יצירת אשכול אזורי

רגילה

בדף הזה מוסבר איך ליצור אשכול אזורי רגיל עם התכונות שמופעלות כברירת מחדל ב-Google Kubernetes Engine ‏ (GKE). באשכולות של תחום מוגדר יש מופע אחד של רמת הבקרה בתחום אחד. בהתאם לדרישות הזמינות שלכם, אתם יכולים לבחור לפרוס את הצמתים של האשכול האזורי באזור אחד או בכמה אזורים.

שיטה מומלצת: כדי להפעיל את עומסי העבודה של הייצור, מומלץ להשתמש באשכולות אזוריים, כי הם מציעים זמינות גבוהה יותר מאשר אשכולות לפי אזור. באשכול אזורי, מישור הבקרה משוכפל בכמה אזורים באזור.

זהירות: אחרי שיוצרים אשכול, אי אפשר לשנות אותו מאזורי לאזורי או מאזורי לאזורי. מידע על סוגי הזמינות השונים של אשכולות זמין במאמר זמינות של אשכולות.

הדף הזה מיועד לאופרטורים, למומחי Cloud Architect ולמפתחים שצריכים ליצור ולהגדיר אשכולות, ולפרוס עומסי עבודה ב-GKE. מידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם ב Google Cloud תוכן זמין במאמר תפקידים נפוצים של משתמשי GKE ומשימות.

לפני שקוראים את הדף הזה, חשוב לוודא שמכירים את האפשרויות להגדרת אשכול.

לפני שמתחילים

לפני שמתחילים, חשוב לוודא שביצעתם את הפעולות הבאות:

• מפעילים את ממשק Google Kubernetes Engine API.
הפעלת Google Kubernetes Engine API
• כדי להשתמש ב-CLI של Google Cloud למשימה הזו, צריך להתקין ואז להפעיל את gcloud CLI. אם התקנתם בעבר את ה-CLI של gcloud, מריצים את הפקודה gcloud components update כדי לקבל את הגרסה העדכנית. יכול להיות שגרסאות קודמות של ה-CLI של gcloud לא יתמכו בהרצת הפקודות שמופיעות במסמך הזה.
  הערה: אם כבר התקנתם את ה-CLI של gcloud, הקפידו להגדיר את compute/region המאפיין. אם אתם משתמשים בעיקר באשכולות אזוריים, עליכם להגדיר את compute/zone במקום זאת. אם מגדירים מיקום ברירת מחדל, אפשר להימנע משגיאות ב-CLI של gcloud כמו השגיאה הבאה: One of [--zone, --region] must be supplied: Please specify location. יכול להיות שתצטרכו לציין את המיקום בפקודות מסוימות אם המיקום של האשכול שונה מברירת המחדל שהגדרתם.

• מוודאים שיש לכם את ההרשאות המתאימות ליצירת אשכולות. לפחות, צריך להיות לכם תפקיד אדמין של אשכול Kubernetes Engine.
• אם רוצים לרשום את האשכול החדש לצי, צריך לוודא שיש לכם את ממשקי ה-API וההרשאות הנדרשים.

חשוב: באשכולות חדשים, ההגדרה cos-metrics-enabled מופעלת כברירת מחדל. ההגדרה הזו מאפשרת לאסוף יומני קריסה של ליבת המערכת באמצעות dmesg. הדוח לא כולל יומני משתמשים, ולא מתבצעת בו איסוף מכוון של פרטים אישיים מזהים (PII). הוא יכול לכלול יומני משתמשים אם אתם כותבים יומנים ממכולה עם הרשאות ומבצעים bind mount של ‎ /dev/kmsg. בנוסף, פרטים אישיים מזהים מסוימים, כמו שם התהליך, עשויים להופיע בדוח אם הגרעין כולל אותם בהודעות השגיאה, כמו OOM kills.

זהירות: אם הגדרתם את האילוץ של מדיניות הארגון constraints/compute.vmExternalIpAccess לערך Deny All או להגבלת כתובות IP חיצוניות למופעי מכונות וירטואליות ספציפיים ברמת הארגון, התיקייה או הפרויקט שבהם אתם מנסים ליצור אשכול GKE ציבורי, פעולות יצירת האשכול ייכשלו. פרטים נוספים זמינים במידע לפתרון בעיות.

הגדרה של חשבונות שירות ב-IAM ל-GKE

ב-GKE נעשה שימוש בחשבונות שירות של IAM שמצורפים לצמתים כדי להריץ משימות מערכת כמו רישום ביומן ומעקב. לפחות, חשבונות השירות של הצמתים צריכים לקבל את התפקיד Kubernetes Engine Default Node Service Account ‏(roles/container.defaultNodeServiceAccount) בפרויקט. כברירת מחדל, GKE משתמש בחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine, שנוצר באופן אוטומטי בפרויקט, כחשבון השירות של הצומת.

