יצירת אשכולות עצמאיים

בדף הזה מוסבר איך ליצור אשכול עצמאי, שהוא אשכול לניהול עצמי שמריץ עומסי עבודה. מקבצים עצמאיים לא מנהלים מקבצים אחרים, ולכן אין צורך להפעיל מקבץ אדמין נפרד בתרחישים שבהם יש מגבלות על המשאבים. בנוסף, יש שני פרופילים להתקנה של אשכולות עצמאיים:

• ברירת מחדל: פרופיל ברירת המחדל כולל דרישות מוגבלות של משאבים.
• ‫Edge: פרופיל ה-Edge דורש הרבה פחות משאבי מערכת, והוא מומלץ למכשירי Edge עם מגבלות משאבים גבוהות.

לפני שיוצרים אשכול עצמאי, כדאי לשקול את האיזון בין צמצום המשאבים לבין האבטחה הכוללת. מכיוון שאשכולות עצמאיים מנהלים את עצמם, הפעלת עומסי עבודה באותו אשכול מגדילה את הסיכון לחשיפת נתונים אדמיניסטרטיביים רגישים, כמו מפתחות SSH.

דרישות מוקדמות

לפני שיוצרים אשכול עצמאי, צריך לוודא את הדברים הבאים:

• הגרסה האחרונה של bmctl מורדת (gs://anthos-baremetal-release/bmctl/1.36.100-gke.144/linux-amd64/bmctl) מ-Cloud Storage.
• תחנת עבודה שמופעלת בה bmctl מחוברת לרשת לכל הצמתים באשכול היעד העצמאי.
• תחנת העבודה שבה פועל bmctl מחוברת לרשת של ה-VIP במישור הבקרה של אשכול היעד העצמאי.
• מפתח ה-SSH שמשמש ליצירת האשכול העצמאי זמין ל-root, או שיש גישת משתמש SUDO בכל הצמתים באשכול העצמאי של היעד.
• חשבון השירות Connect-register מוגדר לשימוש עם Connect.

הפעלת SELinux

אם רוצים להפעיל את SELinux כדי לאבטח את הקונטיינרים, צריך לוודא ש-SELinux מופעל במצב Enforced בכל המכונות המארחות. החל מגרסה 1.9.0 של Google Distributed Cloud ואילך, אפשר להפעיל או להשבית את SELinux לפני או אחרי יצירת אשכול או שדרוג אשכול. ‫SELinux מופעל כברירת מחדל ב-Red Hat Enterprise Linux ‏ (RHEL). אם SELinux מושבת במכונות המארחות שלכם או שאתם לא בטוחים, תוכלו לקרוא את המאמר אבטחת הקונטיינרים באמצעות SELinux כדי להבין איך להפעיל אותו.

‫Google Distributed Cloud תומך ב-SELinux רק במערכות RHEL.

יצירת אשכול עצמאי

אפשר ליצור אשכול עצמאי עם מישור בקרה יחיד באמצעות הפקודה bmctl. הגדרה מסוג זה מצמצמת את צריכת המשאבים, אבל לא מספקת זמינות גבוהה (HA), ובאשכול שנוצר יש נקודת כשל אחת.

אפשר גם ליצור אשכול עצמאי של HA. במצב HA, אם צומת נכשל, צמתים אחרים יחליפו אותו. כדי ליצור אשכול עצמאי של HA, צריך לציין לפחות שלושה צמתים למישור הבקרה.

בדרך כלל אפשר להריץ את הפקודה bmctl בתחנת עבודה נפרדת או באחד מצמתי האשכול העצמאיים. עם זאת, אם אתם יוצרים אשכול עצמאי עם פרופיל קצה מופעל, והגדרתם את המשאבים המינימליים הנדרשים, מומלץ להריץ את bmctl בתחנת עבודה נפרדת.

התחברות אל gcloud

1. מתחברים אל gcloud בתור משתמש:

   gcloud auth application-default login
   

   כדי להשתמש בתכונות של הפעלת API אוטומטית ויצירת חשבון שירות שמתוארות בקטעים הבאים, צריך להיות לכם תפקיד של Project Owner או עורך בפרויקט.

