Questa pagina mostra come accedere in modo più sicuro alle API Google Cloud dai carichi di lavoro in esecuzione nei cluster Google Kubernetes Engine (GKE) utilizzando la federazione delle identità per i carichi di lavoro per GKE. Per saperne di più, vedi Informazioni sulla federazione delle identità per i carichi di lavoro per GKE.
Questa pagina è rivolta ad amministratori di identità e account, operatori e sviluppatori che creano e gestiscono i criteri relativi alle autorizzazioni utente. Per saperne di più sui ruoli comuni e sulle attività di esempio che nei contenuti di Google Cloud, consulta Ruoli e attività utente comuni di GKE Enterprise.
Prima di iniziare
Prima di iniziare, assicurati di aver eseguito le seguenti operazioni:
- Attiva l'API Google Kubernetes Engine. Abilita l'API Google Kubernetes Engine
- Se vuoi utilizzare Google Cloud CLI per questa attività,
install e poi
inizializzare
con gcloud CLI. Se hai già installato gcloud CLI, scarica la versione più recente
eseguendo
gcloud components update
.
- Assicurati che le API Google Cloud a cui vuoi accedere siano supportate dalla federazione delle identità per i carichi di lavoro per GKE. Per un elenco delle API supportate, consulta Prodotti supportati e limitazioni. Se l'API non è supportata o se il tuo caso d'uso è bloccato dalle limitazioni della federazione Workload Identity per quel servizio, consulta la sezione Alternativa: collega gli account di servizio Kubernetes a IAM in questa pagina.
Assicurati di aver attivato l'API Credentials per gli account di servizio IAM.
Assicurati di disporre dei seguenti ruoli IAM:
roles/container.admin
roles/iam.serviceAccountAdmin
Assicurati di aver compreso le limitazioni della federazione delle identità per i carichi di lavoro per GKE.
Abilita la federazione delle identità per i carichi di lavoro per GKE su cluster e pool di nodi
In Autopilot, la federazione delle identità per i carichi di lavoro per GKE è sempre abilitata. Passa alle Sezione Configura le applicazioni per utilizzare la federazione delle identità per i carichi di lavoro per GKE.
In Standard, abiliti la federazione delle identità per i carichi di lavoro per GKE su cluster e nodi utilizzando Google Cloud CLI o la console Google Cloud. Per poter utilizzare la federazione delle identità per GKE di lavoro deve essere abilitata a livello di cluster abilita la federazione delle identità per i carichi di lavoro per GKE sui pool di nodi.
Crea un nuovo cluster
Puoi abilitare la federazione delle identità per i carichi di lavoro per GKE su un nuovo cluster Standard utilizzando gcloud CLI o la console Google Cloud.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Per abilitare la federazione delle identità per i carichi di lavoro per GKE in un nuovo cluster, esegui questo comando:
gcloud container clusters create CLUSTER_NAME \ --location=LOCATION \ --workload-pool=PROJECT_ID.svc.id.goog
Sostituisci quanto segue:
CLUSTER_NAME
: il nome del nuovo cluster.LOCATION
: il valore Località di Compute Engine per il cluster.PROJECT_ID
: l'ID del tuo progetto Google Cloud.
Console
Per abilitare la federazione delle identità per i carichi di lavoro per GKE in un nuovo cluster, segui questi passaggi:
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Fai clic su add_box Crea.
Nella finestra di dialogo Crea cluster, per GKE Standard, fai clic su Configura.
Nel menu di navigazione, nella sezione Cluster, fai clic su Sicurezza.
Seleziona la casella di controllo Abilita Workload Identity.
Continua a configurare il cluster, quindi fai clic su Crea.
Aggiorna un cluster esistente
Puoi abilitare la federazione delle identità per i carichi di lavoro per GKE su un cluster Standard esistente utilizzando gcloud CLI o la console Google Cloud. Pool di nodi esistenti non sono interessate, ma eventuali nuovi pool di nodi nel cluster utilizzano la federazione delle identità per i carichi di lavoro per GKE.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Per abilitare la federazione delle identità per i carichi di lavoro per GKE in un cluster esistente, esegui questo comando :
gcloud container clusters update CLUSTER_NAME \ --location=LOCATION \ --workload-pool=PROJECT_ID.svc.id.goog
Sostituisci quanto segue:
CLUSTER_NAME
: il nome del cluster esistente.LOCATION
: la località di Compute Engine del tuo cluster.PROJECT_ID
: l'ID del tuo progetto Google Cloud.
