הדרישות של vSphere

‫Google Distributed Cloud פועל במתחם שלכם בסביבת vSphere. במסמך הזה מפורטות הדרישות לסביבת vSphere.

הדף הזה מיועד לאדמינים ולארכיטקטים שמגדירים פתרונות IT וארכיטקטורת מערכות בהתאם לאסטרטגיה של החברה, ויוצרים ומנהלים מדיניות שקשורה להרשאות משתמשים. מידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם בתוכן זמין במאמר תפקידים נפוצים של משתמשים ומשימות ב-GKE. Google Cloud

תאימות גרסאות

הדרישות של vSphere משתנות בהתאם לגרסה של Google Distributed Cloud שבה אתם משתמשים. מידע נוסף זמין במטריצת התאימות של הגרסאות שנתמכות באופן מלא.

גרסאות נתמכות

‫vSphere היא תוכנה לווירטואליזציה של שרתים מבית VMware. ‏vSphere כוללת את ESXi ואת vCenter Server.

‫Google Distributed Cloud תומך בגרסאות הבאות של ESXi ושל vCenter Server

  • ‫7.0 Update 2 ועדכונים מאוחרים יותר של גרסה 7.0
  • עדכונים מגרסה 8.0 ואילך

מומלץ להשתמש בגרסה 8.0, בגרסה 7.0 עדכון 3 או בעדכון מאוחר יותר של גרסה 7.0.

אם רוצים ליצור תמונות מצב של נפח CSI, צריך להשתמש באחת מהגרסאות הבאות:

  • ‫7.0 Update 3 או עדכון מאוחר יותר של גרסה 7.0
  • גרסה 8.0 או עדכון מאוחר יותר של גרסה 8.0

דרישות לגבי רישיונות

צריך אחד מהרישיונות הבאים:

  • רישיון vSphere Enterprise Plus. בנוסף לרישיון הזה, אתם צריכים מינוי תמיכה בתוקף.

  • רישיון vSphere Standard. בנוסף לרישיון הזה, אתם צריכים מינוי תמיכה בתוקף. עם הרישיון הזה, אי אפשר להפעיל קבוצות למניעת זיקה. בנוסף, אי אפשר לציין מאגר משאבים משלכם. חובה להשתמש במאגר ברירת המחדל של המשאבים.

דרישות חומרה

‫Google Distributed Cloud פועל על קבוצה של מארחים פיזיים שמריצים את ה-hypervisor של VMware ESXi. מידע על דרישות החומרה של ESXi זמין במאמר ESXi Hardware Requirements.

בסביבות ייצור, מומלץ מאוד:

  • מפעילים את VMware Distributed Resource Scheduler (DRS).

  • צריכים להיות לפחות ארבעה מארחי ESXi שזמינים למכונות ה-VM באשכול.

  • אם אתם מתכננים לפרוס אשכולות Anthos ב-VMware באשכולות vSphere שונים או במאגרי משאבים שונים באותו מרכז נתונים של vSphere, אתם צריכים להפעיל תעבורת Network File Copy (NFC) בין מארחי ESXi כדי לאפשר שיתוף של תבניות מערכת הפעלה.

  • מגדירים את antiAffinityGroups.enabled לערך true בקובצי התצורה של האשכול.

אם מגדירים את antiAffinityGroups.enabled ל-true, ‏ Google Distributed Cloud יוצר כללי אנטי-אפיניות של DRS לצמתי האשכול, וכתוצאה מכך הם מתפרסים על פני לפחות שלושה מארחי ESXi פיזיים. למרות שכללי ה-DRS מחייבים שצמתי האשכול יתפרסו על פני שלושה מארחי ESXi, אנחנו ממליצים מאוד שיהיו לכם לפחות ארבעה מארחי ESXi זמינים. כך מונעים מצב שבו מאבדים את מישור הבקרה של האשכול. לדוגמה, נניח שיש לכם רק שלושה מארחי ESXi, וצומת מישור הבקרה של אשכול האדמין נמצא במארח ESXi שנכשל. כלל ה-DRS ימנע את ההצבה של צומת מישור הבקרה באחד משני מארחי ה-ESXi שנותרו.

לצורך הערכה והוכחת היתכנות, אפשר להגדיר את antiAffinityGroups.enabled ל-false ולהשתמש רק במארח ESXi אחד. מידע נוסף מופיע במאמר בנושא הגדרת תשתית מינימלית.

