In Google Kubernetes Engine bereitstellen

In dieser Anleitung wird beschrieben, wie Sie Images aus Artifact Registry abrufen, um sie in Google Kubernetes Engine bereitzustellen. Wenn Sie in selbst gehosteten oder Drittanbieter-Kubernetes Diensten bereitstellen möchten, müssen Sie die Authentifizierung konfigurieren, bevor Sie Google Cloud Images aus Artifact Registry abrufen. Informationen zur Authentifizierung bei Google Cloud Kubernetes Arbeitslasten außerhalb Google Cloudfinden Sie unter Workload Identity-Föderation mit Kubernetes konfigurieren.

Mit Google Kubernetes Engine können Sie Images direkt aus Docker-Repositories abrufen. Einige Versionen bieten eine vorkonfigurierte Unterstützung zum Abrufen von Images aus Artifact Registry-Docker-Repositories.

Voraussetzungen

In diesem Abschnitt werden die Voraussetzungen für die Integration mit GKE beschrieben.

Berechtigungen

GKE verwendet die folgenden Standardeinstellungen, wenn Sie Knotenpools oder Cluster erstellen:

Wenn Sie die Zuweisung der einfachen Rolle „Bearbeiter“ deaktiviert haben, weisen Sie dem Compute Engine-Standarddienstkonto die Rolle „Artifact Registry-Leser“ zu (roles/artifactregistry.reader).

Wenn Sie diese Standardeinstellungen verwenden und dem Compute Engine-Standarddienstkonto die Rolle „Artifact Registry-Leser“ (roles/artifactregistry.reader) zuweisen, kann GKE Images aus Artifact Registry-Repositories im selben Google Cloud Projekt abrufen. Wenn Sie Images von Knoten übertragen, Images zwischen Projekten abrufen oder übertragen, ein vom Nutzer bereitgestelltes Dienstkonto verwenden oder andere Anforderungen haben, die von den Standardeinstellungen nicht unterstützt werden, finden Sie in der Dokumentation zur Zugriffssteuerung Informationen zum Konfigurieren des Zugriffs.

Wenn Fehler aufgrund verweigerter Berechtigungen auftreten, lesen Sie den Abschnitt 4xx-Fehler.

GKE-Version

In der folgenden Tabelle sind die erforderlichen Mindestversionen für GKE aufgeführt, um Cluster zu erstellen, die Standardberechtigungen zum Herunterladen von Containern aus Docker-Repositories im selben Projekt haben.

Version Mindestens erforderlicher Patch
1,14 1.14.10-gke.22
1,15 1.15.9-gke.8

Wenn Ihre GKE-Version älter als die Mindestversion ist, müssen Sie Kubernetes-ImagePullSecrets konfigurieren, damit GKE Images abrufen kann.

Wenn sich GKE in einem anderen Projekt als Artifact Registry befindet, gewähren Sie dem Dienstkonto, das von Ihrem GKE-Knoten verwendet wird, Artifact Registry-Berechtigungen. Standardmäßig verwenden Knoten das Compute Engine-Standarddienstkonto.

Image ausführen

Mit dem folgenden Befehl führen Sie ein Artifact Registry-Image in einem Google Kubernetes Engine-Cluster aus:

kubectl run [NAME] --image=LOCATION-docker.pkg.dev/PROJECT-ID/REPOSITORY/IMAGE:TAG

Dabei gilt:

  • LOCATION ist der regionale oder multiregionale Standort des Repositorys.
  • PROJECT ist Ihre Google Cloud console Projekt-ID. Wenn die Projekt-ID einen Doppelpunkt (:) enthält, finden Sie weitere Informationen unter Auf Domains beschränkte Projekte.
  • REPOSITORY ist der Name des Repositorys, in dem das Image gespeichert ist.
  • IMAGE ist der Name des Images im Repository.
  • TAG ist das Tag für die Image-Version, die Sie abrufen möchten.

Weitere Informationen zu Kubernetes-Befehlen finden Sie in der Übersicht zu kubectl. Overview of kubectl.

Fehlerbehebung bei Knoten-Images von Containerd

Ab GKE-Knotenversion 1.19 ist das Standardknoten-Image für Linux-Knoten die Variante von Container-Optimized OS mit containerd (cos_containerd) statt der Variante von Container-Optimized OS mit Docker (cos).