Console
Per abilitare la federazione delle identità per i carichi di lavoro per GKE in un cluster esistente, segui questi passaggi:
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Nell'elenco dei cluster, fai clic sul nome del cluster da modificare.
Nella pagina dei dettagli del cluster, nella sezione Sicurezza, fai clic su
Modifica Workload Identity.Nella finestra di dialogo Modifica Workload Identity, seleziona la casella di controllo Abilita Workload Identity.
Fai clic su Salva modifiche.
Esegui la migrazione dei carichi di lavoro esistenti alla federazione delle identità per i carichi di lavoro per GKE
Dopo aver abilitato la federazione delle identità per i carichi di lavoro per GKE in un cluster esistente, è consigliabile eseguire la migrazione dei carichi di lavoro in esecuzione per utilizzare la federazione delle identità per i carichi di lavoro per GKE. Seleziona il di migrazione ideale per il tuo ambiente. Puoi creare nuovi pool di nodi con la federazione delle identità per i carichi di lavoro per GKE abilitata o aggiorna i pool di nodi esistenti per abilitare la federazione delle identità per i carichi di lavoro per GKE.
Ti consigliamo di creare nuovi pool di nodi se devi modificare anche i tuoi compatibili con la federazione delle identità per i carichi di lavoro per GKE.
Crea un nuovo pool di nodi
Per impostazione predefinita, tutti i nuovi pool di nodi che crei utilizzano Workload Identity Federation for GKE se nel cluster è abilitata Workload Identity Federation for GKE. Per creare un nuovo pool di nodi con Federazione delle identità per i carichi di lavoro per GKE abilitata. Esegui questo comando:
gcloud container node-pools create NODEPOOL_NAME \
--cluster=CLUSTER_NAME \
--region=COMPUTE_REGION \
--workload-metadata=GKE_METADATA
Sostituisci quanto segue:
NODEPOOL_NAME
: il nome del nuovo pool di nodi.CLUSTER_NAME
: il nome del cluster esistente con Federazione delle identità per i carichi di lavoro per GKE abilitata.
Il flag --workload-metadata=GKE_METADATA
configura il pool di nodi in modo da utilizzare il server metadati GKE. Ti consigliamo di includere il flag in modo che la creazione del pool di nodi non vada a buon fine se la federazione delle identità per i carichi di lavoro per GKE non è abilitata sul cluster.
Aggiorna un pool di nodi esistente
Puoi abilitare manualmente Workload Identity Federation for GKE nei pool di nodi esistenti dopo aver attivato Workload Identity Federation for GKE nel cluster.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Per modificare un pool di nodi esistente per utilizzare la federazione delle identità per i carichi di lavoro per GKE, esegui questo comando :
gcloud container node-pools update NODEPOOL_NAME \ --cluster=CLUSTER_NAME \ --region=COMPUTE_REGION \ --workload-metadata=GKE_METADATA
Se in un cluster è abilitata la federazione delle identità per i carichi di lavoro per GKE, puoi disabilitarla selettivamente su una pool di nodi specifico specificando esplicitamente
--workload-metadata=GCE_METADATA
. Vedi Protezione del cluster metadati per ulteriori informazioni informazioni.
Console
Per modificare un pool di nodi esistente per utilizzare la federazione delle identità per i carichi di lavoro per GKE, esegui queste operazioni: passaggi:
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Nell'elenco dei cluster, fai clic sul nome del cluster che vuoi modificare.
Fai clic sulla scheda Nodi.
Nella sezione Pool di nodi, fai clic sul nome del pool di nodi che si desidera modificare.
Nella pagina Dettagli del pool di nodi, fai clic su
Modifica.Nella pagina Modifica pool di nodi, nella sezione Sicurezza, seleziona la casella di controllo Abilita server metadati GKE.
Fai clic su Salva.
Configura le applicazioni per utilizzare la federazione delle identità per i carichi di lavoro per GKE
Per consentire l'autenticazione delle applicazioni GKE in Google Cloud che utilizzano la federazione delle identità per i carichi di lavoro per GKE, devi creare i criteri IAM le API specifiche. L'entità di questi criteri è identificatore entità che corrisponde ai carichi di lavoro, agli spazi dei nomi Account di servizio.
Configura autorizzazione e entità
Ottieni le credenziali per il tuo cluster:
gcloud container clusters get-credentials CLUSTER_NAME \ --location=LOCATION
Sostituisci quanto segue:
CLUSTER_NAME
: il nome del cluster in cui è abilitata la federazione delle identità per i carichi di lavoro per GKE.LOCATION
: la posizione del cluster.