שיטה מומלצת: במקום להשתמש בחשבון השירות שמוגדר כברירת מחדל של Compute Engine, כדאי ליצור חשבון שירות בהתאמה אישית לשימוש הצמתים, ולהעניק לו רק את ההרשאות ש-GKE צריך כדי להריץ משימות מערכת. מידע נוסף זמין במאמר הגדרת חשבון שירות של צומת בהתאמה אישית.

כדי להעניק את התפקיד roles/container.defaultNodeServiceAccount לחשבון השירות שמוגדר כברירת המחדל של Compute Engine, מבצעים את השלבים הבאים:

המסוף

1. נכנסים לדף Welcome:

   מעבר לדף Welcome

2. בשדה מספר הפרויקט, לוחצים על העתקה ללוח.
3. נכנסים לדף IAM:

   כניסה לדף IAM

4. לוחצים על Grant access.
5. בשדה New principals, מציינים את הערך הבא:
   ‫

   [e-mail]

   מחליפים את PROJECT_NUMBER במספר הפרויקט שהעתקתם.
6. בתפריט Select a role בוחרים בתפקיד Kubernetes Engine Default Node Service Account.
7. לוחצים על Save.

gcloud

1. איך מוצאים את Google Cloud מספר הפרויקט:

   gcloud projects describe PROJECT_ID \
       --format="value(projectNumber)"

   מחליפים את PROJECT_ID במזהה הפרויקט.

   הפלט אמור להיראות כך:

   12345678901
   

2. מקצים את התפקיד roles/container.defaultNodeServiceAccount לחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:[e-mail]" \
       --role="roles/container.defaultNodeServiceAccount"

   מחליפים את PROJECT_NUMBER במספר הפרויקט מהשלב הקודם.

יצירת אשכול אזורי

המידע המינימלי שצריך לציין כשיוצרים אשכול חדש של אזורים הוא שם, פרויקט (בדרך כלל הפרויקט הנוכחי) ואזור (בדרך כלל מיקום ברירת המחדל של כלי שורת הפקודה), באמצעות הגדרות ברירת המחדל לכל שאר הערכים. עם זאת, יש עוד הגדרות אפשריות, שרק חלק מהן מתוארות בקטע הזה, וחלק מהן אי אפשר לשנות אחרי יצירת האשכול. חשוב להבין אילו הגדרות אי אפשר לשנות אחרי שיוצרים אשכול, ולבחור את ההגדרה הנכונה כשיוצרים אשכול כדי שלא תצטרכו ליצור אותו מחדש.

סקירה כללית של אפשרויות ההגדרה של אשכולות מופיעה במאמר מידע על אפשרויות ההגדרה של אשכולות, ורשימה מלאה של האפשרויות האפשריות מופיעה במדריכי העיון של gcloud container clusters create ו-Terraform google_container_cluster.

אפשר ליצור אשכול אזורי באמצעות gcloud CLI,‏Google Cloud המסוף או Terraform.

אם אתם מפתחים אפליקציות ל-GKE באמצעות Cloud Code ל-VS Code, כדאי לנסות ליצור אשכולות באמצעות Cloud Code.

gcloud

כדי ליצור אשכול אזורי באמצעות CLI של gcloud, משתמשים באחת מהפקודות הבאות.

הערה: אם יוצרים אשכול עם אזור זמינות יחיד, אפשר להשמיט את הדגל --node-locations מהפקודה.

מחליפים את מה שכתוב בשדות הבאים:

• ‫CLUSTER_NAME: השם של האשכול החדש.
• ‫CHANNEL: סוג ערוץ ההפצה, שיכול להיות אחד מאלה: rapid, ‏regular, ‏stable או None (הוצא משימוש). כברירת מחדל, האשכול רשום בערוץ ההפצה regular.
• ‫CONTROL_PLANE_LOCATION: האזור של Compute Engine במישור הבקרה של האשכול.
• ‫VERSION: הגרסה שרוצים לציין עבור האשכול.
• ‫COMPUTE_ZONE,COMPUTE_ZONE1,[...]: האזורים שבהם נוצרים הצמתים. אפשר לציין כמה אזורים שרוצים עבור האשכול. כל האזורים צריכים להיות באותו אזור שבו נמצא מישור הבקרה של האשכול, שמוגדר באמצעות הדגל --location. במקרה של אשכולות אזוריים, --node-locations צריך להכיל את האזור הראשי של האשכול.

