Impacto da desassociação temporária de Google Cloud

O software Google Distributed Cloud apenas é baseado no Kubernetes e pode implementá-lo nas instalações em servidores VMware ou bare metal. Embora a Distributed Cloud seja executada no local, concebemo-la para ter uma ligação permanente à Google por vários motivos, incluindo a monitorização e a gestão. Google Cloud No entanto, pode precisar de saber o que acontece se, por qualquer motivo, perder a ligação a Google Cloud (por exemplo, devido a um problema técnico). Este documento descreve o impacto da perda de conetividade para clusters numa implementação apenas de software da Distributed Cloud (em hardware físico ou no VMware) e as soluções alternativas que pode usar neste evento.

Estas informações são úteis para os arquitetos que precisam de se preparar para uma desconexão não planeada ou forçada do Google Cloud e compreender as respetivas consequências. No entanto, não deve planear usar uma implementação da nuvem distribuída apenas de software que esteja desligada doGoogle Cloud como um modo de funcionamento nominal. Lembre-se de que concebemos o Distributed Cloud para tirar partido da escalabilidade e da disponibilidade dos Google Cloud serviços. Este documento baseia-se na conceção e na arquitetura dos vários Google Cloud componentes que funcionam de forma compatível com a Distributed Cloud durante uma interrupção temporária. Não podemos garantir que este documento seja exaustivo.

Este documento pressupõe que conhece o GKE. Se não for esse o caso, recomendamos que leia primeiro a vista geral do GKE.

Validação de licenças e medição

Se tiver ativado a API Anthos (anthos.googleapis.com) no seu Google Cloud projeto, o controlador de medição em execução no cluster gera e atualiza a autorização de licença periodicamente. A tolerância para a desconexão é de 12 horas. Além disso, o sistema requer a ligação para gerir a medição e a faturação.

Esta tabela lista o comportamento das funcionalidades relacionadas com licenciamento e medição em caso de desassociação temporária de Google Cloud:

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Validação de licença O controlador de medição gera e atualiza o recurso personalizado de concessão de licença periodicamente, desde que o anthos.googleapis.com esteja ativado no projeto Google Cloud . Os componentes que consomem o recurso personalizado de concessão suportam um período de tolerância: continuam a funcionar desde que o recurso personalizado de concessão seja atualizado dentro do período de tolerância. Ilimitado. Após o período de tolerância expirar, os componentes começam a registar erros. Já não pode atualizar o cluster. Nenhum
Medição e faturação O controlador de medição comunica a capacidade de vCPU do cluster à API Service Control para fins de faturação. Google Cloud Um agente no cluster persiste os registos de faturação no cluster durante a desligação e obtém os registos assim que o cluster se voltar a ligar ao Google Cloud. Ilimitado. No entanto, as informações de medição são necessárias para a conformidade, conforme indicado nos Termos Específicos do Serviço para "Software Premium". Nenhum

Ciclo de vida do cluster

Esta secção aborda cenários como a criação, a atualização, a eliminação e a alteração do tamanho dos clusters, bem como a monitorização do estado destas atividades.

Na maioria dos cenários, pode usar ferramentas CLI, como bmctl, gkectl e kubectl, para realizar operações durante uma desativação temporária. Também pode monitorizar o estado destas operações com estas ferramentas. Após o restabelecimento da ligação, a consola é atualizada para apresentar os resultados das operações realizadas durante o período sem ligação.Google Cloud

Ação Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Criação de clusters Usa as ferramentas de CLI bmctl ou gkectl para criar clusters. Esta operação requer uma ligação ao dispositivo Google Cloud. Não pode criar clusters. Zero Nenhum
Atualização do cluster Usa as ferramentas de CLI bmctl ou gkectl para atualizar clusters. Esta operação requer uma ligação ao dispositivo Google Cloud. Não é possível atualizar clusters. Zero Nenhum
Eliminação de clusters Usa as ferramentas CLI bmctl ou gkectl para eliminar clusters. Esta operação não requer uma ligação a Google Cloud. Pode eliminar clusters. Ilimitado -
Visualizar o estado do cluster Pode ver informações sobre os seus clusters na consola, na lista de clusters do Google Kubernetes Engine. As informações do cluster não são apresentadas na consola. Ilimitado Use kubectl para consultar diretamente os seus clusters e obter as informações de que precisa.
Remover nós de um cluster Não precisa de uma ligação à Internet para Google Cloud remover nós de um cluster. Pode remover nós de um cluster. Ilimitado -
Adicionar nós a um cluster O novo nó extrai imagens de contentores do Container Registry para funcionar corretamente. É executada uma verificação prévia ao voo para validar se existe conetividade com Google Cloud. As verificações prévias executadas quando adiciona um novo nó validam se existe conetividade com Google Cloud. Por conseguinte, não pode adicionar um novo nó a um cluster quando está desligado. Zero Nenhum