Crea uno spazio dei nomi da utilizzare per l'account di servizio Kubernetes. Puoi anche utilizzare lo spazio dei nomi
default
o qualsiasi spazio dei nomi esistente.kubectl create namespace NAMESPACE
Crea un ServiceAccount Kubernetes da utilizzare per l'applicazione. Puoi anche utilizzare qualsiasi account di servizio Kubernetes esistente in qualsiasi spazio dei nomi. Se non assegna un ServiceAccount al carico di lavoro, Kubernetes assegna
default
ServiceAccount nello spazio dei nomi.kubectl create serviceaccount KSA_NAME \ --namespace NAMESPACE
Sostituisci quanto segue:
KSA_NAME
: il nome del nuovo servizio account Kubernetes.NAMESPACE
: il nome dello spazio dei nomi Kubernetes per l'Account di servizio.
Crea un criterio di autorizzazione IAM che fa riferimento all'account di servizio Kubernetes. È buona prassi concedere autorizzazioni a specifiche Risorse Google Cloud a cui la tua applicazione deve accedere. Devi dispongono delle autorizzazioni IAM pertinenti per creare criteri di autorizzazione in del progetto.
Ad esempio, il seguente comando concede il ruolo Visualizzatore cluster Kubernetes Engine (
roles/container.clusterViewer
) all'account di servizio che hai creato:gcloud projects add-iam-policy-binding projects/PROJECT_ID \ --role=roles/container.clusterViewer \ --member=principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KSA_NAME \ --condition=None
Sostituisci quanto segue:
PROJECT_ID
: l'ID del tuo progetto Google Cloud.PROJECT_NUMBER
: il valore numerico di Google Cloud del progetto.
Puoi concedere ruoli su qualsiasi risorsa Google Cloud che supporta di autorizzazione IAM. La sintassi dell'identificatore dell'entità dipende dalla risorsa Kubernetes. Per un elenco degli identificatori supportati, consulta Identificatori principali per Workload Identity Federation for GKE.
Verifica la configurazione della federazione delle identità per i carichi di lavoro per GKE
In questa sezione, creerai un bucket Cloud Storage e concederai l'accesso in visualizzazione il bucket all'account di servizio Kubernetes che hai creato . Poi esegui il deployment di un carico di lavoro e verifica che il container possa elencare nel progetto.
Crea un bucket Cloud Storage vuoto:
gcloud storage buckets create gs://BUCKET
Sostituisci
BUCKET
con un nome per il nuovo bucket.Concedi il ruolo Visualizzatore oggetti Storage (
roles/storage.objectViewer
) all'account ServiceAccount che hai creato:gcloud storage buckets add-iam-policy-binding gs://BUCKET \ --role=roles/storage.objectViewer \ --member=principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KSA_NAME \ --condition=None
Sostituisci quanto segue:
PROJECT_ID
: l'ID del tuo progetto Google Cloud.PROJECT_NUMBER
: il valore numerico di Google Cloud del progetto.NAMESPACE
: lo spazio dei nomi Kubernetes l'Account di servizio.KSA_NAME
: il nome dell'account di servizio.
Salva il seguente manifest come
test-app.yaml
:apiVersion: v1 kind: Pod metadata: name: test-pod namespace: NAMESPACE spec: serviceAccountName: KSA_NAME containers: - name: test-pod image: google/cloud-sdk:slim command: ["sleep","infinity"] resources: requests: cpu: 500m memory: 512Mi ephemeral-storage: 10Mi
Solo nei cluster Standard, aggiungi quanto segue a
template.spec
per posizionare i pod nei pool di nodi che utilizzano la federazione delle identità per i carichi di lavoro per GKE.Salta questo passaggio nei cluster Autopilot, che rifiutano questo nodeSelector perché ogni nodo utilizza la federazione delle identità per i carichi di lavoro per GKE.
spec: nodeSelector: iam.gke.io/gke-metadata-server-enabled: "true"
Applica la configurazione al cluster:
kubectl apply -f test-app.yaml
Attendi che il pod sia pronto. Per controllare lo stato del pod, esegui il comando seguente:
kubectl get pods --namespace=NAMESPACE
Quando il pod è pronto, l'output è simile al seguente:
NAME READY STATUS RESTARTS AGE test-pod 1/1 Running 0 5m27s
Apri una sessione di shell nel pod:
kubectl exec -it pods/test-pod --namespace=NAMESPACE -- /bin/bash
Visualizza un elenco di oggetti nel bucket:
curl -X GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \ "https://storage.googleapis.com/storage/v1/b/BUCKET/o"
L'output è il seguente:
{ "kind": "storage#objects" }
Questo output mostra che il pod può accedere agli oggetti nel bucket.