Die Docker-Binärdatei ist auf Linux-Knoten verfügbar, die containerd als Laufzeit verwenden. Wir raten aber davon ab, sie zu verwenden. Docker verwaltet die Container nicht, die Kubernetes auf containerd-Knoten ausführt. Daher können Sie Docker nicht verwenden, um ausgeführte Kubernetes-Container mit Docker-Befehlen oder der Docker API aufzurufen oder mit ihnen zu interagieren.

Zum Debugging und zur Problembehebung auf Linux-Knoten können Sie mithilfe des speziell für Kubernetes-Containerlaufzeiten erstellten portablen Befehlszeilentools mit containerd interagieren: crictl. crictl unterstützt allgemeine Funktionen, mit denen Sie Container und Images aufrufen, Logs lesen und Befehle in den Containern ausführen können.

Weitere Informationen finden Sie im crictl-Nutzerhandbuch und in der GKE-Dokumentation zu containerd.

Bei Windows Server-Knoten wird der Containerd-Daemon als Windows-Dienst mit dem Namen containerd ausgeführt. Logs sind im folgenden Logverzeichnis verfügbar: C:\etc\kubernetes\logs\containerd.log und werden im Log-Explorer unter LOG NAME: "container-runtime" angezeigt.

Aus einem öffentlichen Artifact Registry-Repository abrufen

Nachdem Sie ein Image in einem GKE-Cluster mit containerd-Knoten bereitgestellt haben, können Sie über SSH eine Verbindung zu einer VM-Instanz herstellen und crictl-Befehle zur Fehlerbehebung ausführen.

Für öffentliche Artifact Registry-Repositories ist keine Authentifizierung erforderlich. crictl kann auch verwendet werden, um Images in privaten Artifact Registry-Repositories abzurufen.

Console

  1. Rufen Sie in der Google Cloud console die Seite VM-Instanzen auf.

    Zu Seite „VM-Instanzen“

  2. Klicken Sie in der Liste der virtuellen Maschineninstanzen in der Zeile der Instanz, zu der Sie eine Verbindung herstellen möchten, auf den Pfeil neben SSH.

    SSH-Button neben dem Instanznamen.

  3. Wählen Sie in den Drop-down-Optionen „In Browserfenster öffnen“ oder die gewünschte Verbindungsmethode aus.

  4. Google Cloud console öffnet ein neues Terminalfenster. Verwenden Sie crictl, um ein Image aus Artifact Registry abzurufen:

    crictl pull IMAGE_LOCATION:TAG

    Die Ausgabe sieht so aus:

    Image is up to date for sha256:0f25067aa9c180176967b4b50ed49eed096d43fa8c17be9a5fa9bff05933bee5

    Wenn Sie ein Image aus einem privaten Artifact Registry-Repository abrufen, müssen Sie sich beim Repository authentifizieren. Sie können ein Zugriffstoken verwenden, um Ihre Anmeldedaten anzugeben.

gcloud

  1. Prüfen Sie, ob Sie die neueste Version des Google Cloud CLI haben.

    gcloud components update

  2. Stellen Sie eine Verbindung zur VM her.

    gcloud compute ssh --project=PROJECT_ID \
 --zone=ZONE \
 VM_NAME

    Dabei gilt:

    • PROJECT_ID: Die ID des Projekts, das die VM enthält
    • ZONE: Der Name der Zone, in der sich die VM befindet
    • VM_NAME: Der Name der VM

    Wenn Sie Standardeigenschaften für das Google Cloud CLI festgelegt haben, können Sie die Flags --project und --zone bei diesem Befehl weglassen. Beispiel:

    gcloud compute ssh VM_NAME

  3. Wenn Sie noch keinen SSH-Schlüssel erstellt haben, wird mit SSH-Keygen einer für Sie generiert. Geben Sie eine Passphrase ein oder lassen Sie das Feld leer, wenn Sie dazu aufgefordert werden.

  4. Verwenden Sie crictl, um ein Image aus Artifact Registry abzurufen:

    crictl pull IMAGE_LOCATION:TAG

  5. Die Ausgabe sieht so aus:

    Image is up to date for sha256:0f25067aa9c180176967b4b50ed49eed096d43fa8c17be9a5fa9bff05933bee5

    Wenn Sie ein Image aus einem privaten Artifact Registry-Repository abrufen, müssen Sie sich beim Repository authentifizieren. Sie können ein Zugriffstoken verwenden, um Ihre Anmeldedaten anzugeben.