הרשאות בחשבון משתמש ב-vCenter

כדי להגדיר סביבת vSphere, אדמין ארגוני יכול להשתמש בחשבון משתמש ב-vCenter עם תפקיד האדמין ב-vCenter Server. לתפקיד הזה מוקצית גישה מלאה לכל האובייקטים ב-vSphere.

אחרי שמגדירים את סביבת vSphere, אדמין של אשכול יכול ליצור אשכולות אדמין ואשכולות משתמשים. לאדמין של האשכול לא צריך להיות את כל ההרשאות שניתנות בתפקיד האדמין של vCenter Server.

כשמנהל אשכול או מפתח יוצרים אשכול, הם מספקים חשבון משתמש ב-vCenter בקובץ תצורה של פרטי הכניסה. מומלץ להקצות לחשבון המשתמש ב-vCenter שמופיע בקובץ ההגדרות של פרטי הכניסה תפקידים בהתאמה אישית עם הרשאות מינימליות שנדרשות ליצירה ולניהול של אשכול.

אדמין בארגון יכול לבחור באחת משתי גישות שונות:

  • ליצור כמה תפקידים עם רמות שונות של הרשאות. לאחר מכן יוצרים הרשאות שמקצות את התפקידים המוגבלים האלה למשתמש או לקבוצה באובייקטים ספציפיים של vSphere.

  • יוצרים תפקיד אחד עם כל ההרשאות הנדרשות. לאחר מכן יוצרים הרשאה גלובלית שמקצה את התפקיד הזה למשתמש או לקבוצה מסוימים בכל האובייקטים בהיררכיות של vSphere.

אנחנו ממליצים על הגישה הראשונה, כי היא מגבילה את הגישה ומגבירה את האבטחה של סביבת vCenter Server. מידע נוסף זמין במאמרים בנושא שימוש בתפקידים להקצאת הרשאות ושיטות מומלצות לשימוש בתפקידים ובהרשאות.

מידע על השימוש בגישה השנייה זמין במאמר בנושא יצירת הרשאה גלובלית אחת.

בטבלה הבאה מוצגים ארבעה תפקידים בהתאמה אישית שאדמין בארגון יכול ליצור. לאחר מכן האדמין יכול להשתמש בתפקידים המותאמים אישית כדי להקצות הרשאות לאובייקטים ספציפיים ב-vSphere:

תפקיד בהתאמה אישיתהרשאותObjectsהאם להעביר את ההגדרה לאובייקטים צאצאים?
ClusterEditor ‫System.Read
System.View
System.Anonymous
Host.Inventory.Modify cluster 		cluster כן
SessionValidator ‫System.Read
‫System.View
‫System.Anonymous
‫Sessions.Validate session
‫Cns.Searchable
‫Profile-driven storage.Profile-driven storage view 		שרת vCenter הבסיסי לא
ReadOnly System.Read
System.View
System.Anonymous 		data center
network 		כן
Anthos הרשאות בתפקיד ב-Anthos datastore
resource pool
VM folder
network 		כן

הרשאות בתפקיד בהתאמה אישית ב-Anthos

יצירה של תפקידים והרשאות בהתאמה אישית

אדמין בארגון יכול להשתמש בכלי govc של שורת הפקודה כדי ליצור תפקידים והרשאות בהתאמה אישית.

למנהל חשבון ארגוני צריך להיות חשבון ב-vCenter Server עם הרשאות מספיקות ליצירת תפקידים והרשאות. לדוגמה, חשבון עם תפקיד אדמין יתאים.

לפני שמריצים את govc, מגדירים כמה משתני סביבה:

  • מגדירים את GOVC_URL לכתובת ה-URL של המופע של vCenter Server.

  • מגדירים את GOVC_USERNAME לשם המשתמש בחשבון vCenter Server של האדמין בארגון.

  • מגדירים את GOVC_PASSWORD לסיסמה של חשבון vCenter Server של האדמין בארגון.