Ciclo de vida da aplicação

Uma desativação temporária da ligação Google Cloud normalmente não afeta a gestão das suas aplicações em execução num cluster no local. Apenas o gateway de ligação é afetado. Se usar o Container Registry, o Artifact Registry, o Cloud Build ou o Cloud Deploy para gerir as suas imagens de contentores ou pipelines de CI/CD no Google Cloud, estes ficam indisponíveis em caso de desativação da ligação. As estratégias para lidar com a desassociação desses produtos estão fora do âmbito deste documento.

Ação Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Implementação de aplicações Implementa aplicações localmente através do kubectl, de ferramentas de CI/CD ou do gateway de ligação. O gateway de ligação não está disponível. Todos os outros métodos de implementações continuam a funcionar, desde que se liguem diretamente à API Kubernetes. Ilimitado Se usar a porta de acesso de ligação, mude para usar o dispositivo kubectl localmente.
Remoção de aplicações Remove as aplicações localmente através de kubectl, de ferramentas de CI/CD ou do gateway de ligação. O gateway de ligação não está disponível. Todos os outros métodos de implementações continuam a funcionar, desde que se liguem diretamente à API Kubernetes. Ilimitado Se usar a porta de acesso de ligação, mude para usar o dispositivo kubectl localmente.
Expansão da aplicação Pode expandir as aplicações localmente através do kubectl, de ferramentas de CI/CD ou do gateway de ligação. O gateway de ligação não está disponível. Todos os outros métodos de implementações continuam a funcionar, desde que se liguem diretamente à API Kubernetes. Ilimitado Se usar a porta de entrada de ligação, mude para usar o dispositivo kubectl localmente.

Registo e monitorização

A capacidade de auditoria ajuda a sua organização a cumprir os respetivos requisitos regulamentares e políticas de conformidade. O Distributed Cloud ajuda na capacidade de auditoria através do registo de aplicações, do registo do Kubernetes e do registo de auditoria. Muitos clientes optam por usar o Cloud Logging e o Cloud Monitoring da Google para evitar a gestão de uma infraestrutura de registo e monitorização no local. Outros clientes preferem centralizar os respetivos registos num sistema no local para agregação. Para apoiar estes clientes, o Distributed Cloud suporta a integração direta com serviços como o Prometheus. Neste modo, durante a desativação temporária da ligação a Google Cloud, não existe qualquer impacto no registo nem na funcionalidade de monitorização.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Registo de aplicações através do Cloud Logging O sistema escreve registos no Cloud Logging. O sistema armazena registos em buffer no disco local. 4,5 h ou 4 GiB de buffer local por nó. Quando o buffer fica cheio ou a desligação dura 4,5 horas, o sistema elimina as entradas mais antigas. Use uma solução de registo local.
Registo do sistema/Kubernetes com o Cloud Logging O sistema escreve registos no Cloud Logging. O sistema armazena registos em buffer no disco local. 4,5 h ou 4 GiB de buffer local por nó. Quando o buffer fica cheio ou a desligação dura 4,5 horas, o sistema elimina as entradas mais antigas. Use uma solução de registo local.
Registo de auditoria com os registos de auditoria na nuvem O sistema escreve registos no Cloud Logging. O sistema armazena registos em buffer no disco local. Buffer local de 10 GiB por nó do plano de controlo. Quando o buffer fica cheio, o sistema elimina as entradas mais antigas. Configure o encaminhamento de registos para uma solução de registo local.
Registo de aplicações através de outro fornecedor Pode usar diferentes fornecedores externos, como Elastic, Splunk, Datadog ou Loki. Nenhum impacto Ilimitado -
Registo do sistema/Kubernetes através de outro fornecedor Pode usar diferentes fornecedores externos, como Elastic, Splunk ou Datadog. Nenhum impacto Ilimitado -
Métricas de aplicações e do Kubernetes escritas no Cloud Monitoring O sistema escreve métricas no Cloud Monitoring. O sistema armazena métricas em buffer no disco local. 24 horas ou 6 GiB de buffer local por nó para métricas do sistema e 1 GiB de buffer local por nó para métricas da aplicação. Quando o buffer fica cheio ou a ligação é interrompida durante 24 horas, o sistema elimina as entradas mais antigas Use uma solução de monitorização local.
Aceder e ler dados de monitorização do Kubernetes e das cargas de trabalho das aplicações Todas as métricas estão disponíveis na consola e através da API Cloud Monitoring. O sistema não atualiza as métricas no Cloud Monitoring durante a desligação. 24 horas ou 6 GiB de buffer local por nó para métricas do sistema e 1 GiB de buffer local por nó para métricas da aplicação. Quando o buffer fica cheio ou a ligação é interrompida durante 24 horas, o sistema elimina as entradas mais antigas Use uma solução de monitorização local.
Regras de alerta e paginação para métricas O Cloud Monitoring suporta alertas. Pode criar alertas para qualquer métrica. O sistema pode enviar alertas através de diferentes canais. O sistema não aciona alertas quando está desligado. O sistema apenas aciona alertas a partir de dados de métricas já enviados para o Cloud Monitoring. Use uma solução de monitorização e alertas local.

