Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Mengonfigurasi penyedia SAML untuk Identity Service GKE
Dokumen ini ditujukan untuk administrator platform, atau siapa pun yang mengelola penyiapan identitas di organisasi Anda. Panduan ini menjelaskan cara mengonfigurasi penyedia identitas Security Assertion Markup Language (SAML) yang Anda pilih untuk Identity Service GKE.
Mendaftarkan GKE Identity Service ke penyedia Anda
Untuk mendaftarkan Identity Service GKE untuk penyedia identitas, Anda memerlukan informasi berikut:
EntityID - Ini adalah ID unik yang mewakili Identity Service GKE untuk penyedia. Ini berasal dari URL server API. Misalnya, jika APISERVER-URL adalah https://cluster.company.com, EntityID harus berupa https://cluster.company.com:11001. Perhatikan bahwa URL tidak memiliki garis miring di bagian akhir.
AssertionConsumerServiceURL - Ini adalah URL callback di GKE Identity Service. Respons diteruskan ke URL ini setelah penyedia mengautentikasi pengguna. Misalnya, jika APISERVER-URL adalah https://cluster.company.com, AssertionConsumerServiceURL harus berupa https://cluster.company.com:11001/saml-callback.
Informasi penyiapan penyedia
Bagian ini memberikan informasi tambahan khusus penyedia untuk mendaftarkan Identity Service GKE.
Jika penyedia Anda tercantum di sini, daftarkan Layanan Identitas GKE ke penyedia Anda sebagai aplikasi klien menggunakan petunjuk berikut.
Azure AD
Jika Anda belum melakukannya, Siapkan tenant di Azure Active Directory.
Tinjau bagian Attributes & Claims untuk menambahkan atribut baru.
Di bagian SAML Certificates, klik Certificate (Base64) untuk mendownload sertifikat penyedia identitas.
Di bagian Siapkan aplikasi, salin URL Login dan ID Azure AD.
Menetapkan masa aktif pernyataan SAML
Untuk meningkatkan keamanan, konfigurasikan penyedia SAML Anda untuk mengeluarkan pernyataan dengan
masa berlaku singkat, seperti 10 menit. Setelan ini dapat dikonfigurasi dalam
setelan penyedia SAML Anda.
Menetapkan masa berlaku kurang dari 5 menit dapat menyebabkan masalah login jika
jam antara Identity Service GKE dan penyedia SAML Anda tidak
disinkronkan.
Membagikan detail penyedia
Saat mendaftarkan penyedia, Anda harus membagikan informasi berikut kepada administrator cluster. Detail ini diperoleh dari metadata penyedia dan diperlukan pada saat mengonfigurasi Identity Service GKE dengan SAML.
idpEntityID - Ini adalah ID unik untuk penyedia identitas. ID ini sesuai dengan URL penyedia dan juga disebut ID Azure AD.
idpSingleSignOnURL - Ini adalah endpoint tempat pengguna dialihkan untuk mendaftar. URL ini juga disebut Login URL.
idpCertificateDataList- Ini adalah sertifikat publik yang digunakan oleh penyedia identitas untuk verifikasi pernyataan SAML.
Langkah berikutnya
Administrator cluster Anda dapat menyiapkan Identity Service GKE untuk setiap cluster atau fleet.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-08-04 UTC."],[],[],null,["# Configure SAML providers for GKE Identity Service\n=================================================\n\nThis document is for **platform administrators** , or whoever manages identity setup in your organization. It explains how to configure your chosen [Security Assertion Markup Language (SAML)](https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html) identity provider for GKE Identity Service.\n\nRegister GKE Identity Service with your provider\n------------------------------------------------\n\nTo register GKE Identity Service for the identity provider, you need the following information:\n\n- `EntityID` - This is a unique identifier that represents the GKE Identity Service for the provider. This is derived from the URL of the API server. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `EntityID` should be `https://cluster.company.com:11001`. Note that the URL has no trailing slashes.\n- `AssertionConsumerServiceURL` - This is the callback URL on GKE Identity Service. The response is forwarded to this URL after the provider authenticates the user. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `AssertionConsumerServiceURL` should be `https://cluster.company.com:11001/saml-callback`.\n\nProvider setup information\n--------------------------\n\nThis section provides additional provider-specific information for registering GKE Identity Service.\nIf your provider is listed here, register GKE Identity Service with your provider as a client application using the following instructions. \n\n### Azure AD\n\n1. If you haven't done so already, [Set up a tenant](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-create-new-tenant) on Azure Active Directory.\n2. [Register an application with the Microsoft identity platform](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app).\n3. Open the [App registrations](https://portal.azure.com/#blade/Microsoft_AAD_RegisteredApps/ApplicationsListBlade) page on the Azure Portal and select your application by name.\n4. Under **Manage** , select **Authentication** settings.\n5. Under **Platform Configurations** , select **Enterprise Applications**.\n6. In the **Set up Single Sign-On with SAML** , edit the **Basic SAML Configuration**.\n7. Under **Identifier (Entity ID)** section, select **Add Identifier**.\n8. Enter the *EntityID* and *Reply URL* that you derived from [Registering GKE Identity Service with your provider](#registersamlprovider)\n9. Click **Save** to save these settings.\n10. Review the **Attributes \\& Claims** section to add any new attributes.\n11. Under **SAML Certificates** , click **Certificate (Base64)** to download the identity provider certificate.\n12. Under **Set up app** section, copy the *Login URL* and *Azure AD identifier*.\n\n### Set SAML assertion lifespan\n\nFor enhanced security, configure your SAML provider to issue assertions with a\nshort lifespan, such as 10 minutes. This setting is configurable within your\nSAML provider's settings.\n\nSetting the lifespan to less than 5 minutes might cause login issues if the\nclocks between GKE Identity Service and your SAML provider aren't\nsynchronized.\n\nShare provider details\n----------------------\n\nAt the time of registering the provider, you must share the following information with your cluster administrator. These details are obtained from the provider metadata and required at the time of configuring GKE Identity Service with SAML.\n\n- `idpEntityID` - This the unique identifier for the identity provider. It corresponds to the URL of the provider and is also called *Azure AD identifier*.\n- `idpSingleSignOnURL` - This is the endpoint to which the user is redirected for sign up. This is also called the *Login URL*.\n- `idpCertificateDataList`- This is the public certificate used by the identity provider for SAML assertion verification.\n\nWhat's next\n-----------\n\nYour cluster administrator can set up GKE Identity Service for [individual clusters](/kubernetes-engine/enterprise/identity/setup/saml-per-cluster) or a [fleet](/kubernetes-engine/enterprise/identity/setup/fleet)."]]