   אפשר גם להוסיף למשתמש את תפקידי ה-IAM הבאים:

   • אדמין בחשבון שירות
   • אדמין של מפתח לחשבון שירות
   • אדמין IAM בפרויקט
   • צפייה בנתוני Compute
   • Service Usage Admin

   לחלופין, אם כבר יש לכם חשבון שירות עם התפקידים האלה, מריצים את הפקודה:

   export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE
   

   מחליפים את JSON_KEY_FILE בנתיב של קובץ מפתח ה-JSON של חשבון השירות.

2. כדי ליצור אשכול, צריך להשיג את Google Cloud מזהה הפרויקט:

   export CLOUD_PROJECT_ID=$(gcloud config get-value project)
   

יצירת קובץ תצורה עצמאי של אשכול

אחרי שמתחברים ל-CLI של gcloud ומגדירים את הפרויקט, אפשר ליצור את קובץ ההגדרות של האשכול באמצעות הפקודה bmctl. בדוגמה הזו, כל חשבונות השירות נוצרים באופן אוטומטי באמצעות הפקודה bmctl create config:

bmctl create config -c STANDALONE_CLUSTER_NAME --enable-apis \
    --create-service-accounts --project-id=$CLOUD_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫STANDALONE_CLUSTER_NAME בשם של האשכול העצמאי שרוצים ליצור.

דוגמה

הפקודה הבאה יוצרת קובץ תצורה לאשכול עצמאי בשם standalone1 שמשויך למזהה הפרויקט my-gcp-project:

bmctl create config -c standalone1 --create-service-accounts --project-id=my-gcp-project

הקובץ נכתב ב-bmctl-workspace/standalone1/standalone1.yaml.

במקום להפעיל ממשקי API וליצור חשבונות שירות באופן אוטומטי, אפשר גם לספק את חשבונות השירות הקיימים שלכם, אם יש לכם את הרשאות ה-IAM המתאימות. כך אפשר לדלג על יצירת חשבון השירות האוטומטית בשלב הקודם בפקודה bmctl:

bmctl create config -c standalone1

עריכת קובץ ההגדרות של האשכול

אחרי שיש לכם קובץ תצורה של אשכול, מבצעים בו את השינויים הבאים:

1. מוסיפים את המפתח הפרטי של SSH כדי לגשת לצמתי האשכול העצמאיים:

   # bmctl configuration variables. Because this section is valid YAML but not a valid Kubernetes
   # resource, this section can only be included when using bmctl to
   # create the initial admin/hybrid cluster. Afterwards, when creating user clusters by directly
   # applying the cluster and node pool resources to the existing cluster, you must remove this
   # section.
   gcrKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-gcr.json
   sshPrivateKeyPath: /path/to/your/ssh_private_key
   gkeConnectAgentServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-connect.json
   gkeConnectRegisterServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-register.json
   cloudOperationsServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-cloud-ops.json
   

2. רישום האשכולות ב-Fleet. מזהה הפרויקט שציינתם בפקודה bmctl create config נוסף אוטומטית לשדה gkeConnect.projectID בקובץ התצורה של האשכול. הפרויקט הזה נקרא פרויקט המארח של ה-Fleet.

   • אם יצרתם את קובץ ההגדרות באמצעות התכונות של הפעלת API אוטומטית ויצירת חשבון שירות, אתם יכולים לדלג על השלב הזה.
   • אם יצרתם את קובץ ההגדרות בלי להשתמש בתכונות של הפעלת API אוטומטית ויצירת חשבון שירות, צריך להפנות למפתחות ה-JSON של חשבון השירות שהורדתם בשדות gkeConnectAgentServiceAccountKeyPath ו-gkeConnectRegisterServiceAccountKeyPath המתאימים בקובץ ההגדרות של האשכול.