Gestão de políticas e configurações

O Config Sync e o Policy Controller permitem-lhe gerir a configuração e as políticas em grande escala em todos os seus clusters. Armazena configurações e políticas num repositório Git, e o sistema sincroniza-as automaticamente com os seus clusters.

Config Sync

O Config Sync usa agentes no cluster para estabelecer ligação diretamente a um repositório Git. Pode gerir as alterações ao URL do repositório ou aos parâmetros de sincronização com a Google Cloud CLI ou as ferramentas kubectl.

Durante a desativação temporária, a sincronização permanece inalterada se os agentes no cluster ainda conseguirem aceder ao repositório Git. No entanto, se alterar os parâmetros de sincronização com a CLI gcloud ou a consola, o cluster não os aplica durante a desassociação. Pode substituí-los temporariamente de forma local através do kubectl. A nova ligação substitui todas as alterações locais.

Controlador de políticas

O Policy Controller permite a aplicação de políticas totalmente programáveis para os seus clusters. Estas políticas funcionam como "guardrails" e impedem alterações que violem os controlos de segurança, operacionais ou de conformidade que definiu.

Ação Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Sincronizar a configuração a partir de um repositório Git Os agentes no cluster estabelecem ligação diretamente ao repositório Git. Pode alterar o URL do repositório ou os parâmetros de sincronização com uma Google Cloud API. A sincronização da configuração permanece inalterada. Se alterar os parâmetros de sincronização com a CLI gcloud ou na consola, o cluster não os aplica durante a desassociação. Pode substituí-los temporariamente de forma local através do kubectl. A nova associação substitui todas as alterações locais. Ilimitado Nunca use a API Fleet para a sincronização de configuração e configure-a apenas através da API Kubernetes.
Aplicação de políticas em pedidos à API Kubernetes O agente no cluster aplica restrições graças à respetiva integração com a API Kubernetes. Faz a gestão das políticas através da API Kubernetes local. A configuração do sistema do Policy Controller é gerida com uma API Google Cloud. A aplicação de políticas permanece inalterada. Continua a gerir as políticas através da API Kubernetes local. O sistema não propaga as alterações à configuração do sistema do Policy Controller usando a API para o cluster, mas pode substituí-las temporariamente a nível local. Google Cloud A nova associação substitui todas as alterações locais. Ilimitado Nunca use a API Fleetpara o Policy Controller e configure-a apenas através da API Kubernetes.
Instalar, configurar ou atualizar o Config Sync através da Google Cloud API Usa a API Google Cloud para gerir a instalação e a atualização de agentes no cluster. Também usa esta API (ou a CLI gcloud ou a consola) para gerir a configuração destes agentes. Os agentes no cluster continuam a funcionar normalmente. Não pode instalar, atualizar nem configurar agentes no cluster através da Google Cloud API. Todas as instalações, atualizações ou configurações pendentes feitas através da API prosseguem após a reconexão. Zero Nunca use a API Fleet para o Policy Controller e configure-a apenas através da API Kubernetes.
Ver o sistema ou o estado de sincronização na consola Pode ver o estado de funcionamento dos agentes no cluster e o estado de sincronização através de uma Google Cloud API ou da consola. As informações de estado na Google Cloud API ou na consola ficam obsoletas. A API apresenta um erro de ligação. Todas as informações permanecem disponíveis por cluster através da API Kubernetes local. Zero Use a CLI nomos ou a API Kubernetes local.

