Mit dem GKE-Add-on installieren

Standard

Auf dieser Seite wird beschrieben, wie Sie Config Connector in einem Google Kubernetes Engine-Cluster (GKE) mit dem GKE-Add-on installieren.

Details zu den einzelnen Installationsoptionen mit ihren Vor- und Nachteilen finden Sie unter Installationstyp auswählen.

Hinweis

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

• Aktivieren Sie die Google Kubernetes Engine API.
Google Kubernetes Engine API aktivieren
• Wenn Sie die Google Cloud CLI für diese Aufgabe verwenden möchten, müssen Sie die gcloud CLI installieren und dann initialisieren. Wenn Sie die gcloud CLI bereits installiert haben, rufen Sie die neueste Version mit dem Befehl gcloud components update ab. In früheren gcloud CLI-Versionen werden die Befehle in diesem Dokument möglicherweise nicht unterstützt.
  Hinweis: Legen Sie für vorhandene Installationen der gcloud CLI das compute/region-Attribut fest. Wenn Sie hauptsächlich zonale Cluster verwenden, legen Sie stattdessen compute/zone fest. Wenn Sie einen standardmäßigen Speicherort festlegen, können Sie in der gcloud CLI Fehler wie diesen vermeiden: One of [--zone, --region] must be supplied: Please specify location. Bei bestimmten Befehlen müssen Sie möglicherweise den Speicherort angeben, wenn er sich von dem von Ihnen festgelegten Standard unterscheidet.

• Wählen Sie ein Google Cloud Projekt aus oder erstellen Sie eines , in dem Config Connector installiert werden soll.

• Wenn Sie Config Connector bereits manuell installiert haben, deinstallieren Sie es, bevor Sie das Config Connector-Add-on installieren:

  • Cluster-Modus deinstallieren
  • Namespaced-Modus deinstallieren

Config Connector-Add-ons installieren

Sie wenden das Config Connector-Add-on durch Erstellen eines neuen GKE Clusters oder durch Aktivieren eines vorhandenen Clusters an. Nach der Installation des Config Connector-Add-ons konfigurieren Sie die Config Connector-Installation mit Ihren Google-Dienstkonten und Ihren Namespaces.

Hinweis :Wenn Sie das Config Connector-Add-on aktivieren, erstellt Config Connector einen Namespace mit dem Namen configconnector-operator-system. Nehmen Sie keine Änderungen vor und fügen Sie diesem Namespace keine Ressourcen hinzu.

Voraussetzungen

Das Config Connector-Add-on hat folgende Anforderungen:

• Sie benötigen eine der folgenden GKE-Versionen:

  • 1.15.11-gke.5 und höher
  • 1.16.8-gke.8 und höher
  • 1.17.4-gke.5 und höher

• Sie müssen einen Workload Identity-Pool und Kubernetes Engine Monitoring für die Cluster aktivieren, in denen Sie Config Connector aktivieren.

Einen GKE-Cluster einrichten

Sie können das Config Connector-Add-on für neue oder vorhandene Cluster verwenden.

Neuen Cluster mit aktiviertem Config Connector-Add-on erstellen

Sie können einen GKE-Cluster mit der gcloud CLI oder derGoogle Cloud -Konsole erstellen.

gcloud

Führen Sie den folgenden Befehl aus, um einen Cluster mit der Google Cloud CLI zu erstellen:

gcloud container clusters create CLUSTER_NAME \
    --release-channel CHANNEL \
    --addons ConfigConnector \
    --workload-pool=PROJECT_ID.svc.id.goog \
    --logging=SYSTEM \
    --monitoring=SYSTEM

Ersetzen Sie Folgendes:

• CLUSTER_NAME ist der Name des GKE-Clusters.
• CHANNEL ist ein GKE-Releasekanal, rapid und regular werden unterstützt.
• PROJECT_ID durch Ihre Google Cloud Projekt-ID.