לדוגמה:

export GOVC_URL=vc-01.example
export GOVC_USERNAME=alice@vsphere.local
export GOVC_PASSWORD=8ODQYHo2Yl@

יצירת תפקידים מותאמים אישית

יוצרים את התפקידים בהתאמה אישית ClusterEditor,‏ SessionValidator ו-ReadOnly:

govc role.create ClusterEditor System.Read System.View System.Anonymous Host.Inventory.EditCluster
govc role.create SessionValidator System.Read System.View System.Anonymous Sessions.ValidateSession Cns.Searchable StorageProfile.View
govc role.create ReadOnly System.Read System.View System.Anonymous

יצירת הרשאה שמעניקה את התפקיד ClusterEditor

הרשאה מקבלת צמד (משתמש, תפקיד) ומשייכת אותו לאובייקט. כשמקצים הרשאה לאובייקט, אפשר לציין אם ההרשאה תועבר לאובייקטים צאצאים. ב-govc, מגדירים את הדגל --propagate לערך true או false. ערך ברירת המחדל הוא false.

יוצרים הרשאה שמעניקה למשתמש את התפקיד ClusterEditor באובייקט של אשכול. ההרשאה הזו מועברת לכל אובייקטי הצאצא של אובייקט האשכול:

govc permissions.set -principal ACCOUNT \
 -role ClusterEditor -propagate=true CLUSTER_PATH`

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ACCOUNT: חשבון המשתמש ב-vCenter Server שמקבל את התפקיד

  • ‫CLUSTER_PATH: הנתיב של האשכול בהיררכיית האובייקטים של vSphere

לדוגמה, הפקודה הבאה יוצרת הרשאה שמשייכת את הצמד (bob@vsphere.local, ClusterEditor עם my-dc/host/my-cluster. ההרשאה מועברת לכל אובייקטי הצאצא של my-dc/host/my-cluster:

govc permissions.set -principal bob@vsphere.local \
    -role ClusterEditor -propagate=true my-dc/host/my-cluster

יצירת הרשאות נוספות

בקטע הזה יש דוגמאות ליצירת הרשאות נוספות. מחליפים את נתיבי האובייקטים לדוגמה לפי הצורך בסביבה שלכם.

יוצרים הרשאה שמעניקה את התפקיד SessionValidator לחשבון באובייקט הבסיסי של vCenter Server. ההרשאה הזו לא מועברת לאובייקטים משניים:

govc permissions.set -principal ACCOUNT \
    -role SessionValidator -propagate=false

יוצרים הרשאות שמעניקות לחשבון את התפקיד ReadOnly באובייקט של מרכז נתונים ובאובייקט של רשת. ההרשאות האלה מועברות לאובייקטים צאצאים:

govc permissions.set -principal ACCOUNT \
    -role ReadOnly -propagate=true \
    /my-dc \
    /my-dc/network/my-net

יוצרים הרשאות שמעניקות את תפקיד Anthos לחשבון בארבעה אובייקטים: מאגר נתונים, תיקיית מכונה וירטואלית, מאגר משאבים ורשת. הרשאות האלה מועברות לאובייקטים צאצאים:

govc permissions.set -principal ACCOUNT -role Anthos -propagate=true \
    /my-dc/datastore/my-ds  \
    /my-dc/vm/my-folder \
    /my-dc/host/my-cluster/Resources/my-rp \
    /my-dc/network/my-net

יצירת הרשאה גלובלית אחת

בקטע הזה מוצגת חלופה ליצירה של כמה תפקידים וכמה הרשאות. אנחנו לא ממליצים על הגישה הזו כי היא מעניקה קבוצה גדולה של הרשאות לכל האובייקטים בהיררכיות של vSphere.

אם עדיין לא יצרתם תפקיד בהתאמה אישית ב-Anthos, צריך ליצור אותו עכשיו.

יוצרים הרשאה גלובלית אחת:

govc permissions.set -principal ACCOUNT \
 -role Anthos -propagate=true

מחליפים את מה שכתוב בשדות הבאים:

מחליפים את ACCOUNT בחשבון המשתמש של vCenter Server שמקבל את התפקיד.

לדוגמה, הפקודה הבאה יוצרת הרשאה גלובלית שמעניקה את תפקיד Anthos ל-bob@vsphere.local. ההרשאה מועברת לכל האובייקטים בהיררכיות של vSphere:

govc permissions.set -principal bob@vsphere.local -role Anthos -propagate=true

בעיות מוכרות

ראו Installer fails when creating vSphere datadisk.

המאמרים הבאים

דרישות לגבי יחידת עיבוד מרכזית (CPU), זיכרון RAM ואחסון