Menyiapkan gateway Connect dengan Google Grup

Panduan ini ditujukan bagi administrator platform yang perlu menyiapkan gateway Connect untuk digunakan oleh akun pengguna project mereka, menggunakan Grup Google untuk otorisasi. Sebelum membaca halaman ini, pastikan Anda memahami konsep dalam ringkasan kami. Untuk memberikan otorisasi ke akun perorangan, lihat penyiapan default.

Penyiapan ini memungkinkan pengguna login ke cluster fleet yang dikonfigurasi menggunakan Google Cloud CLI, gateway Connect, dan konsol Google Cloud .

Fitur ini menggunakan Google Grup yang terkait dengan Google Workspace atau edisi Cloud Identity apa pun.

Jenis cluster yang didukung

Jika Anda menggunakan cluster GKE di Google Cloud dengan Connect Gateway, Anda tidak perlu mengikuti seluruh penyiapan ini dengan GKE Identity Service untuk menggunakan Grup Google sebagai otorisasi. Sebagai gantinya, ikuti petunjuk di Mengonfigurasi Google Grup untuk RBAC, yang juga memungkinkan pengguna login ke cluster GKE dari konsol Google Cloud menggunakan Google Grup untuk kontrol akses. Setelah melakukannya, ikuti petunjuk di bawah dalam Memberikan peran IAM ke Google Grup untuk mengizinkan anggota grup mengakses cluster melalui gateway Connect.

Anda dapat menyiapkan kontrol akses dengan Google Grup melalui gateway Connect untuk jenis cluster berikut:

• Cluster GKE terdaftar
• Cluster dalam deployment Google Distributed Cloud (on-premise) di VMware dan di bare metal dari Anthos (GKE Enterprise) versi 1.13 dan yang lebih baru
• GKE di AWS dan GKE di Azure mulai dari Kubernetes versi 1.25 dan yang lebih baru.

• Cluster terlampir dari versi 1.26.0-gke.8, 1.27.0-gke.5, 1.28.0-gke.2 atau yang lebih baru.

  Jika Anda perlu mengupgrade cluster lokal untuk menggunakan fitur ini, lihat Mengupgrade cluster di VMWare dan Mengupgrade cluster di bare metal.

Untuk menggunakan fitur ini dengan lingkungan selain yang tercantum di bagian ini, hubungi Cloud Customer Care atau tim Connect Gateway.

Cara kerjanya

Seperti yang dijelaskan dalam ringkasan, sering kali berguna untuk dapat memberi pengguna akses ke cluster berdasarkan keanggotaan mereka di Grup Google, yaitu grup yang dibuat di Google Workspace. Dengan memberikan otorisasi berdasarkan keanggotaan grup, Anda tidak perlu menyiapkan otorisasi terpisah untuk setiap akun, sehingga kebijakan lebih mudah dikelola dan diaudit. Jadi, misalnya, Anda dapat dengan mudah membagikan akses cluster kepada tim, sehingga tidak perlu menambahkan/menghapus pengguna satu per satu dari cluster saat mereka bergabung atau keluar dari tim. Dengan beberapa penyiapan tambahan menggunakan GKE Identity Service, Anda dapat mengonfigurasi gateway Connect untuk mendapatkan informasi keanggotaan Grup Google bagi setiap pengguna yang login ke cluster. Kemudian, Anda dapat menggunakan informasi grup ini dalam kebijakan kontrol akses Anda.

Berikut menunjukkan alur umum bagi pengguna yang melakukan autentikasi dan menjalankan perintah terhadap cluster dengan layanan ini yang diaktifkan. Agar alur ini berhasil, kebijakan RBAC harus ada di cluster untuk grup yang:

1. Berisi pengguna alice@example.com sebagai anggota.

2. Adalah grup bertingkat dari gke-security-groups@example.com.

1. Pengguna alice@example.com login menggunakan identitas Google mereka dan, jika mereka berencana menggunakan cluster dari command line, akan mendapatkan gateway kubeconfig cluster seperti yang dijelaskan dalam Menggunakan gateway Connect.
2. Pengguna mengirim permintaan dengan menjalankan perintah kubectl atau membuka halaman Workloads atau Object Browser Google Kubernetes Engine di konsol Google Cloud .
3. Permintaan diterima oleh layanan Connect, yang melakukan pemeriksaan otorisasi dengan IAM.
4. Layanan Connect meneruskan permintaan ke Agen Connect yang berjalan di cluster. Permintaan disertai dengan informasi kredensial pengguna untuk digunakan dalam autentikasi dan otorisasi di cluster.
5. Connect Agent meneruskan permintaan ke server Kubernetes API.
6. Server Kubernetes API meneruskan permintaan ke GKE Identity Service, yang memvalidasi permintaan.
7. GKE Identity Service menampilkan informasi pengguna dan grup ke server Kubernetes API. Server API Kubernetes kemudian dapat menggunakan informasi ini untuk mengizinkan permintaan berdasarkan kebijakan RBAC yang dikonfigurasi cluster.