Google Cloud Console

So erstellen Sie einen Cluster mit der Google Cloud Console:

1. Rufen Sie in der Google Cloud Console die Seite Kubernetes-Cluster erstellen auf.

   Zur Seite „Kubernetes-Cluster erstellen“

2. Geben Sie im Abschnitt Clustergrundlagen einen Namen und einen Standort für den Cluster an.

3. Klicken Sie im Navigationsbereich auf Erweiterte Einstellungen.

4. Klicken Sie in der Zeile Workload Identity auf Konfiguration bearbeiten, wählen Sie das Kästchen Workload Identity aktivieren aus und klicken Sie dann auf Speichern.

5. Klicken Sie in der Zeile Config Connector das Kästchen Schnell aktivieren an.

6. Optional: Konfigurieren Sie den Rest des Clusters nach Bedarf.

7. Klicken Sie auf Erstellen.

Nachdem Sie den Cluster erstellt haben, müssen Sie eine Identität erstellen.

Config Connector-Add-on für einen vorhandenen Cluster aktivieren

Sie können das Config Connector-Add-on für einen vorhandenen GKE-Cluster mit gcloud oder der Google Cloud -Konsole aktivieren.

Vorbereitung

Das Aktivieren des Config Connector-Add-ons in einem vorhandenen Cluster hat folgende Voraussetzungen:

• Sie benötigen einen Cluster, der die Anforderungen für das Config Connector-Add-ons erfüllt.

• Richten Sie die Identitätsföderation von Arbeitslasten für GKE in dem Cluster ein, in dem Sie Config Connector installieren möchten.

  Hinweis :Wenn Sie die Identitätsföderation von Arbeitslasten für GKE in einem vorhandenen Cluster aktivieren, wird die Identitätsföderation von Arbeitslasten für GKE nicht automatisch in den vorhandenen Knotenpools des Clusters aktiviert. Wir empfehlen, Workload Identity Federation for GKE in allen Knotenpools Ihres Clusters zu aktivieren, da Config Connector in jedem von ihnen ausgeführt werden kann.

Verwenden Sie das gcloud-Befehlszeilentool, um Workload Identity Federation for GKE für einen Knotenpool zu aktivieren:

gcloud container node-pools update NODE_POOL \
    --workload-metadata=GKE_METADATA \
    --cluster CLUSTER_NAME

Ersetzen Sie Folgendes:

• NODE_POOL durch den Namen Ihres Knotenpools ersetzen
• Ersetzen Sie CLUSTER_NAME durch den Namen Ihres Clusters.

Config Connector-Add-on aktivieren

Sie können das Config Connector-Add-on in einem vorhandenen GKE-Cluster mit der Google Cloud CLI oder der Google Cloud Console aktivieren.

gcloud

So aktivieren Sie das Config Connector-Add-on in einem vorhandenen GKE-Cluster mit der Google Cloud CLI:

gcloud container clusters update CLUSTER_NAME \
    --update-addons ConfigConnector=ENABLED

Ersetzen Sie dabei CLUSTER_NAME durch den Namen Ihres GKE-Clusters.

Google Cloud Console

1. Rufen Sie in der Google Cloud Console das Menü „Google Kubernetes Engine“ auf.

   Google Kubernetes Engine-Menü aufrufen

2. Wählen Sie den Cluster aus, auf dem Sie Config Connector installieren möchten. Die Seite Clusterdetails wird angezeigt.

3. Suchen Sie im Abschnitt Features nach der Zeile mit dem Config Connector und klicken Sie auf Bearbeiten.

4. Klicken Sie auf das Kästchen Config Connector aktivieren und dann auf Änderungen speichern, um den Cluster zu aktualisieren.

Identität erstellen

Config Connector erstellt und verwaltet Google Cloud Ressourcen, indem es sich mit einem IAM-Dienstkonto (Identity and Access Management) authentifiziert und Workload Identity Federation for GKE verwendet, um IAM-Dienstkonten mit Kubernetes-Dienstkonten zu verknüpfen.

