选择安装类型
本页面简要介绍安装 Config Connector 时可以使用的不同安装选项。
您可以通过以下三种方式之一安装 Config Connector：
手动安装 （推荐）： 使用 Kubernetes 运算符 进行手动安装可提供最大的灵活性。您可以在命名空间模式 （推荐用于大多数使用场景）或集群模式 下安装 Config Connector。 手动安装可让您控制安装的 Config Connector 的确切版本以及升级时间。
Config Controller： Config Controller 是一项托管式服务，其中包含 Config Connector。 Config Controller 中的 Config Connector 版本由 Google 管理，并且会定期自动更新，具体取决于版本是否符合条件。 Config Controller 是一个集中式指定控制平面，它 提供更安全的方式来管理 Google Cloud 资源。如需了解详情，请参阅快速入门：使用 Config Controller 管理资源 或 设置 Config Controller。
GKE Config Connector 插件: Config Connector 插件允许您在集群创建期间安装 Config Connector。Config Connector 插件仅适用于 GKE Standard 集群，不适用于 Autopilot。 通过 Config Connector 插件安装的 Config Connector 版本通常会滞后最多 12 个月或更长时间。如需了解详情，请参阅 Config Connector 插件升级。 如果您想降低管理 GKE Standard 集群的运营成本，请考虑使用 Config Controller。
选择安装方法时，需要考虑许多因素。下表列出了一些高级注意事项：
| 安装方法 | 优点 | 缺点 |
|---|---|---|
| 手动安装 | • 允许进行更多自定义，例如在命名空间模式（推荐）或集群模式下安装。 • 灵活的版本更新时间表。 • 可以在同一集群中运行任何自定义工作负载。 |
• 运营成本。 |
| Config Controller | • 无需安装。 • 自动版本升级。 • 包含 Config Sync。 • 由 管理和支持 Google Cloud. |
• 对自定义工作负载的限制。 • 由 Google 管理，与手动安装相比，可能不是绝对最新的可用版本。 |
| GKE Config Connector 插件 | • 显著滞后于最新的 Config Connector 版本。 |
身份验证
如果您想在 GKE 集群上安装 Config Connector，请使用 Workload Identity Federation for GKE。 借助 Workload Identity Federation for GKE，您可以将 Kubernetes ServiceAccount 配置为模拟 Identity and Access Management (IAM) 服务账号来访问 Google Cloud 服务。Config Connector 使用集群中的 Kubernetes ServiceAccount 创建新资源。Config Connector 只能使用您授予 IAM 服务帐号的角色来创建资源。
如果您想在其他 部署选项（例如本地部署或 多云部署选项）上安装 Config Connector，请使用 Cloud Identity 创建账号，然后使用 IAM 创建服务帐号密钥，并将密钥的凭据作为 Secret 导入到集群中。
使用服务账号管理资源
手动安装 Config Connector 时，您可以选择单个集群范围的服务帐号（集群模式 ），也可以选择多个服务账号（每个命名空间一个服务账号，即命名空间模式 ）。对于大多数使用场景，建议采用命名空间模式，因为它提供了更好的权限隔离。如需详细了解如何将 IAM 服务账号与 Config Connector 搭配使用，请参阅使用 IAM 进行访问权限控制。
后续步骤
- 了解如何使用 Config Controller 管理 Google Cloud 资源。
- 了解如何手动安装 Config Connector。
- 了解如何将 Config Connector 作为 GKE 插件安装。