Container-Webserveranwendung bereitstellen

In dieser Anleitung wird beschrieben, wie Sie eine Containeranwendung in einer Google Distributed Cloud (GDC)-Umgebung mit Air Gap hochladen und in einem freigegebenen Kubernetes-Cluster ausführen. Eine Containerarbeitslast wird in einem Projekt-Namespace in einem freigegebenen Kubernetes-Cluster ausgeführt. Freigegebene Cluster sind logisch von Projekten und voneinander getrennt, um unterschiedliche Fehlerbereiche und Isolationsgarantien zu bieten. Sie müssen jedoch darauf achten, dass Ihr freigegebener Cluster mit einem Projekt verknüpft ist, damit Containerarbeitslasten in einem Projekt verwaltet werden können.

Dieser Workflow richtet sich an Anwendungsentwickler in der Gruppe der Anwendungsoperatoren, die für die Erstellung von Anwendungsarbeitslasten für ihre Organisation verantwortlich sind. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Eines der größten Hindernisse bei der Bereitstellung einer Containeranwendung ist das Übertragen der Binärdatei für die Anwendung in Ihr Rechenzentrum mit Air Gap. Arbeiten Sie mit Ihrem Infrastrukturteam und Ihren Administratoren zusammen, um die Anwendung auf Ihre Workstation zu übertragen oder diese Anleitung direkt auf Ihrem Server für kontinuierliche Integration und kontinuierliche Bereitstellung (CI/CD) zu implementieren.

In dieser Anleitung wird eine Beispiel-Webserveranwendung aus der Google Cloud Artifact Registry verwendet.

Ziele

  • Verwaltete Harbor-Registry erstellen
  • Container-Image in die verwaltete Harbor-Registry übertragen
  • Freigegebenen Kubernetes-Cluster erstellen
  • Beispielcontaineranwendung im Cluster bereitstellen

Kosten

Da GDC für die Ausführung in einem Rechenzentrum mit Air Gap entwickelt wurde, sind Abrechnungsprozesse und -informationen nur auf die GDC-Bereitstellung beschränkt und werden nicht von anderen Google-Produkten verwaltet.

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen.

Mit dem Dashboard „Voraussichtliche Kosten“ können Sie zukünftige SKU-Kosten für Ihre Rechnungen vorhersagen.

Verwenden Sie die Dashboards zur Abrechnungsnutzung, um den Speicher- und Compute-Verbrauch zu verfolgen.

Hinweis

Um die Aufgaben in diesem Dokument auszuführen, müssen Sie die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten.

IAM-Rollen anfordern

Sie benötigen bestimmte Rollen, um die Berechtigungen zu erhalten, die für den Workflow in dieser Anleitung erforderlich sind. Sie müssen Rollen anfordern, die auf Ihr Projekt und Ihre Organisation beschränkt sind.

Organisationsrollen

Wenn Sie einen freigegebenen Kubernetes-Cluster erstellen, löschen, bearbeiten oder ansehen möchten, bitten Sie Ihren IAM-Administrator der Organisation, Ihnen die Rolle Administrator für Nutzercluster (user-cluster-admin) zu gewähren. Diese Rolle ist nicht an einen Namespace gebunden.

Wenn Sie nicht die Berechtigungen zum Erstellen eines freigegebenen Clusters haben, bitten Sie Ihren Plattformadministrator, einen für Sie zu erstellen.

Projektrollen

Bitten Sie Ihren IAM-Administrator des Projekts, Ihnen je nach auszuführender Aufgabe die folgenden Rollen in Ihrem Projekt-Namespace zu gewähren:

  • Namespace-Administrator (namepspace-admin): Projektressourcen erstellen, löschen, bearbeiten und ansehen. Diese Rolle ist erforderlich, um Containerarbeitslasten in Ihrem Projekt bereitzustellen.

  • Administrator für Harbor-Instanzen (harbor-instance-admin): Harbor-Ressourcen, einschließlich Harbor-Instanzen, erstellen, löschen, bearbeiten und ansehen.

  • Betrachter für Harbor-Instanzen (harbor-instance-viewer): Harbor-Instanz ansehen und auswählen.