Hinweis :Sie müssen diese Schritte nur einmal pro Cluster ausführen.

Führen Sie zum Erstellen der Identität folgende Schritte aus:

1. IAM-Dienstkonto erstellen. Wenn Sie ein vorhandenes Dienstkonto verwenden möchten, können Sie dieses Konto verwenden und diesen Schritt überspringen:

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
   

   Ersetzen Sie SERVICE_ACCOUNT_NAME durch einen Namen für Ihr Dienstkonto.

   Weitere Informationen zum Erstellen von Dienstkonten finden Sie unter Dienstkonten erstellen und verwalten.

2. Weisen Sie dem IAM-Dienstkonto erweiterte Berechtigungen für Ihr Projekt zu:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" \
     --role="roles/editor"
   

   Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

   Hinweis :Durch Zuweisen der Rolle „Bearbeiter“ werden die meisten Config Connector-Funktionen mit Ausnahme von projekt- und organisationsweiten Konfigurationen wie IAM-Änderungen ermöglicht. In einer Produktionsumgebung empfehlen wir, detailliertere Berechtigungen festzulegen. Weitere Informationen zu IAM-Rollen finden Sie unter Informationen zu Rollen.

3. Erstellen Sie eine IAM-Richtlinienbindung zwischen dem IAM-Dienstkonto und dem vordefinierten Kubernetes-Dienstkonto, unter dem Config Connector ausgeführt wird:

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
     --member="serviceAccount:PROJECT_ID.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
     --role="roles/iam.workloadIdentityUser"
   

Config Connector konfigurieren

Hinweis :Wenn Sie das Config Connector-Add-on aktivieren, wird automatisch eine ConfigConnector-CustomResource erstellt, die im Namespace-Modus konfiguriert ist. Das geschieht aus Legacy-Gründen. Sie müssen die folgenden Schritte ausführen, um den ConfigConnector für die Verwendung im Clustermodus zu konfigurieren. Wenn Sie Config Connector stattdessen im Namespace-Modus installieren möchten, lesen Sie den Abschnitt Config Connector im Namespace-Modus installieren.

Um die Installation abzuschließen, erstellen Sie eine Konfigurationsdatei für die CustomResource-ConfigConnector und wenden diese dann mit dem Befehl kubectl apply an. Der Config Connector-Operator installiertGoogle Cloud -Ressourcen-CRDs und Config Connector-Komponenten in Ihrem Cluster.

Führen Sie die folgenden Schritte aus, um den Operator als Clustermodus zu konfigurieren:

1. Kopieren Sie die folgende YAML-Datei in eine Datei mit dem Namen configconnector.yaml:

   # configconnector.yaml
   apiVersion: core.cnrm.cloud.google.com/v1beta1
   kind: ConfigConnector
   metadata:
     # the name is restricted to ensure that there is only one
     # ConfigConnector resource installed in your cluster
     name: configconnector.core.cnrm.cloud.google.com
   spec:
     mode: cluster
     googleServiceAccount: "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com"
     # Setting `stateIntoSpec` to `Absent` is recommended. It means setting `cnrm.cloud.google.com/state-into-spec`
     # annotation to `absent` for all Config Connector resources created in the cluster in the future.
     # It prevents Config Connector from populating unspecified fields into the spec.
     stateIntoSpec: Absent

   Ersetzen Sie Folgendes:
   • SERVICE_ACCOUNT_NAME durch den Namen Ihres Dienstkontos.
   • PROJECT_ID durch Ihre Projekt-ID,
2. Wenden Sie die Konfiguration mit kubectl apply auf Ihren Cluster an:

     kubectl apply -f configconnector.yaml

Speicherort für Ressourcen angeben

Mit Config Connector können Sie Ressourcen nach Projekt, Ordner oder Organisation organisieren. Das ist dieselbe Methode, die Sie auch mit Google Cloudverwenden.

