Terraform を構成する

Google Distributed Cloud（GDC）エアギャップ環境で Terraform を使用するには、Terraform をダウンロードして、Kubernetes リソースを処理するように構成する必要があります。

始める前に

  • HashiCorp が提供するドキュメント（https://developer.hashicorp.com/terraform/install）に沿って、Terraform 1.6.3 以降をワークステーションにダウンロードします。このドキュメントのバックエンド構成では、古い Terraform バージョンでサポートされていない設定を使用しています。

  • 既存の GDC ストレージ バケットがあることを確認します。ストレージ バケットがない場合は、1 つ作成します。

  • オブジェクト ストレージで使用される認証局（CA）証明書をシステムが認識できることを確認します。

状態ファイルを管理する

Terraform の状態ファイルは、デプロイの現在の状態を記録し、Terraform 構成にマッピングするために使用されます。GDC オブジェクト ストレージは S3 を使用して実装されているため、Terraform S3 API を使用して共有状態ファイルと同期できます。これを行うには、リモート状態と同期するように Terraform を構成する必要があります。

  1. ローカルに保存されている Terraform ファイル（main.tf ファイルなど）に次の構成を追加します。

    terraform {
  backend "s3" {
    bucket = "BUCKET_FQN"
    key = "TF_STATE_PATH"
    region = "ZONE"
    endpoints = {
      s3 = "BUCKET_ENDPOINT"
    }
    use_path_style = true
    access_key = "ACCESS_KEY"
    secret_key = "SECRET_KEY"
    skip_credentials_validation = true
    skip_requesting_account_id = true
    skip_metadata_api_check = true
    skip_region_validation = true
    skip_s3_checksum = true
  }
}

    次のように置き換えます。

    • BUCKET_FQN: Bucket カスタム リソースの status.fullyQualifiedName 値。例: aabc2z8-platform-terraform-state

    • TF_STATE_PATH: ストレージ バケットに保存する Terraform 状態ファイルのパス。例: main.tfstate

    • ZONE: Bucket カスタム リソース（status.region）のゾーン。例: zone1。Terraform にはリージョン値が必要ですが、GDC オブジェクト ストレージはそれをチェックしません。

    • BUCKET_ENDPOINT: Bucket カスタム リソースの status.endpoint 値。例: https://objectstorage.org-1.zone1.google.gdch.test

    • ACCESS_KEY: アクセス認証情報を含むシークレットから取得したアクセスキー。バケットのアクセス認証情報を取得するの手順に沿って、アクセスキーを取得します。Secret の値は Base64 でエンコードされます。使用する前にデコードします。

    • SECRET_KEY: アクセス認証情報を含むシークレットから取得した秘密鍵。バケット アクセス認証情報を取得するの手順に沿って、秘密鍵を取得します。Secret の値は Base64 でエンコードされます。使用する前にデコードします。

    GDC オブジェクト ストレージは S3 互換ですが、AWS ではありません。残りの設定では、AWS 以外の S3 ストレージのバックエンドを構成します。

    • use_path_style: GDC オブジェクト ストレージにパス形式のバケット アドレス指定を使用します。

    • skip_credentials_validation と skip_requesting_account_id: Terraform が AWS STS と AWS IAM を呼び出さないようにします。GDC はこれらのサービスを提供しません。

    • skip_metadata_api_check: Terraform が AWS EC2 メタデータ サービスにクエリを実行しないようにします。

    • skip_region_validation: ゾーン名をリージョンとして使用できます。

    • skip_s3_checksum: 状態ファイルのアップロード時に Terraform が SHA-256 チェックサムを要求しないようにします。

  2. 前の手順で指定したストレージ バケットで、新しい状態ファイルの編集を初期化します。

    terraform init

権限を設定

GDC プロジェクトの作成など、Terraform を使用して特定のタスクを実行するために必要な権限に加えて、そのスコープでカスタム リソース定義を表示する権限も必要です。Terraform を使用するために必要な権限を適用します。

  1. crd-viewer クラスタロール リソースを作成します。

    kubectl apply --kubeconfig KUBECONFIG -f - <<EOF
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: crd-viewer
rules:
- apiGroups: ["apiextensions.k8s.io"]
  resources: ["customresourcedefinitions"]
  verbs: ["get", "list", "watch"]
EOF

    KUBECONFIG は、Terraform で管理しているリソースをホストする API サーバーまたはクラスタの kubeconfig ファイルに置き換えます。たとえば、ほとんどのリソースは Management API サーバーで実行されます。コンテナ ワークロードの場合は、Kubernetes クラスタの kubeconfig ファイルを設定します。グローバル リソースを管理している場合は、グローバル API サーバーを設定してください。

  2. 前の手順で定義したクラスタロールをユーザーにバインドします。

    kubectl apply --kubeconfig KUBECONFIG -f - <<EOF
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: crd-viewer-binding
subjects:
- kind: User
  name: USER_EMAIL
roleRef:
  kind: ClusterRole
  name: crd-viewer
  apiGroup: rbac.authorization.k8s.io
EOF

Terraform 権限を設定する API サーバーまたはクラスタごとに、上記の手順を繰り返します。

Terraform プロバイダをインストールして構成する

Kubernetes リソースをプロビジョニングして管理するには、Kubernetes Provider をインストールする必要があります。

  1. モジュール内の Terraform ファイル（main.tf ファイルなど）に、次の required_providers ブロックを挿入します。

    terraform {
  required_providers {
    kubernetes = {
      source = "hashicorp/kubernetes"
      version = ">=2.24.0"
    }
  }
}

  2. Terraform 作業ディレクトリを初期化して、プロバイダをインストールします。

    terraform init