設定 SAML 提供者，以便向叢集進行驗證

本文適用於平台管理員，或貴機構中負責管理身分設定的人員。本文說明如何設定所選的安全宣告標記語言 (SAML) 識別資訊提供者，以便驗證不在 Google Cloud上的 Kubernetes 叢集。

向供應商註冊用戶端應用程式

在驗證流程中，叢集會使用下列資訊驗證使用者並重新導向：

  • EntityID - 這是代表供應商叢集驗證機制的專屬 ID。這是從 API 伺服器的網址衍生而來。舉例來說，如果 APISERVER-URL 是 https://cluster.company.com，則 EntityID 應為 https://cluster.company.com:11001。請注意，網址結尾沒有斜線。
  • AssertionConsumerServiceURL - This is the callback URL. 供應商驗證使用者後，系統會將回應轉送至這個網址。舉例來說，如果 APISERVER-URL 是 https://cluster.company.com，則 AssertionConsumerServiceURL 應為 https://cluster.company.com:11001/saml-callback。

供應商設定資訊

本節提供向 Microsoft Entra ID 註冊用戶端應用程式的步驟。如果使用其他識別資訊提供者，請參閱提供者的說明文件，瞭解如何設定用戶端應用程式。

  1. 如果尚未完成，請設定 Microsoft Entra 租戶。
  2. 在 Microsoft Entra ID 中註冊應用程式。
  3. 在 Microsoft Entra 系統管理中心開啟「應用程式註冊」頁面，然後選取您的應用程式。應用程式總覽頁面隨即開啟。
  4. 按一下導覽選單中的「Authentication」(驗證)。
  5. 在「平台設定」部分中，選取「企業應用程式」。
  6. 在「Set up Single Sign-On with SAML」(透過 SAML 設定單一登入) 中，編輯「Basic SAML Configuration」(基本 SAML 設定)。
  7. 在「識別碼 (實體 ID)」部分，選取「新增識別碼」。
  8. 輸入您從「向供應商註冊用戶端應用程式」取得的 EntityID 和回覆網址
  9. 按一下「儲存」即可儲存這些設定。
  10. 查看「屬性與聲明」部分，新增任何屬性。
  11. 在「SAML Certificates」部分，按一下「Certificate (Base64)」下載識別資訊提供者憑證。
  12. 在「設定應用程式」部分，複製「登入網址」和「Azure AD 識別碼」。

設定 SAML 聲明單次有效期間

為提升安全性，請將 SAML 提供者設定為發布有效期限較短的聲明，例如 10 分鐘。這項設定可在 SAML 供應商的設定中設定。

如果叢集和 SAML 提供者之間的時鐘未同步，將生命週期設為少於 5 分鐘可能會導致登入問題。

分享提供者詳細資料

請將下列供應商資訊提供給叢集管理員，以設定叢集：

  • idpEntityID - 這是識別資訊提供者的專屬 ID。這與供應商的網址相對應，也稱為 Azure AD ID。
  • idpSingleSignOnURL - 這是使用者註冊時重新導向的端點。這也稱為「登入網址」。
  • idpCertificateDataList：這是識別資訊提供者用於 SAML 聲明驗證的公開憑證。

後續步驟