Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Configurar provedores SAML do GKE Identity Service
Este documento é destinado a administradores de plataforma ou a quem gerencia a configuração de identidade na organização. Ele explica como configurar o provedor de identidade Linguagem de marcação para autorização de segurança (SAML) escolhido para o serviço de identidade do GKE.
Registrar o GKE Identity Service com seu provedor
Para registrar o serviço de identidade do GKE no provedor de identidade, você precisa das seguintes informações:
EntityID: um identificador exclusivo que representa o serviço de identidade do GKE do provedor. Ele é derivado do URL do servidor da API. Por exemplo, se APISERVER-URL for https://cluster.company.com, EntityID será https://cluster.company.com:11001. Observe que o URL não tem barras no final.
AssertionConsumerServiceURL: é o URL de callback no serviço de identidade do GKE. A resposta é encaminhada para esse URL depois que o provedor autentica o usuário. Por exemplo, se APISERVER-URL for https://cluster.company.com, AssertionConsumerServiceURL será https://cluster.company.com:11001/saml-callback.
Informações de configuração do provedor
Nesta seção, fornecemos outras informações específicas do provedor para registrar o GKE Identity Service.
Se o provedor estiver listado aqui, registre o GKE Identity Service com ele como um aplicativo cliente seguindo as instruções abaixo.
Consulte a seção Atributos e declarações para adicionar novos atributos.
Em Certificados SAML, clique em Certificado (Base64) para fazer o download do certificado do provedor de identidade.
Na seção Configurar app, copie o URL de login e o identificador do Azure AD.
Compartilhar detalhes do provedor
No momento de registrar o provedor, você precisa compartilhar as seguintes informações com o administrador do cluster. Esses detalhes são extraídos dos metadados do provedor e necessários no momento da configuração do serviço de identidade do GKE com SAML.
idpEntityID: é o identificador exclusivo do provedor de identidade. Ele corresponde ao URL do provedor e também é chamado de identificador do Azure AD.
idpSingleSignOnURL: é o endpoint de inscrição do usuário. Também é chamado de URL de login.
idpCertificateDataList: é o certificado público usado pelo provedor de identidade para a verificação de asserção SAML.
A seguir
O administrador do cluster pode configurar o serviço de identidade do GKE para clusters individuais ou uma frota.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2024-11-26 UTC."],[],[],null,["# Configure SAML providers for GKE Identity Service\n=================================================\n\nThis document is for **platform administrators** , or whoever manages identity setup in your organization. It explains how to configure your chosen [Security Assertion Markup Language (SAML)](https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html) identity provider for GKE Identity Service.\n\nRegister GKE Identity Service with your provider\n------------------------------------------------\n\nTo register GKE Identity Service for the identity provider, you need the following information:\n\n- `EntityID` - This is a unique identifier that represents the GKE Identity Service for the provider. This is derived from the URL of the API server. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `EntityID` should be `https://cluster.company.com:11001`. Note that the URL has no trailing slashes.\n- `AssertionConsumerServiceURL` - This is the callback URL on GKE Identity Service. The response is forwarded to this URL after the provider authenticates the user. For example, if the \u003cvar translate=\"no\"\u003eAPISERVER-URL\u003c/var\u003e is `https://cluster.company.com`, then the `AssertionConsumerServiceURL` should be `https://cluster.company.com:11001/saml-callback`.\n\nProvider setup information\n--------------------------\n\nThis section provides additional provider-specific information for registering GKE Identity Service.\nIf your provider is listed here, register GKE Identity Service with your provider as a client application using the following instructions. \n\n### Azure AD\n\n1. If you haven't done so already, [Set up a tenant](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-create-new-tenant) on Azure Active Directory.\n2. [Register an application with the Microsoft identity platform](https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app).\n3. Open the [App registrations](https://portal.azure.com/#blade/Microsoft_AAD_RegisteredApps/ApplicationsListBlade) page on the Azure Portal and select your application by name.\n4. Under **Manage** , select **Authentication** settings.\n5. Under **Platform Configurations** , select **Enterprise Applications**.\n6. In the **Set up Single Sign-On with SAML** , edit the **Basic SAML Configuration**.\n7. Under **Identifier (Entity ID)** section, select **Add Identifier**.\n8. Enter the *EntityID* and *Reply URL* that you derived from [Registering GKE Identity Service with your provider](#registersamlprovider)\n9. Click **Save** to save these settings.\n10. Review the **Attributes \\& Claims** section to add any new attributes.\n11. Under **SAML Certificates** , click **Certificate (Base64)** to download the identity provider certificate.\n12. Under **Set up app** section, copy the *Login URL* and *Azure AD identifier*.\n\n### Set SAML assertion lifespan\n\nFor enhanced security, configure your SAML provider to issue assertions with a\nshort lifespan, such as 10 minutes. This setting is configurable within your\nSAML provider's settings.\n\nSetting the lifespan to less than 5 minutes might cause login issues if the\nclocks between GKE Identity Service and your SAML provider aren't\nsynchronized.\n\nShare provider details\n----------------------\n\nAt the time of registering the provider, you must share the following information with your cluster administrator. These details are obtained from the provider metadata and required at the time of configuring GKE Identity Service with SAML.\n\n- `idpEntityID` - This the unique identifier for the identity provider. It corresponds to the URL of the provider and is also called *Azure AD identifier*.\n- `idpSingleSignOnURL` - This is the endpoint to which the user is redirected for sign up. This is also called the *Login URL*.\n- `idpCertificateDataList`- This is the public certificate used by the identity provider for SAML assertion verification.\n\nWhat's next\n-----------\n\nYour cluster administrator can set up GKE Identity Service for [individual clusters](/kubernetes-engine/enterprise/identity/setup/saml-per-cluster) or a [fleet](/kubernetes-engine/enterprise/identity/setup/fleet)."]]