  • Ersteller von Harbor-Projekten (harbor-project-creator): Harbor-Projekte erstellen und ansehen.

Umgebung vorbereiten

Für diese Anleitung benötigen Sie die folgenden Ressourcen:

  1. Sie benötigen ein Projekt, um Ihre Containerbereitstellungen zu verwalten. Erstellen Sie ein Projekt, falls Sie noch keines haben.

  2. Legen Sie Ihren Projekt-Namespace als Umgebungsvariable fest:

    export NAMESPACE=PROJECT_NAMESPACE

  3. Laden Sie die gdcloud CLI herunter und installieren Sie sie.

  4. Melden Sie sich an beim zonalen Management-API-Server an und generieren Sie die kubeconfig-Datei mit einer Nutzeridentität. Legen Sie den kubeconfig-Pfad als Umgebungsvariable fest:

    export MANAGEMENT_API_SERVER=MANAGEMENT_API_SERVER_KUBECONFIG_PATH

Verwaltete Harbor-Registry erstellen

GDC mit Air Gap bietet Harbor als Dienst an. Das ist ein vollständig verwalteter Dienst, mit dem Sie Container-Images mit Harbor speichern und verwalten können.

Wenn Sie Harbor als Dienst verwenden möchten, müssen Sie zuerst eine Harbor-Registry-Instanz und ein Harbor-Projekt erstellen.

Harbor-Registry-Instanz erstellen

So erstellen Sie eine Harbor-Container-Registry-Instanz:

Console

  1. Wählen Sie im Navigationsmenü im Bereich CI/CD die Option Harbor Container Registry aus.

  2. Wählen Sie die Zone aus, in der Sie Ihre Harbor-Instanz erstellen möchten. Eine Harbor-Instanz ist eine zonale Ressource und muss in jeder Zone manuell erstellt werden, um eine hohe Verfügbarkeit zu gewährleisten.

  3. Klicken Sie auf Instanz erstellen.

  4. Geben Sie den Namen der Instanz ein und akzeptieren Sie die verwalteten Nutzungsbedingungen von Harbor.

  5. Klicken Sie auf Instanz erstellen.

  6. Prüfen Sie, ob Ihre neue Harbor-Instanz im Bereich Harbor-Instanz vorhanden ist.

  7. Klicken Sie auf den externen Link Zu Harbor-Instanz und notieren Sie sich die Instanz-URL. Das Format der Instanz-URL ähnelt beispielsweise harbor-1.org-1.zone1.google.gdc.test. Die Instanz-URL darf das Präfix https:// nicht enthalten.

  8. Legen Sie die Instanz-URL als Variable fest, die Sie später in der Anleitung verwenden können:

    export INSTANCE_URL=INSTANCE_URL

    Ersetzen Sie INSTANCE_URL durch die URL der Harbor Registry-Instanz.

    Beispiel:

    export INSTANCE_URL=harbor-1.org-1.zone1.google.gdc.test

gdcloud

  1. Erstellen Sie die neue Harbor-Container-Registry-Instanz:

    gdcloud harbor instances create INSTANCE_NAME \
    --project=PROJECT \

    Ersetzen Sie Folgendes:

    • INSTANCE_NAME: der Name der Harbor-Instanz.
    • PROJECT: der Name des GDC-Projekts.

  2. Listen Sie die URL der Instanz auf:

    gdcloud harbor instances describe INSTANCE_NAME \
    --project=PROJECT

    Die Ausgabe sieht dann ungefähr so aus:

    # Several lines of code are omitted here.
status:
  url: https://harbor-1.org-1.zone1.google.gdc.test

  3. Legen Sie die Instanz-URL als Variable fest, die Sie später in der Anleitung verwenden können:

    export INSTANCE_URL=INSTANCE_URL

    Ersetzen Sie INSTANCE_URL durch die URL der Harbor Registry-Instanz. Achten Sie darauf, dass die Instanz-URL das Präfix https:// nicht enthält.