Aus einem privaten Artifact Registry-Repository abrufen

Console

  1. Rufen Sie in der Google Cloud console die Seite VM-Instanzen auf.

    Zu Seite „VM-Instanzen“

  2. Klicken Sie in der Liste der virtuellen Maschineninstanzen in der Zeile der Instanz, zu der Sie eine Verbindung herstellen möchten, auf den Pfeil neben SSH.

    SSH-Button neben dem Instanznamen.

  3. Wählen Sie in den Drop-down-Optionen „In Browserfenster öffnen“ aus.

  4. Google Cloud console öffnet ein neues Terminalfenster. Generieren Sie mit curl ein Zugriffstoken für das Compute Engine-Dienstkonto.

    curl -s "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google"

    Die Ausgabe sieht so aus:

    "access_token":"ya29.c.KpkBCQgdwv6LrZ2tjrCpG6snWwPMX29LzMeUmAV_Hq_XaxUurfXcCfGZfASGh_KbdmUYTvkuV3sh-WaSBplEskdP6Tc
HDsTv4B9hMyvoL4M9HrzKHuKTa1ZGj_3iQ1lwq_dAMxAPGjxEVKexatwN2KP0EAWyb6R55Cuu8ItgLf9f4pm9lC5zH4Qo0fkxPUsnCGRBe4AYxEpN6T
sh","expires_in":3526,"token_type":"Bearer"}

  5. Kopieren Sie den Wert von access_token aus der zurückgegebenen Ausgabe ohne die Anführungszeichen.

  6. Rufen Sie das Image mit crictl pull --creds und dem im vorherigen Schritt kopierten Wert access_token ab.

    crictl pull --creds "oauth2accesstoken:ACCESS_TOKEN" IMAGE_LOCATION:TAG

    Die Ausgabe sieht so aus:

    Image is up to date for sha256:0f25067aa9c180176967b4b50ed49eed096d43fa8c17be9a5fa9bff05933bee5

gcloud

  1. Prüfen Sie, ob Sie die neueste Version des Google Cloud CLI haben.

    gcloud components update

  2. Stellen Sie eine Verbindung zur VM her.

    gcloud compute ssh --project=PROJECT_ID \
 --zone=ZONE \
 VM_NAME

    Ersetzen Sie die folgenden Variablen:

    • PROJECT_ID: Die ID des Projekts, das die VM enthält
    • ZONE: Der Name der Zone, in der sich die VM befindet
    • VM_NAME: Der Name der VM

    Wenn Sie Standardeigenschaften für das Google Cloud CLI festgelegt haben, können Sie die Flags --project und --zone bei diesem Befehl weglassen. Beispiel:

    gcloud compute ssh VM_NAME

  3. Wenn Sie noch keinen SSH-Schlüssel erstellt haben, wird mit SSH-Keygen einer für Sie generiert. Geben Sie eine Passphrase ein oder lassen Sie das Feld leer, wenn Sie dazu aufgefordert werden.

  4. Generieren Sie mit curl ein Zugriffstoken für das Compute Engine-Dienstkonto.

    curl -s "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google"

    Die Ausgabe sieht so aus:

    "access_token":"ya29.c.KpkBCQgdwv6LrZ2tjrCpG6snWwPMX29LzMeUmAV_Hq_XaxUurfXcCfGZfASGh_KbdmUYTvkuV3sh-WaSBplEskdP6Tc
HDsTv4B9hMyvoL4M9HrzKHuKTa1ZGj_3iQ1lwq_dAMxAPGjxEVKexatwN2KP0EAWyb6R55Cuu8ItgLf9f4pm9lC5zH4Qo0fkxPUsnCGRBe4AYxEpN6T
sh","expires_in":3526,"token_type":"Bearer"}

  5. Kopieren Sie den Wert von access_token aus der zurückgegebenen Ausgabe ohne die Anführungszeichen.

  6. Rufen Sie das Image mit crictl pull --creds und dem im vorherigen Schritt kopierten Wert access_token ab.

    crictl pull --creds "oauth2accesstoken:ACCESS_TOKEN" IMAGE_LOCATION:TAG

    Die Ausgabe sieht so aus:

    Image is up to date for sha256:0f25067aa9c180176967b4b50ed49eed096d43fa8c17be9a5fa9bff05933bee5

Mit crictl können Entwickler ihre Laufzeit debuggen, ohne Kubernetes-Komponenten einrichten zu müssen. Eine vollständige Liste der Befehle finden Sie in der crictl Dokumentation und in der Kubernetes-Dokumentation zum Debugging.