Alternativa: collegare gli account di servizio Kubernetes a IAM
Ti consigliamo di utilizzare gli identificatori entità IAM per configurare Federazione delle identità per i carichi di lavoro per GKE. Tuttavia, questa identità federata ha limitazioni specifiche. per ogni API Google Cloud supportata. Per un elenco delle limitazioni, vedi Prodotti supportati e limitazioni.
Se queste limitazioni si applicano al tuo caso, segui questi passaggi per configurare e l'accesso alle API dai carichi di lavoro GKE:
Crea uno spazio dei nomi Kubernetes:
kubectl create namespace NAMESPACE
Crea un account di servizio Kubernetes:
kubectl create serviceaccount KSA_NAME \ --namespace=NAMESPACE
Creare un account di servizio IAM. Puoi anche utilizzare qualsiasi modello Account di servizio IAM in qualsiasi progetto nell'organizzazione.
gcloud iam service-accounts create IAM_SA_NAME \ --project=IAM_SA_PROJECT_ID
Sostituisci quanto segue:
IAM_SA_NAME
: un nome per il tuo nuovo IAM l'account di servizio.IAM_SA_PROJECT_ID
: l'ID progetto per il tuo account servizio IAM.
Per informazioni su come autorizzare gli account di servizio IAM ad accedere a Google Cloud Per le API, consulta la sezione Informazioni sugli account di servizio.
Concedi al tuo account di servizio IAM i ruoli di cui ha bisogno su API Google Cloud specifiche:
gcloud projects add-iam-policy-binding IAM_SA_PROJECT_ID \ --member "serviceAccount:IAM_SA_NAME@IAM_SA_PROJECT_ID.iam.gserviceaccount.com" \ --role "ROLE_NAME"
Sostituisci
ROLE_NAME
con il nome del ruolo, ad esempioroles/spanner.viewer
.crea un criterio di autorizzazione IAM che fornisca a Kubernetes Accesso ServiceAccount per rappresentare l'account di servizio IAM:
gcloud iam service-accounts add-iam-policy-binding IAM_SA_NAME@IAM_SA_PROJECT_ID.iam.gserviceaccount.com \ --role roles/iam.workloadIdentityUser \ --member "serviceAccount:PROJECT_ID.svc.id.goog[NAMESPACE/KSA_NAME]"
Il nome del membro deve includere lo spazio dei nomi e il nome dell'account di servizio Kubernetes. Ad esempio,
serviceAccount:example-project.svc.id.goog[example-namespace/example-serviceaccount]
.Annota l'Account di servizio Kubernetes in modo che GKE veda tra gli account di servizio:
kubectl annotate serviceaccount KSA_NAME \ --namespace NAMESPACE \ iam.gke.io/gcp-service-account=IAM_SA_NAME@IAM_SA_PROJECT_ID.iam.gserviceaccount.com
Utilizza la federazione delle identità per i carichi di lavoro per GKE dal tuo codice
L'autenticazione ai servizi Google Cloud dal codice è la stessa procedura dell'autenticazione tramite il server di metadati di Compute Engine. Quando utilizzi la federazione delle identità per i carichi di lavoro per GKE, le richieste al server metadati dell'istanza vengono inoltrate al server metadati GKE. Il codice esistente che si autentica utilizzando il server dei metadati dell'istanza (ad esempio il codice che utilizza le librerie client di Google Cloud) dovrebbe funzionare senza modifiche.
Utilizza la quota di un altro progetto con la federazione delle identità per i carichi di lavoro per GKE
Sui cluster che eseguono GKE versione 1.24 o successive, puoi facoltativamente configurare il tuo account di servizio Kubernetes per l'utilizzo della quota
da un altro progetto Google Cloud quando si effettuano chiamate a
i metodi GenerateAccessToken
e GenerateIdToken
nell'API IAM Service Account Credentials. Ciò ti consente di evitare di utilizzare l'intera quota
il tuo progetto principale e utilizza la quota di altri progetti
questi servizi nel tuo cluster.
