Questa pagina spiega le scelte di configurazione e i requisiti per la pianificazione dei cluster da utilizzare con Config Sync.
Per saperne di più sulle best practice generali per la pianificazione dei cluster GKE, consulta la documentazione di GKE per le scelte di configurazione dei cluster.
Scegli una modalità operativa GKE
Config Sync supporta i cluster GKE Autopilot e Standard.
Per scegliere la modalità operativa più adatta, consulta Modalità operative di GKE.
Registra i cluster in un parco risorse
Config Sync richiede che i cluster siano registrati in un parco risorse.
Se prevedi di installare e configurare Config Sync con la Google Cloud console, puoi registrare il cluster contemporaneamente all'installazione di Config Sync.
In caso contrario, devi registrare il cluster in un parco risorse prima di abilitare Config Sync.
Concedi le autorizzazioni richieste
Poiché Config Sync richiede che i cluster siano registrati in un parco risorse, potresti aver bisogno di autorizzazioni aggiuntive durante l'installazione di Config Sync.
Per ottenere le autorizzazioni necessarie per registrare i cluster in un parco risorse, chiedi all'amministratore di concederti il ruolo IAM Amministratore del parco risorse (in precedenza Amministratore di GKE Hub) (roles/gkehub.admin) nel progetto.
Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Requisiti delle risorse con la modalità Autopilot
La modalità GKE Autopilot modifica automaticamente le richieste di risorse per mantenere la stabilità dei workload. Per capire come pianificare queste richieste, consulta la documentazione di GKE per le richieste di risorse Autopilot.
A causa del modo in cui Autopilot modifica le richieste di risorse, Config Sync apporta le seguenti modifiche:
- Modifica i limiti di override delle risorse specificati dall'utente in modo che corrispondano alle richieste.
- Applica gli override solo quando sono presenti una o più richieste di risorse superiori all'output modificato corrispondente dichiarato nell'annotazione oppure quando sono presenti richieste di risorse inferiori all'input corrispondente dichiarato nell'annotazione.
Piattaforme e versioni GKE supportate
Per utilizzare Config Sync, il cluster deve essere in una versione GKE supportata.
Workload Identity Federation for GKE
Workload Identity Federation for GKE è il modo consigliato per connettersi in modo sicuro ai Google Cloud servizi. Workload Identity Federation for GKE è abilitato per impostazione predefinita nei cluster Autopilot.
Se vuoi utilizzare i pacchetti del parco risorse con Config Sync, è necessario Workload Identity Federation for GKE.
Se hai installato Config Sync sui cluster collegati GKE, non puoi utilizzare Active Directory con Workload Identity Federation. Questa limitazione esiste perché Config Sync utilizza il gateway di connessione per connettersi ai cluster collegati GKE e il gateway di connessione non supporta questa funzionalità.
Networking
La sezione seguente elenca alcune delle modifiche che potresti dover apportare al cluster GKE, a seconda delle impostazioni di rete.
Per saperne di più sulle scelte di rete GKE, consulta Panoramica della rete.
Cluster privati
Se utilizzi cluster GKE con nodi privati, devi configurarli in uno dei seguenti modi per assicurarti che Config Sync abbia accesso e possa eseguire l'autenticazione alla tua origine attendibile:
Configura Cloud NAT per consentire il traffico in uscita dai nodi GKE privati. Per maggiori dettagli, consulta Esempio di configurazione GKE setup.
Abilita l'accesso privato Google per connetterti all'insieme di indirizzi IP esterni utilizzati dalle API e dai servizi Google.
Cluster pubblici
Se utilizzi cluster pubblici, ma hai requisiti firewall VPC rigorosi che bloccano qualsiasi traffico non necessario, devi creare regole firewall per consentire il seguente traffico:
- TCP: consenti il traffico in entrata e in uscita sulle porte 53 e 443
- UDP: consenti il traffico in uscita sulla porta 53
Se non includi queste regole, Config Sync non esegue la sincronizzazione correttamente e nomos status segnala il seguente errore:
Error: KNV2004: unable to sync repo Error in the git-sync container
Cloud Source Repositories con autenticazione del account di servizio Compute Engine predefinito
Se utilizzi Config Sync per connetterti a Cloud Source Repositories e Workload Identity Federation for GKE non è abilitato, puoi utilizzare il account di servizio Compute Engine predefinito per l'autenticazione. Devi utilizzare gli ambiti di accesso con ambiti di sola lettura per i nodi nel cluster.
Puoi aggiungere l'ambito di sola lettura per Cloud Source Repositories includendo cloud-source-repos-ro nell'elenco --scopes specificato al momento della creazione del cluster o utilizzando l'ambito cloud-platform al momento della creazione del cluster. Ad esempio:
gcloud container clusters create CLUSTER_NAME --scopes=cloud-platform
Sostituisci CLUSTER_NAME con il nome del cluster.
Non puoi modificare gli ambiti di accesso dopo aver creato un pool di nodi.
Tuttavia, puoi creare un nuovo pool di nodi con l'ambito di accesso corretto utilizzando lo stesso cluster. L'ambito gke-default predefinito non include cloud-source-repos-ro.
Nodi Arm
Config Sync può essere eseguito solo su nodi basati su x86, non su nodi Arm. Tuttavia, se devi eseguire Config Sync su un cluster con più architetture, esegui la seguente azione, a seconda del tipo di cluster:
- GKE su AWS o GKE su Azure: aggiungi un taint ai nodi Arm per evitare la pianificazione dei pod sui nodi Arm senza una tolleranza corrispondente.
- GKE: GKE aggiunge un taint predefinito per garantire che i workload senza la tolleranza corrispondente non vengano pianificati lì. Non è necessaria alcuna azione aggiuntiva.