הוספת דומיינים לאישור של שרת ה-API

שמות חלופיים של בעלים (SAN) בהתאמה אישית מאפשרים להרחיב את הכיסוי של אישור שרת ה-API לדומיינים, לתת-דומיינים ולכתובות IP נוספים. באשכול של Google Distributed Cloud, שמות ה-SAN שמוגדרים כברירת מחדל כוללים רק את כתובות ה-IP וה-VIP של צומתי מישור הבקרה ואת שמות ה-DNS הרגילים של Kubernetes. אפשר להגדיר SAN בהתאמה אישית באמצעות השדה הניתן לשינוי controlPlane.apiServerCertExtraSANs בקובץ התצורה של האשכול, במהלך יצירת האשכול או בכל שלב לאחר מכן.

הוספת דומיינים במהלך יצירת אשכול

כשמוסיפים עוד שמות SAN בזמן יצירת אשכול, האישור של שרת ה-API של Kubernetes כולל את הדומיינים וכתובות ה-IP הנוספים שצוינו כשהאשכול הופך לזמין.

בדוגמה הבאה מוצג השדה apiServerCertExtraSANs בקובץ תצורה של אשכול:

...
kind: Cluster
metadata:
  name: sample001
  namespace: cluster-sample001
spec:
  type: user
  ...
  controlPlane:
    apiServerCertExtraSANs:
    - "demo-dns.example.com"
    - "sample-dns.com"
    nodePoolSpec:
      nodes:
      - address: 10.200.0.20
  clusterNetwork:
  ...

הוספה או עדכון של דומיינים באשכול קיים

השדה apiServerCertExtraSANs ניתן לשינוי, לכן אפשר להוסיף או לעדכן את השדה בכל שלב באשכולות קיימים. כשמשנים את השדה apiServerCertExtraSANs באשכול, הפעולות הבאות מופעלות:

  • בקרי האשכול של Google Distributed Cloud יוצרים מחדש את האישור של שרת ה-API כך שיכלול את הדומיינים הנוספים ששונו.

  • בקרי האשכול מפעילים מחדש את שרת ה-API כדי לטעון מחדש את האישור החדש.

  • הערכים החדשים של apiServerCertExtraSANs מאומתים על ידי webhook כדי לוודא שהם תואמים למוסכמות של שמות דומיינים ב-RFC 1035.

  • מאגר הצמתים של מישור הבקרה נכנס למצב התאמה.

    Control Plane Node Pool Status:
  Anthos Bare Metal Version:  1.28.0-gke.435
  Anthos Bare Metal Versions:
    1.28.0-gke.435:  3
  Conditions:
    ...
    Last Transition Time:  2023-11-15T18:23:49Z
    Observed Generation:   1
    Reason:                Reconciling
    Status:                True
    Type:                  Reconciling

  • מאגר הצמתים יהיה מוכן אחרי שהשינוי יופץ לשרתי ה-API של Kubernetes בכל צומת במישור הבקרה.

    Control Plane Node Pool Status:
  Anthos Bare Metal Version:  1.28.0-gke.435
  Anthos Bare Metal Versions:
    1.28.0-gke.435:  3
  Conditions:
    . . .
    Last Transition Time:  2023-11-15T18:32:25Z
    Observed Generation:   1
    Reason:                ReconciliationCompleted
    Status:                False
    Type:                  Reconciling

יכול להיות שתהיה השבתה בזמן העדכון של השדה extra SANs של אישור שרת ה-API באשכול פועל:

  • באשכולות בזמינות גבוהה (HA), מכונות של שרת ה-API מופעלות מחדש ברצף. בזמן עדכון האישור עדיין אפשר לבצע פעולות באשכול, כי מאזן העומסים מפיץ את הבקשות לכל שרת API. עם זאת, יכול להיות שתופיע תגובה שמציינת ששרת ה-API נסגר. אם התגובה הזו מופיעה, נסו לשלוח שוב את הבקשה.

  • באשכולות שאינם מסוג HA, יכול להיות שתהיה הפסקה קצרה של כדקה בזמן ששרת API מופעל מחדש כדי לטעון מחדש את האישור החדש.

השינוי מתפשט לכל שרתי ה-API תוך 5 עד 20 דקות, בהתאם למספר הצמתים של מישור הבקרה באשכול ולעומס על האשכול.