Segurança

Esta secção descreve como as funcionalidades de segurança, incluindo a identidade, a autenticação, a autorização e a gestão de segredos, são afetadas por uma desativação temporária da ligação à Internet. Google Cloud

Identidade, autenticação e autorização

O Distributed Cloud pode ligar-se diretamente ao Cloud Identity para funções de aplicações e utilizadores, para gerir cargas de trabalho através do Connect ou para autenticação de pontos finais através do OIDC. A desassociação do Google Cloud interrompe a associação ao Cloud ID, tornando essas funcionalidades indisponíveis. Para cargas de trabalho que requerem resiliência adicional através de uma desassociação temporária, pode usar o GKE Identity Service para integrar com um fornecedor LDAP ou OIDC (incluindo o ADFS) para configurar a autenticação do utilizador final.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Cloud ID como fornecedor de identidade, através do gateway de ligação Pode aceder aos recursos do Distributed Cloud através do Cloud ID como fornecedor de identidade e estabelecer ligação através do gateway de ligação. A porta de entrada de ligação requer uma ligação a Google Cloud. Não consegue estabelecer ligação aos seus clusters durante a desassociação. Zero Use o serviço de identidade do GKE para federar com outro fornecedor de identidade.
Identidade e autenticação através de um fornecedor de identidade de terceiros Suporta OIDC e LDAP. Primeiro, usa a CLI gcloud para iniciar sessão. Para fornecedores OIDC, pode usar a consola para iniciar sessão. Em seguida, pode autenticar-se normalmente na API do cluster (por exemplo, usando kubectl). Enquanto o fornecedor de identidade permanecer acessível para si e para o cluster, pode continuar a autenticar-se na API do cluster. Não pode iniciar sessão através da consola. Só pode atualizar a configuração OIDC ou LDAP dos seus clusters localmente. Não pode usar a consola. Ilimitado -
Autorização O Distributed Cloud suporta o controlo de acesso baseado em funções (CABF). As funções podem ser atribuídas a utilizadores, grupos ou contas de serviço. O sistema obtém identidades e grupos de utilizadores do fornecedor de identidade. O sistema RBAC é local para o cluster do Kubernetes e a desassociação de Google Cloud não o afeta. No entanto, se depender de identidades provenientes do Cloud ID, estas não estão disponíveis em caso de desligamento. Ilimitado -

Gestão de chaves e segredos

A gestão de segredos e chaves é uma parte importante da sua postura de segurança. O comportamento da nuvem distribuída em caso de des ligação doGoogle Cloud depende do serviço que está a usar para essas funcionalidades.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Gestão de segredos e chaves através do Cloud Key Management Service e do Secret Manager Usa diretamente o Cloud Key Management Service para as suas chaves criptográficas e o Secret Manager para os seus segredos. O Cloud Key Management Service e o Secret Manager não estão disponíveis. Zero Em alternativa, use sistemas locais.
Gestão de segredos e chaves com o Hashicorp Vault e os serviços Google Cloud Configura o Hashicorp Vault para usar o Cloud Storage ou o Spanner para armazenar segredos e o Cloud Key Management Service para gerir chaves. Se o Hashicorp Vault for executado no seu cluster no local e a desassociação também o afetar, o armazenamento de segredos e a gestão de chaves não estão disponíveis durante a desassociação. Zero Em alternativa, use sistemas locais.
Gestão de chaves e segredos através do Hashicorp Vault e de serviços no local Configura o Hashicorp Vault para usar um back-end de armazenamento no local para segredos e um sistema de gestão de chaves no local (como um módulo de segurança de hardware). A desassociação de Google Cloud não tem impacto. Ilimitado -

Redes e serviços de rede

Esta secção aborda as redes e os serviços de rede para clusters no local, incluindo a forma como são afetados por uma desativação temporária da ligação aoGoogle Cloud. Fornece informações sobre o equilíbrio de carga, a malha de serviços na nuvem e outros serviços de rede.

Balanceamento de carga

Para expor os serviços Kubernetes alojados num cluster no local aos utilizadores, tem as seguintes opções:

Estas opções de equilíbrio de carga permanecem operacionais mesmo que estejam desligadas de Google Cloud.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Balanceador de carga agrupado de nível 4 Oferece equilíbrio de carga de L4 totalmente local sem dependência de APIs ou rede.Google Cloud Sem alteração Ilimitado -
Balanceador de carga manual ou integrado Suporta F5 BIG-IP e outros que também estão alojados no local. Sem alteração Ilimitado -