Sebelum memulai

• Pastikan Anda telah menginstal alat command line berikut:

  • Versi terbaru Google Cloud CLI, alat command line untuk berinteraksi dengan Google Cloud.
  • Alat command line Kubernetes, kubectl, untuk berinteraksi dengan cluster Anda.

  Jika Anda menggunakan Cloud Shell sebagai lingkungan shell untuk berinteraksi dengan Google Cloud, alat ini akan diinstal untuk Anda.

• Pastikan Anda telah menginisialisasi gcloud CLI untuk digunakan dengan project Anda.

• Panduan ini mengasumsikan bahwa Anda telah memiliki roles/owner di project Anda. Jika Anda bukan pemilik project, Anda mungkin memerlukan izin tambahan untuk melakukan beberapa langkah penyiapan.

• Untuk cluster di luar Google Cloud, GKE Identity Service perlu memanggil Google Identity API dari cluster Anda. Periksa apakah kebijakan jaringan Anda mengharuskan traffic keluar melewati proxy.

Menyiapkan pengguna dan grup

Pastikan grup yang ingin Anda gunakan dengan fitur ini disiapkan sebagai berikut:

1. Pastikan ada grup di Google Workspace organisasi Anda dengan format gke-security-groups@YOUR-DOMAIN. Jika Anda tidak memiliki grup tersebut, ikuti petunjuk di Membuat grup di organisasi Anda untuk membuat grup menggunakan Konsol Admin Google Workspace.
2. Ikuti petunjuk di Menambahkan grup ke grup lain untuk menambahkan grup yang ingin Anda gunakan untuk kontrol akses sebagai grup bertingkat dari gke-security-groups. Jangan menambahkan pengguna satu per satu sebagai anggota gke-security-groups.

Akun pengguna yang ingin Anda gunakan dengan fitur ini harus menggunakan nama domain yang sama dengan nama domain grupnya.

Mengaktifkan API

Untuk menambahkan gateway ke project Anda, aktifkan Connect Gateway API dan API dependensi yang diperlukan. Jika pengguna Anda hanya ingin melakukan autentikasi ke cluster menggunakan Google Cloud konsol, Anda tidak perlu mengaktifkan connectgateway.googleapis.com, tetapi perlu mengaktifkan API yang tersisa.

PROJECT_ID=example_project
gcloud services enable --project=${PROJECT_ID}  \
connectgateway.googleapis.com \
anthos.googleapis.com \
gkeconnect.googleapis.com \
gkehub.googleapis.com \
cloudresourcemanager.googleapis.com

Menyiapkan GKE Identity Service

Fitur dukungan Google Grup gateway yang terhubung menggunakan Layanan Identitas GKE untuk mendapatkan informasi keanggotaan grup dari Google. Anda dapat mengetahui lebih lanjut GKE Identity Service di Memperkenalkan GKE Identity Service.

Jika Anda menggunakan cluster GKE dengan gateway, Anda tidak perlu menyiapkan Layanan Identitas GKE untuk menggunakan dukungan Grup Google. Sebagai gantinya, ikuti petunjuk di Mengonfigurasi Google Grup untuk RBAC, lalu lanjutkan ke Memberikan peran IAM untuk memberikan akses ke cluster melalui gateway.

Jika Anda menggunakan cluster terlampir GKE dengan gateway, GKE Identity Service tidak diperlukan untuk dukungan Google Grup. Ikuti petunjuk untuk jenis cluster yang Anda pilih guna menyiapkan dukungan Google Grup:

• Hubungkan ke cluster terlampir EKS Anda
• Menghubungkan ke cluster terlampir AKS
• Menghubungkan ke jenis cluster lainnya

Pastikan GKE Identity Service diinstal

GKE Identity Service diinstal secara default di cluster GKE mulai dari versi 1.7 dan seterusnya (meskipun dukungan Google Grup memerlukan versi 1.13 atau yang lebih tinggi). Anda dapat mengonfirmasi bahwa aplikasi diinstal dengan benar di cluster Anda dengan menjalankan perintah berikut:

kubectl --kubeconfig CLUSTER_KUBECONFIG get all -n anthos-identity-service

Ganti CLUSTER_KUBECONFIG dengan jalur ke kubeconfig cluster.

Mengonfigurasi dukungan Google Grup

Jika Anda menggunakan GKE di AWS atau GKE di Azure, cluster Anda akan otomatis dikonfigurasi untuk mendukung Google Grup, dan Anda dapat melanjutkan ke Memberi peran IAM ke Google Grup.

Jika Anda menggunakan Google Distributed Cloud di VMware atau bare metal, cara Anda menyiapkan GKE Identity Service menentukan cara Anda perlu mengonfigurasi fitur Google Grup.