    Beispiel:

    export INSTANCE_URL=harbor-1.org-1.zone1.google.gdc.test

Harbor-Projekt in der Registry erstellen

Sie müssen in der Harbor-Registry-Instanz ein Harbor-Projekt erstellen, um Ihre Container-Images zu verwalten:

Console

  1. Klicken Sie auf der Seite Harbor Container Registry auf Harbor-Projekt erstellen.

  2. Geben Sie den Namen des Projekts ein.

  3. Klicken Sie auf Erstellen.

  4. Legen Sie den Namen des Harbor-Projekts als Variable fest, die Sie später in der Anleitung verwenden können:

    export HARBOR_PROJECT=HARBOR_PROJECT

gdcloud

  1. Erstellen Sie das neue Harbor-Projekt:

    gdcloud harbor harbor-projects create HARBOR_PROJECT \
    --project=PROJECT \
    --instance=INSTANCE_NAME

    Ersetzen Sie Folgendes:

    • HARBOR_PROJECT: der Name des zu erstellenden Harbor-Projekts.
    • PROJECT: der Name des GDC-Projekts.
    • INSTANCE_NAME: der Name der Harbor-Instanz.

  2. Legen Sie den Namen des Harbor-Projekts als Variable fest, die Sie später in der Anleitung verwenden können:

    export HARBOR_PROJECT=HARBOR_PROJECT

Docker konfigurieren

So verwenden Sie Docker in Ihrer Harbor-Registry:

  1. Konfigurieren Sie Docker so, dass Harbor als Dienst vertraut wird. Weitere Informationen finden Sie unter Docker so konfigurieren, dass der Harbor-Stammzertifizierungsstelle vertraut wird.

  2. Konfigurieren Sie die Docker-Authentifizierung für Harbor. Weitere Informationen finden Sie unter Docker-Authentifizierung für Harbor-Registry-Instanzen konfigurieren.

Kubernetes-Image-Pull-Secret erstellen

Da Sie ein privates Harbor-Projekt verwenden, müssen Sie ein Kubernetes-Image-Pull-Secret erstellen.

  1. Fügen Sie ein Harbor-Projekt-Roboterkonto hinzu, das als Dienstkonto verwendet werden soll.

    1. Wählen Sie in der Harbor-Konsole Ihr Harbor-Projekt aus.

    2. Klicken Sie auf Roboterkonten.

    3. Wählen Sie Neues Roboterkonto aus.

    4. Geben Sie Ihrem neuen Roboterkonto einen Namen und legen Sie alle zusätzlichen Einstellungen fest.

    5. Klicken Sie auf Hinzufügen.

    6. Der Name des Roboterkontos und das Secret werden auf dem Erfolgsbildschirm angezeigt. Lassen Sie diesen Bildschirm für den nächsten Schritt geöffnet.

    Weitere Informationen finden Sie in der Harbor-Dokumentation unter: https://goharbor.io/docs/2.8.0/working-with-projects/project-configuration/create-robot-accounts/#add-a-robot-account.

  2. Melden Sie sich in einem neuen Terminalfenster mit Ihrem Harbor-Projekt-Roboterkonto und dem Secret-Token bei Docker an:

    docker login ${INSTANCE_URL}

    Geben Sie bei Aufforderung den Namen des Robotprojekts für Nutzername und das Secret-Token für Passwort ein, die im vorherigen Schritt auf dem Erfolgsbildschirm der Harbor-Konsole angegeben wurden.

  3. Legen Sie einen beliebigen Namen für das Image-Pull-Secret fest:

    export SECRET=SECRET

  4. Erstellen Sie das Secret, das für das Image-Pull erforderlich ist:

    kubectl create secret docker-registry ${SECRET}  \
    --from-file=.dockerconfigjson=DOCKER_CONFIG \
    -n ${NAMESPACE}

    Ersetzen Sie DOCKER_CONFIG durch den Pfad zur Datei .docker/config.json.

  5. Prüfen Sie, ob das Secret in Ihrem GDC-Projekt-Namespace vorhanden ist:

    kubectl get secrets -n ${NAMESPACE}

    Die Ausgabe sieht dann ungefähr so aus:

    NAME          TYPE                               DATA     AGE
my-secret     kubernetes.io/dockerconfigjson     1        23s

Container-Image in die verwaltete Harbor-Registry übertragen

In dieser Anleitung laden Sie das nginx-Webserver-Image herunter und übertragen es in die verwaltete Harbor-Registry. Anschließend stellen Sie damit eine Beispiel-Webserveranwendung für nginx in einem freigegebenen Kubernetes-Cluster bereit. Die Webserveranwendung für nginx ist im öffentlichen Docker Hub-Repository verfügbar.