Bevor Sie mit Config Connector Ressourcen erstellen, müssen Sie festlegen, wo die Ressourcen angelegt werden sollen. Um zu ermitteln, wo eine Ressource erstellt werden soll, nutzt Config Connector eine Annotation in der Ressourcenkonfiguration oder in einem vorhandenen Namespace. Weitere Informationen finden Sie unter Ressourcen organisieren.

Wenn Sie keinen für diesen Zweck geeigneten Namespace haben, erstellen Sie einen mit kubectl.

kubectl create namespace NAMESPACE

Ersetzen Sie dabei NAMESPACE durch Ihren Namespace-Namen. Beispiel: config-connector.

Wählen Sie den Tab aus, in dem Config Connector Ressourcen anlegen soll.

Projekt

Führen Sie folgenden Befehl aus, um Ressourcen in einem bestimmten Projekt zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/project-id=PROJECT_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• PROJECT_ID durch Ihre Google Cloud Projekt-ID.

Ordner

Führen Sie folgenden Befehl aus, um Ressourcen in einem bestimmten Ordner zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/folder-id=FOLDER_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• FOLDER_ID durch Ihre Google Cloud -Ordner-ID.

Organisation

Führen Sie folgenden Befehl aus, um Ressourcen in einer bestimmten Organisation zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/organization-id=ORGANIZATION_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• ORGANIZATION_ID durch Ihre Organisations-ID Google Cloud .

Wenn Sie Ihren Namespace mit Annotationen versehen, erstellt Config Connector Ressourcen im entsprechenden Projekt, im entsprechenden Ordner oder in der entsprechenden Organisation. Weitere Informationen zur Verwendung von Kubernetes-Namespaces durch Config Connector finden Sie unter Kubernetes-Namespaces und Google Cloud -Projekte.

Installation prüfen

Config Connector führt alle seine Komponenten in einem Namespace mit dem Namen cnrm-system aus. Mit dem folgenden Befehl können Sie prüfen, ob die Pods bereit sind:

kubectl wait -n cnrm-system \
      --for=condition=Ready pod --all

Wenn Config Connector korrekt installiert ist, sieht die Ausgabe etwa so aus:

pod/cnrm-controller-manager-0 condition met

Hinweis: Es kann mehrere Minuten dauern, bis der Controller-Pod startet.

Config Connector aktualisieren

Upgrades des Config Connector-Add-ons Ihres Clusters werden von Google Cloudverwaltet.

Die Ressourcen in Ihrem Cluster bleiben bei einem Upgrade erhalten.

Lesen Sie, wie Google Cloud Upgrades für das Config Connector-Add-on verwaltet werden, oder springen Sie zu So erhalten Sie die neueste Config Connector-Version.

So verwaltet Google Cloud Config Connector-Add‑on-Upgrades

Die Config Connector-Version, die ein GKE-Cluster erhält, hängt ausschließlich von der Nebenversion des Clusters ab. Beispiel:

GKE-Nebenversion	Config Connector-Version
1.20	1.69.0
1.21	1.69.0
1.22	1.71.0
1.23	1.82.0
1.24	1.89.0

Hinweis :Die obige Tabelle ist nur ein Beispiel und sollte nicht verwendet werden, um zu bestimmen, welche Config Connector-Version Ihr Cluster erhält.

Wenn Versionen infrage kommen, Google Cloud wird die neueste GKE-Nebenversion einer neu veröffentlichten Config Connector-Version zugeordnet. Dies geschieht für alle GKE-Nebenversionen, die neu genug sind, um nicht in den Release-Versionen „Regular“ oder „Stable“ verfügbar zu sein.

Da die Config Connector-Version, die ein Cluster erhält, von der GKE-Nebenversion des Clusters abhängt, gibt es zwei Fälle, in denen das Config Connector-Add-on eines Clusters automatisch von Google Cloudaktualisiert wird:

1. Der Cluster wird auf eine neue GKE-Nebenversion aktualisiert, die einer neueren Config Connector-Version zugeordnet ist.