Cloud Service Mesh

Pode usar o Cloud Service Mesh para gerir, observar e proteger as comunicações entre os seus serviços executados num cluster no local. O Distributed Cloud não suporta todas as funcionalidades do Cloud Service Mesh: consulte a lista de funcionalidades suportadas para mais informações.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Implementar ou atualizar políticas (encaminhamento, autorização, segurança, auditoria, etc.) Pode usar a consola, kubectl, asmcli ou istioctl para gerir as políticas do Cloud Service Mesh. Só pode usar o kubectl ou o istioctl para gerir políticas da Cloud Service Mesh. Ilimitado Use kubectl ou istioctl
Autoridade de certificação (AC) Pode usar a AC no cluster ou a autoridade de certificação do Cloud Service Mesh para gerir os certificados usados pelo Cloud Service Mesh. Não existe qualquer impacto se estiver a usar a AC no cluster.
Se estiver a usar a autoridade de certificação do Cloud Service Mesh, os certificados expiram após 24 horas. As novas instâncias de serviço não conseguem obter certificados.		 Ilimitado para a CA no cluster.
Serviço degradado durante 24 horas e sem serviço após 24 horas para a autoridade de certificação do Cloud Service Mesh.		 Use a AC no cluster.
Cloud Monitoring para Cloud Service Mesh Pode usar o Cloud Monitoring para armazenar, explorar e tirar partido das métricas relacionadas com HTTP provenientes do Cloud Service Mesh. As métricas não são armazenadas. Zero Use uma solução de monitorização local compatível, como o Prometheus.
Registo de auditoria do Cloud Service Mesh O Cloud Service Mesh baseia-se nas instalações de registo do Kubernetes local. O comportamento depende da forma como configurou o registo para o seu cluster no local. Depende da forma como configurou o registo para o seu cluster no local. - -
Gateway de entrada Pode definir IPs externos com o Istio Ingress Gateway. Nenhum impacto Ilimitado -
Interface de rede de contentores (CNI) do Istio Pode configurar o Cloud Service Mesh para usar o CNI do Istio em vez de iptables para gerir o tráfego. Nenhum impacto Ilimitado -
Autenticação do utilizador final do Cloud Service Mesh para aplicações Web Pode usar o gateway de entrada do Cloud Service Mesh para integrar com o seu próprio fornecedor de identidade (através do OIDC) para autenticar e autorizar utilizadores finais em aplicações Web que fazem parte da malha. Nenhum impacto Ilimitado -

Outros serviços de rede

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
DNS O servidor DNS do Kubernetes é executado no cluster. O serviço DNS do Kubernetes funciona normalmente, uma vez que é executado no próprio cluster. Ilimitado -
Proxy de saída Pode configurar os seus clusters no local para usar um proxy para ligações de saída. Se o seu proxy for executado no local, o cluster continua a poder usá-lo durante uma desconexão temporária. No entanto, se o proxy perder a ligação a Google Cloud, todos os cenários deste documento continuam a aplicar-se. Ilimitado -

Google Cloud Marketplace

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Implementar e gerir aplicações e serviços a partir do Cloud Marketplace O Cloud Marketplace está disponível na consola e pode usá-lo para descobrir, adquirir e implementar soluções. Não pode usar o Cloud Marketplace. Algumas soluções do Cloud Marketplace podem ter os seus próprios requisitos de conetividade, que não estão documentados aqui. Zero Nenhum

Apoio técnico

Esta secção aborda os cenários que pode ter de percorrer enquanto interage com o Google Cloud apoio técnico ou o seu parceiro de operações para um registo relacionado com os seus clusters do GKE on GDC.

Funcionalidade Comportamento ligado Comportamento de desativação temporária Tolerância máxima de desconexão Solução alternativa para a perda de conetividade
Partilhar uma captura instantânea do cluster com a equipa de apoio técnico Pode criar uma captura instantânea do cluster localmente através dos comandos bmctl check cluster ou gkectl diagnose snapshot. Partilha este instantâneo através do processo de apoio técnico normal. Continua a poder gerar a captura de ecrã, uma vez que é uma operação local. Se tiver perdido o acesso ao Google Ads e às respetivas interfaces Web de apoio técnico, pode telefonar à equipa de apoio técnico, desde que tenha subscrito os planos de apoio técnico Melhorado ou Premium. Google Cloud Ilimitado -
Partilhar dados de registo relevantes com a equipa de apoio técnico Pode recolher registos localmente a partir do cluster e partilhá-los através do processo de apoio técnico normal. Pode continuar a recolher registos do seu cluster. Se tiver perdido o acesso ao Google Ads e às respetivas interfaces Web de apoio técnico, pode telefonar à equipa de apoio técnico, desde que tenha subscrito os planos de apoio técnico Melhorado ou Premium. Google Cloud Ilimitado -