Klicken Sie auf Speichern, um die Einstellungen zu speichern.
Prüfen Sie den Bereich Nutzerattribute und Ansprüche, um mögliche neue Attribute hinzuzufügen.
Klicken Sie unter SAML-Zertifikate auf Zertifikat (Base64), um das Identitätsanbieterzertifikat herunterzuladen.
Kopieren Sie im Abschnitt Anwendung einrichten die Log-in-URL und die Azure AD-Kennung.
Anbieterdetails teilen
Bei der Registrierung des Anbieters müssen Sie die folgenden Informationen an Ihren Clusteradministrator weitergeben. Diese Details werden aus den Anbietermetadaten abgerufen und sind bei der Konfiguration von GKE Identity Service mit SAML erforderlich.
idpEntityID – Dies ist die eindeutige Kennung für den Identitätsanbieter. Sie entspricht der URL des Anbieters und wird auch als Azure AD-Kennung bezeichnet.
idpSingleSignOnURL – Dies ist der Endpunkt, an den der Nutzer zur Registrierung weitergeleitet wird. Dieser wird auch als Log-in-URL bezeichnet.
idpCertificateDataList – Dies ist das öffentliche Zertifikat, das vom Identitätsanbieter für die Überprüfung der SAML-Assertion verwendet wird.
Nächste Schritte
Ihr Clusteradministrator kann GKE Identity Service für einzelne Cluster oder eine Flotte einrichten.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2024-11-21 (UTC)."],[],[],null,["# Configure SAML providers for GKE Identity Service\n=================================================\n\nThis document is for **platform administrators** , or whoever manages identity setup in your organization. It explains how to configure your chosen [Security Assertion Markup Language (SAML)](https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html) identity provider for GKE Identity Service.\n\nRegister GKE Identity Service with your provider\n------------------------------------------------\n\nTo register GKE Identity Service for the identity provider, you need the following information:\n\n- `EntityID` - This is a unique identifier that represents the GKE Identity Service for the provider. This is derived from the URL of the API server. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `EntityID` should be `https://cluster.company.com:11001`. Note that the URL has no trailing slashes.\n- `AssertionConsumerServiceURL` - This is the callback URL on GKE Identity Service. The response is forwarded to this URL after the provider authenticates the user. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `AssertionConsumerServiceURL` should be `https://cluster.company.com:11001/saml-callback`.\n\nProvider setup information\n--------------------------\n\nThis section provides additional provider-specific information for registering GKE Identity Service.\nIf your provider is listed here, register GKE Identity Service with your provider as a client application using the following instructions. \n\n### Azure AD\n\n1. If you haven't done so already, [Set up a tenant](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-create-new-tenant) on Azure Active Directory.\n2. [Register an application with the Microsoft identity platform](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app).\n3. Open the [App registrations](https://portal.azure.com/#blade/Microsoft_AAD_RegisteredApps/ApplicationsListBlade) page on the Azure Portal and select your application by name.\n4. Under **Manage** , select **Authentication** settings.\n5. Under **Platform Configurations** , select **Enterprise Applications**.\n6. In the **Set up Single Sign-On with SAML** , edit the **Basic SAML Configuration**.\n7. Under **Identifier (Entity ID)** section, select **Add Identifier**.\n8. Enter the *EntityID* and *Reply URL* that you derived from [Registering GKE Identity Service with your provider](#registersamlprovider)\n9. Click **Save** to save these settings.\n10. Review the **Attributes \\& Claims** section to add any new attributes.\n11. Under **SAML Certificates** , click **Certificate (Base64)** to download the identity provider certificate.\n12. Under **Set up app** section, copy the *Login URL* and *Azure AD identifier*.\n\n### Set SAML assertion lifespan\n\nFor enhanced security, configure your SAML provider to issue assertions with a\nshort lifespan, such as 10 minutes. This setting is configurable within your\nSAML provider's settings.\n\nSetting the lifespan to less than 5 minutes might cause login issues if the\nclocks between GKE Identity Service and your SAML provider aren't\nsynchronized.\n\nShare provider details\n----------------------\n\nAt the time of registering the provider, you must share the following information with your cluster administrator. These details are obtained from the provider metadata and required at the time of configuring GKE Identity Service with SAML.\n\n- `idpEntityID` - This the unique identifier for the identity provider. It corresponds to the URL of the provider and is also called *Azure AD identifier*.\n- `idpSingleSignOnURL` - This is the endpoint to which the user is redirected for sign up. This is also called the *Login URL*.\n- `idpCertificateDataList`- This is the public certificate used by the identity provider for SAML assertion verification.\n\nWhat's next\n-----------\n\nYour cluster administrator can set up GKE Identity Service for [individual clusters](/kubernetes-engine/enterprise/identity/setup/saml-per-cluster) or a [fleet](/kubernetes-engine/enterprise/identity/setup/fleet)."]]