Jika Anda menggunakan GKE Identity Service untuk pertama kalinya, Anda dapat memilih antara mengonfigurasi Google Grup di tingkat Fleet (direkomendasikan) atau penyiapan Per-cluster.

Jika Anda bukan pengguna baru GKE Identity Service, perhatikan salah satu hal berikut:

• Jika Anda telah menyiapkan GKE Identity Service untuk penyedia identitas lain di tingkat armada, fitur Google Grup akan diaktifkan untuk Anda secara default. Lihat bagian Fleet di bawah untuk mengetahui detail selengkapnya dan penyiapan tambahan yang mungkin Anda perlukan.

• Jika Anda telah menyiapkan GKE Identity Service untuk penyedia identitas lain berdasarkan per-cluster, lihat bagian Per-cluster di bawah untuk mengetahui petunjuk cara memperbarui konfigurasi Anda untuk fitur Google Grup.

spec:
  authentication:
  - name: google-authentication-method
    google:
      disable: false

  spec:
    authentication:
    - name: google-authentication-method
      google:
        disable: false
      proxy: PROXY_URL

gcloud container fleet identity-service apply \
--membership=CLUSTER_NAME \
--config=/path/to/auth-config.yaml

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG -n kube-public edit clientconfig default

spec:
  authentication:
  - google:
      audiences:
      - "CLUSTER_IDENTIFIER"
    name: google-authentication-method
    proxy: PROXY_URL
  internalServer: https://kubernetes.default.svc

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG get memberships membership -o yaml

id: //gkehub.googleapis.com/projects/123456789/locations/global/memberships/xy-ab12cd34ef

Memberikan peran IAM ke Grup Google

Grup memerlukan peran Google Cloud tambahan berikut untuk berinteraksi dengan cluster yang terhubung melalui gateway:

• roles/gkehub.gatewayAdmin. Peran ini memungkinkan anggota grup mengakses Connect Gateway API.
  • Jika anggota grup hanya memerlukan akses baca saja ke cluster yang terhubung, roles/gkehub.gatewayReader dapat digunakan sebagai gantinya.
  • Jika anggota grup memerlukan akses baca/tulis ke cluster yang terhubung, roles/gkehub.gatewayEditor dapat digunakan sebagai gantinya.
• roles/gkehub.viewer. Peran ini memungkinkan anggota grup melihat keanggotaan cluster terdaftar.

Anda memberikan peran ini menggunakan perintah gcloud projects add-iam-policy-binding, sebagai berikut:

gcloud projects add-iam-policy-binding --member=group:GROUP_NAME@DOMAIN --role=GATEWAY_ROLE PROJECT_ID
gcloud projects add-iam-policy-binding --member=group:GROUP_NAME@DOMAIN --role=roles/gkehub.viewer PROJECT_ID

di mana

• GROUP_NAME adalah Grup Google yang ingin Anda beri peran
• DOMAIN adalah domain Google Workspace Anda
• GROUP_NAME@DOMAIN adalah grup bertingkat di bawah gke-security-groups@DOMAIN
• GATEWAY_ROLE adalah salah satu dari roles/gkehub.gatewayAdmin, roles/gkehub.gatewayReader, atau gkehub.gatewayEditor.
• PROJECT_ID adalah project Anda

Anda dapat mengetahui lebih lanjut cara memberikan izin dan peran IAM di Memberikan, mengubah, dan mencabut akses ke resource.

Mengonfigurasi kebijakan role-based access control (RBAC)

Terakhir, server Kubernetes API setiap cluster harus dapat mengizinkan perintah kubectl yang masuk melalui gateway dari grup yang Anda tentukan. Untuk setiap cluster, Anda perlu menambahkan kebijakan izin RBAC yang menentukan izin yang dimiliki grup pada cluster.

Dalam contoh berikut, Anda akan melihat cara memberikan izin cluster-admin kepada anggota grup cluster-admin-team di cluster, menyimpan file kebijakan sebagai /tmp/admin-permission.yaml, dan menerapkannya ke cluster yang terkait dengan konteks saat ini. Pastikan Anda juga menyertakan grup cluster-admin-team di bawah grup gke-security-groups.

cat <<EOF > /tmp/admin-permission.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: gateway-cluster-admin-group
subjects:
- kind: Group
  name: cluster-admin-team@example.com
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
EOF
# Apply permission policy to the cluster.
kubectl apply --kubeconfig=KUBECONFIG_PATH -f /tmp/admin-permission.yaml

Anda dapat mengetahui lebih lanjut cara menentukan izin RBAC di Menggunakan otorisasi RBAC.

Apa langkah selanjutnya?

• Pelajari cara menggunakan gateway Connect untuk terhubung ke cluster dari command line.
• Lihat contoh cara menggunakan gateway Connect sebagai bagian dari otomatisasi DevOps Anda dalam tutorial Mengintegrasikan dengan Cloud Build kami.