3. משנים את ההגדרה כך שסוג האשכול יהיה standalone במקום admin. אם רוצים להפעיל את פרופיל Edge כדי לצמצם את צריכת המשאבים, צריך לציין profile: edge:

   spec:
     # Cluster type. This can be:
     #   1) admin:  to create an admin cluster. This can later be used to create user clusters.
     #   2) user:   to create a user cluster. Requires an existing admin cluster.
     #   3) hybrid: to create a hybrid cluster that runs admin cluster components and user workloads.
     #   4) standalone: to create a cluster that manages itself, runs user workloads, but does not manage other clusters.
     type: standalone
     # Edge profile minimizes the resource consumption of Google Distributed Cloud. It is only available for standalone clusters.
     profile: edge
   

4. (אופציונלי) משנים את ההגדרה כדי לציין מישור בקרה מרובה צמתים עם זמינות גבוהה. כדי להשיג רוב קוורום לזמינות גבוהה, צריך לציין מספר אי-זוגי של צמתים:

     # Control plane configuration
     controlPlane:
       nodePoolSpec:
         nodes:
         # Control plane node pools. Typically, this is either a single machine
         # or 3 machines if using a high availability deployment.
         - address: 10.200.0.4
         - address: 10.200.0.5
         - address: 10.200.0.6
   

   אם יש לכם מספר זוגי של צמתים באופן זמני בזמן שאתם מוסיפים או מסירים צמתים לצורך תחזוקה או החלפה, הפריסה שלכם שומרת על זמינות גבוהה כל עוד יש לכם קוורום.

5. בקובץ ההגדרות של האשכול, ממלאים או עורכים את פרטי הרשת של האשכול:

   • ‫clusterNetwork.pods.cidrBlocks: טווח כתובות IP בסימון בלוק CIDR לשימוש על ידי Pods. הערך ההתחלתי המומלץ, שמוזן מראש בקובץ התצורה של האשכול שנוצר, הוא 192.168.0.0/16.

   • ‫clusterNetwork.services.cidrBlocks: טווח כתובות IP בסימון בלוק CIDR לשימוש על ידי השירות. ערך ההתחלה המומלץ, שממולא מראש בקובץ התצורה של האשכול שנוצר, הוא 10.96.0.0/20.

   • ‫loadBalancer.vips.controlPlaneVIP: כתובת ה-IP הווירטואלית (VIP) של שרת Kubernetes API באשכול.

   • ‫loadBalancer.vips.ingressVIP: כתובת ה-VIP שתשמש ככתובת החיצונית של הפרוקסי של תעבורת הכניסה.

   • ‫loadBalancer.addressPools.addresses:: טווח של עשר כתובות IP לשימוש ככתובות IP חיצוניות לשירותים מסוג LoadBalancer. שימו לב שהטווח הזה כולל את כתובת ה-VIP של הכניסה, שנדרשת על ידי MetalLB. אסור שכתובות IP אחרות יחפפו לטווח הזה.

6. מציינים את צפיפות ה-Pods של צמתי האשכול:

   ....
   # NodeConfig specifies the configuration that applies to all nodes in the cluster.
   nodeConfig:
     # podDensity specifies the pod density configuration.
     podDensity:
       # maxPodsPerNode specifies at most how many pods can be run on a single node.
       maxPodsPerNode: 250
   ....
   

   במקרים של אשכולות עצמאיים, הערכים המותרים ל-maxPodsPerNode הם 32-250 לאשכולות HA ו-64-250 לאשכולות שאינם HA. ערך ברירת המחדל אם לא מציינים ערך הוא 110. אחרי שיוצרים את האשכול, אי אפשר לעדכן את הערך הזה.

   צפיפות ה-Pods מוגבלת גם על ידי משאבי ה-IP הזמינים של האשכול. פרטים נוספים זמינים במאמר בנושא רשתות של Pod.

יצירת אשכול עצמאי עם הגדרות האשכול

משתמשים בפקודה bmctl כדי לפרוס את האשכול העצמאי:

bmctl create cluster -c CLUSTER_NAME

מחליפים את CLUSTER_NAME בשם האשכול שיצרתם בקטע הקודם.

בדוגמה הבאה מוצגת הפקודה ליצירת אשכול בשם standalone1:

bmctl create cluster -c standalone1

דוגמאות להגדרות של אשכול עצמאי

דוגמאות להגדרות של אשכולות עצמאיים מופיעות במאמר Standalone clusters (אשכולות עצמאיים) בדוגמאות להגדרות של אשכולות.