  1. Rufen Sie das nginx-Image über ein externes Netzwerk aus Docker Hub auf Ihre lokale Workstation ab:

    docker pull nginx

  2. Taggen Sie das lokale Image mit dem Repository-Namen:

    docker tag nginx ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25

  3. Übertragen Sie das nginx-Container-Image in Ihre verwaltete Harbor-Registry:

    docker push ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25

Kubernetes-Cluster erstellen

Nachdem Sie das nginx-Container-Image in der verwalteten Harbor-Registry gespeichert haben und darauf zugreifen können, erstellen Sie einen freigegebenen Kubernetes-Cluster, um den nginx-Webserver auszuführen.

Console

  1. Wählen Sie im Navigationsmenü die Option Kubernetes Engine > Cluster aus.

  2. Klicken Sie auf Cluster erstellen.

  3. Geben Sie im Feld Name einen Namen für den Cluster an.

  4. Wählen Sie die Zone aus, in der Sie Ihren Kubernetes-Cluster erstellen möchten. Ein Kubernetes-Cluster ist eine zonale Ressource und muss in jeder Zone manuell erstellt werden, um eine Hochverfügbarkeit zu gewährleisten.

  5. Klicken Sie auf Projekt anhängen und wählen Sie ein Projekt aus, das an Ihren Cluster angehängt werden soll. Klicken Sie dann auf Speichern.

  6. Klicken Sie auf Erstellen.

  7. Warten Sie, bis der Cluster erstellt wurde. Wenn der Cluster verwendet werden kann, wird neben dem Clusternamen der Status READY angezeigt.

API

  1. Erstellen Sie eine benutzerdefinierte Cluster-Ressource und speichern Sie sie als YAML-Datei, z. B. cluster.yaml:

    apiVersion: cluster.gdc.goog/v1
kind: Cluster
metadata:
  name: CLUSTER_NAME
  namespace: platform

    Ersetzen Sie den Wert CLUSTER_NAME durch den Namen des Clusters.

  2. Wenden Sie die benutzerdefinierte Ressource auf Ihre GDC-Instanz an:

    kubectl create -f cluster.yaml --kubeconfig ${MANAGEMENT_API_SERVER}

  3. Hängen Sie über die GDC-Konsole ein Projekt an Ihren Kubernetes-Cluster an. Derzeit können Sie kein Projekt über die API an den Cluster anhängen.

Weitere Informationen zum Erstellen eines freigegebenen Kubernetes-Clusters finden Sie unter Freigegebenen Cluster erstellen. Weitere Informationen zu den verfügbaren Optionen für die Clusterkonfiguration finden Sie unter Kubernetes-Clusterkonfigurationen.

Beispielcontaineranwendung bereitstellen

Sie können jetzt das nginx-Container-Image in Ihrem Kubernetes-Cluster bereitstellen.

Kubernetes stellt Anwendungen als Pod-Ressourcen dar. Dies sind skalierbare Einheiten, die einen oder mehrere Container enthalten. Der Pod ist die kleinste bereitstellbare Einheit in Kubernetes. In der Regel werden Pods als ein Satz von Replikaten bereitgestellt, die skaliert und über den Cluster verteilt werden können. Eine Möglichkeit, um einen Satz von Replikaten bereitzustellen, ist ein Kubernetes-Deployment.

In diesem Abschnitt erstellen Sie ein Kubernetes-Deployment, um die nginx-Containeranwendung in Ihrem Cluster auszuführen. Dieses Deployment hat Replikate oder Pods. Ein Deployment-Pod enthält nur einen Container: das nginx-Container-Image. Sie erstellen auch eine Service-Ressource, die Clients eine stabile Möglichkeit bietet, Anfragen an die Pods Ihres Deployment zu senden.