Per configurare un progetto quota con la federazione delle identità per i carichi di lavoro per GKE, esegui la seguenti:
Concedi l'autorizzazione
serviceusage.services.use
sul progetto di quota all'account di servizio Kubernetes.gcloud projects add-iam-policy-binding QUOTA_PROJECT_ID \ --role=roles/serviceusage.serviceUsageConsumer \ --member='principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KSA_NAME' \
Sostituisci
QUOTA_PROJECT_ID
con l'ID progetto del progetto di quota.Annota l'account di servizio Kubernetes con il progetto quota:
kubectl annotate serviceaccount KSA_NAME \ --namespace NAMESPACE \ iam.gke.io/credential-quota-project=QUOTA_PROJECT_ID
Per verificare che la configurazione funzioni correttamente, segui questi passaggi:
Creare un pod e avviare una sessione di shell. Consulta la documentazione di Kubernetes per ottenere una shell per un contenitore in esecuzione.
Effettua una richiesta al server dei metadati:
curl -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/token
Vai alla pagina API Credenziali account di servizio IAM nella console Google Cloud per il tuo progetto quota:
Verifica la presenza di variazioni nel traffico.
Esegui la pulizia
Per interrompere l'utilizzo della federazione delle identità per i carichi di lavoro per GKE, revoca l'accesso a IAM e disabilita la federazione delle identità per i carichi di lavoro per GKE sul cluster.
Revoca l'accesso
Per revocare l'accesso all'entità, rimuovi il criterio di autorizzazione IAM che hai creato Sezione Configura le applicazioni per utilizzare la federazione delle identità per i carichi di lavoro per GKE.
Ad esempio, per revocare l'accesso a un repository Artifact Registry, esegui questo comando :
gcloud artifacts repositories remove-iam-policy-binding REPOSITORY_NAME \
--location=REPOSITORY_LOCATION \
--member='principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KSA_NAME' \
--role='roles/artifactregistry.reader' \
--all
Disabilita la federazione delle identità per i carichi di lavoro per GKE
Puoi disabilitare la federazione delle identità per i carichi di lavoro per GKE solo su Standard cluster.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Disabilita la federazione delle identità per i carichi di lavoro per GKE su ciascun pool di nodi:
gcloud container node-pools update NODEPOOL_NAME \ --cluster=CLUSTER_NAME \ --workload-metadata=GCE_METADATA
Ripeti questo comando per ogni pool di nodi nel cluster.
Disabilita la federazione delle identità per i carichi di lavoro per GKE nel cluster:
gcloud container clusters update CLUSTER_NAME \ --disable-workload-identity
Console
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Nell'elenco dei cluster, fai clic sul nome del cluster che vuoi modificare.
Fai clic sulla scheda Nodi.
Per disabilitare la federazione delle identità per i carichi di lavoro per GKE su ciascun pool di nodi, segui questi passaggi per Ogni pool di nodi nella sezione Pool di nodi:
- Fai clic sul nome del pool di nodi che vuoi modificare.
- Nella pagina Dettagli del pool di nodi, fai clic su Modifica.
- Nella pagina Modifica pool di nodi, nella sezione Sicurezza, cancella il valore Casella di controllo Abilita server metadati GKE.
- Fai clic su Salva.
Per disabilitare la federazione delle identità per i carichi di lavoro per GKE per il cluster, segui questi passaggi:
- Fai clic sulla scheda Dettagli.
- Nella sezione Sicurezza, accanto a Workload Identity, fai clic su Modifica.
- Nella finestra di dialogo Modifica Workload Identity, cancella il Casella di controllo Abilita Workload Identity.
- Fai clic su Salva modifiche.
Disabilita la federazione delle identità per i carichi di lavoro per GKE nella tua organizzazione
Dal punto di vista della sicurezza, la federazione delle identità per i carichi di lavoro per GKE consente a GKE di eseguire Identità degli account di servizio Kubernetes che possono essere autenticate e autorizzate in Google Cloud Google Cloud. Se sei un amministratore che ha intrapreso delle azioni per isolare i carichi di lavoro Risorse Google Cloud, ad esempio la disattivazione della creazione di account di servizio disattivando la creazione della chiave dell'account di servizio, potresti anche voler disabilitare la federazione delle identità per i carichi di lavoro per GKE per la tua organizzazione.
Risoluzione dei problemi
Per informazioni sulla risoluzione dei problemi, consulta Risoluzione dei problemi relativi alla federazione delle identità per i carichi di lavoro per GKE.
Passaggi successivi
- Scopri di più sulla Federazione delle identità per i carichi di lavoro per GKE.
- Leggi la panoramica sulla sicurezza di GKE.
- Scopri di più sulla protezione dei metadati del cluster.
- Scopri di più sugli account di servizio IAM.