   Hinweis :Es kann manchmal bis zu einer Woche dauern, bis Config Connector aktualisiert wird, nachdem der GKE-Cluster auf eine neue Nebenversion aktualisiert wurde, wenn die neue Nebenversion einer neueren Config Connector-Version zugeordnet ist.

2. Der Cluster verwendet eine GKE-Nebenversion, die neu genug ist, um nicht in den Release-Versionen „Regular“ oder „Stable“ verfügbar zu sein, undGoogle Cloud ordnet diese GKE-Nebenversion einer neuen Config Connector-Version zu.

Wenn Google Cloud eine GKE-Nebenversion neu zuordnet und vorhandene Cluster auf eine neue Config Connector-Version aktualisiert, wird gesagt, dass für diese GKE-Nebenversion eine neue Config Connector-Version eingeführt wird.

Google Cloud stellt keine neuen Config Connector-Versionen für GKE-Nebenversionen bereit, die alt genug sind, um aus Stabilitätsgründen in den Versionen der Regular- oder Stable-Release-Versionen verfügbar zu sein, außer in Notfallsituationen, in denen ein weitverbreitetes Problem erkannt wurde.

So erhalten Sie die aktuelle Version von Config Connector

Damit Sie die aktuelle Version von Config Connector verwenden, empfehlen wir, Config Connector manuell zu installieren und zu aktualisieren. Bei der manuellen Installation haben Sie die direkte Kontrolle über die Version und können die neuesten Funktionen und Fehlerkorrekturen nutzen, sobald sie verfügbar sind.

Wenn Sie vom Config Connector-Add-on zur manuellen Installation wechseln möchten, folgen Sie dieser Anleitung.

Die über das Config Connector-Add-on installierte Version von Config Connector ist oft bis zu 12 Monate oder länger veraltet. Obwohl Config Controller aktueller als das Add-on ist, kann es im Vergleich zur manuellen Installation immer noch hinter der neuesten Version zurückbleiben.

Config Connector deinstallieren

Warnung :Deinstallieren Sie Config Connector nicht aus einem Config Controller-Cluster. Dies ist eine nicht unterstützte Änderung am Config Controller, da sie zu unerwartetem Verhalten in Ihrem Cluster führen kann.

Führen Sie folgende Schritte aus, um Config Connector zu deinstallieren:

1. Entfernen Sie mit kubectl delete die Config Connector-CRDs und die Controllerkomponenten:

   kubectl delete ConfigConnector configconnector.core.cnrm.cloud.google.com --wait=true
   

2. Deaktivieren Sie das Config Connector-Add-on in Ihrem Cluster mit der gcloud CLI oder der Google Cloud Console:

   gcloud

   Zum Deaktivieren des Config Connector-Add-ons mit gcloud führen Sie folgenden Befehl aus:

   gcloud container clusters update CLUSTER_NAME --update-addons ConfigConnector=DISABLED
   

   Ersetzen Sie dabei CLUSTER_NAME durch den Namen des Clusters, in dem das Config Connector-Add-on installiert ist.

   Cloud Console

   Führen Sie die folgenden Schritte aus, um das Config Connector-Add-on über die Google Cloud Console zu deaktivieren.

   1. Rufen Sie in der Google Cloud Console die Seite „Google Kubernetes Engine-Cluster“ auf und wählen Sie den Cluster aus, den Sie aktualisieren möchten.

      Google Kubernetes Engine-Menü aufrufen

   2. Klicken Sie auf Bearbeiten. Der Bildschirm Cluster bearbeiten wird angezeigt.

   3. Klicken Sie auf Add-ons.

   4. Wählen Sie Config Connector und dann Deaktiviert aus.

   5. Klicken Sie auf Speichern, um Ihren Cluster zu aktualisieren.

Nächste Schritte

• Erste Schritte mit Config Connector.
• Informationen zur Fehlerbehebung bei Config Connector