Stellen Sie den nginx-Webserver in Ihrem Kubernetes-Cluster bereit:

  1. Melden Sie sich an beim Kubernetes-Cluster und generieren Sie die kubeconfig-Datei mit einer Nutzer identität. Legen Sie den kubeconfig-Pfad als Umgebungsvariable fest:

    export KUBECONFIG=CLUSTER_KUBECONFIG_PATH

  2. Erstellen und stellen Sie die benutzerdefinierten Ressourcen Deployment und Service von Kubernetes bereit:

    kubectl --kubeconfig ${KUBECONFIG} -n ${NAMESPACE} \
create -f - <<EOF
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25
        ports:
        - containerPort: 80
      imagePullSecrets:
      - name: ${SECRET}
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-service
spec:
  selector:
    app: nginx
  ports:
    - port: 80
      protocol: TCP
  type: LoadBalancer
EOF

  3. Prüfen Sie, ob die Pods durch das Deployment erstellt wurden:

    kubectl get pods -l app=nginx -n ${NAMESPACE}

    Die Ausgabe sieht dann ungefähr so aus:

    NAME                                READY     STATUS    RESTARTS   AGE
nginx-deployment-1882529037-6p4mt   1/1       Running   0          1h
nginx-deployment-1882529037-p29za   1/1       Running   0          1h
nginx-deployment-1882529037-s0cmt   1/1       Running   0          1h

  4. Erstellen Sie eine Netzwerkrichtlinie, um den gesamten Netzwerkverkehr zum Namespace zuzulassen:

    kubectl --kubeconfig ${KUBECONFIG} -n ${NAMESPACE} \
create -f - <<EOF
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  annotations:
  name: allow-all
spec:
  ingress:
  - from:
    - ipBlock:
        cidr: 0.0.0.0/0
  podSelector: {}
  policyTypes:
  - Ingress
EOF

  5. Exportieren Sie die IP-Adresse für den nginx-Dienst:

      export IP=`kubectl --kubeconfig=${KUBECONFIG} get service nginx-service \
      -n ${NAMESPACE} -o jsonpath='{.status.loadBalancer.ingress[*].ip}'`

  6. Testen Sie die IP-Adresse des nginx-Servers mit curl:

      curl http://$IP

Bereinigen

Entfernen Sie die in dieser Anleitung erstellten Ressourcen, um zu vermeiden, dass Ihrem GDC-Konto dafür Gebühren berechnet werden.

Container-Image löschen

Wenn Sie das Container-Image aus Ihrer GDC-Umgebung mit Air Gap löschen möchten, löschen Sie entweder die Harbor-Instanz, die das Image enthält, oder behalten Sie die Harbor-Instanz bei und löschen Sie das einzelne Container-Image.

So löschen Sie das Container-Image aus der verwalteten Harbor-Registry über die GDC-Konsole:

  1. Wählen Sie im Navigationsmenü im Bereich CI/CD die Option Harbor Container Registry aus.

  2. Klicken Sie auf den externen Link Zu Harbor-Instanz.

  3. Löschen Sie das Container-Image über die Harbor-UI. Weitere Informationen finden Sie unter Harbor-Registry Instanzen löschen.

Containeranwendung löschen

Wenn Sie die bereitgestellte Containeranwendung löschen möchten, löschen Sie entweder das GDC-Projekt , das die Ressourcen enthält, oder behalten Sie das GDC-Projekt bei und löschen Sie die einzelnen Ressourcen.

So löschen Sie die einzelnen Ressourcen:

  1. Löschen Sie das Service-Objekt für Ihre Containeranwendung:

    kubectl delete service nginx-service -n ${NAMESPACE}

  2. Löschen Sie das Deployment-Objekt für Ihre Containeranwendung:

    kubectl delete deployment nginx-deployment -n ${NAMESPACE}

  3. Wenn Sie nur für diese Anleitung einen Kubernetes-Testcluster erstellt haben, löschen Sie ihn:

    kubectl delete clusters.cluster.gdc.goog/USER_CLUSTER_NAME \
    -n platform --kubeconfig ${MANAGEMENT_API_SERVER}

    Dadurch werden die Ressourcen des Kubernetes-Clusters gelöscht, z. B. die Compute-Instanzen, Laufwerke und Netzwerkressourcen:

Nächste Schritte