מומלץ מאוד לציין חשבון שירות IAM עם הרשאות מינימליות שהצמתים יכולים להשתמש בו במקום בחשבון השירות שמוגדר כברירת מחדל של Compute Engine. במאמר שימוש בחשבון שירות עם הרשאות מינימליות מוסבר איך ליצור חשבון שירות עם הרשאות מינימליות.

כדי לציין חשבון שירות מותאם אישית ב-CLI של gcloud, מוסיפים את הדגל הבא לפקודה:

--service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

מחליפים את SERVICE_ACCOUNT_NAME בשם של חשבון השירות עם ההרשאות המינימליות.

שימוש בערוץ הפצה ספציפי:

כדי ליצור אשכול חדש באמצעות ערוץ הפצה ספציפי, מריצים את הפקודה הבאה:

gcloud container clusters create CLUSTER_NAME \
    --release-channel CHANNEL \
    --location CONTROL_PLANE_LOCATION \
    --node-locations COMPUTE_ZONE,COMPUTE_ZONE1

שימוש בגרסה ספציפית:

כדי ליצור אשכול חדש באמצעות גרסה ספציפית של אשכול, מריצים את הפקודה הבאה:

‫

gcloud container clusters create CLUSTER_NAME \
    --cluster-version VERSION \
    --location CONTROL_PLANE_LOCATION \
    --node-locations COMPUTE_ZONE,COMPUTE_ZONE1

הערה: אם מציינים גרסת אשכול, האשכול משתמש בגרסה הספציפית הזו ונרשם לערוץ ההפצה המתקדם ביותר שבו הגרסה הזו זמינה.

דוגמה

הפקודה הבאה יוצרת אשכול רב-אזורי בשם example-cluster, כאשר מישור הבקרה של האשכול ממוקם באזור us-central-a, ויש שלושה מיקומי צמתים. האשכול רשום בregularערוץ הפצה.

אם לא מציינים את הדגל --num-nodes, מספר הצמתים שנוצרים בכל אזור על ידי האשכול הוא שלוש כברירת מחדל. מכיוון שצוינו שלושה אזורים, הפקודה הזו יוצרת אשכול עם תשעה צמתים, שלושה צמתים בכל אחד מהאזורים us-central1-a, us-central1-b ו-us-central1-c.

gcloud container clusters create example-cluster \
    --location us-central1-a \
    --node-locations us-central1-a,us-central1-b,us-central1-c

המסוף

כדי ליצור אשכול אזורי באמצעות מסוף Google Cloud , מבצעים את המשימות הבאות:

1. נכנסים לדף Create a Kubernetes cluster במסוף Google Cloud .

   מעבר אל יצירת אשכול Kubernetes

2. בקטע Cluster basics (יסודות האשכול), מבצעים את הפעולות הבאות:

   1. מזינים את השם של האשכול.
   2. בשדה Location type, בוחרים באפשרות Zonal ואז בוחרים את האזור של האשכול.
   3. אם יוצרים אשכול רב-אזורי, מסמנים את התיבה Specify default node locations (ציון מיקומי צמתים שמוגדרים כברירת מחדל) ואז בוחרים אזורים נוספים שבהם רוצים שהמאגרי הצמתים יפעלו.

   4. בוחרים ערוץ הפצה. אפשר גם לבחור באפשרות ללא ערוץ, אבל הגדרת האפשרות הזו הוצאה משימוש ותוסר. מידע נוסף זמין במאמר בנושא אשכולות שלא רשומים לערוץ הפצה.

   5. אופציונלי: מציינים גרסת מישור בקרה מהרשימה הנפתחת Version.

3. אופציונלי: מגדירים הגדרות אחרות לאשכול החדש.

4. אופציונלי: אם רוצים לרשום את האשכול החדש לצי, עוברים לקטע רישום צי ופועלים לפי ההוראות במסוף Google Cloud בנושא יצירה ורישום של אשכול חדש כדי להשלים את רישום האשכול.

5. בחלונית הניווט, בקטע Node Pools (מאגרי צמתים), לוחצים על default-pool (מאגר ברירת המחדל).

6. בקטע Node pool details, ממלאים את הפרטים הבאים:

   1. מזינים שם למאגר הצמתים שמוגדר כברירת מחדל.
   2. אופציונלי: בוחרים את גרסת הצומת.
   3. מזינים את מספר הצמתים שרוצים ליצור באשכול. צריכה להיות לכם מכסת משאבים זמינה לצמתים ולמשאבים שלהם (למשל, מסלולים של חומת אש).
   4. אופציונלי: אפשר להשבית את השדרוגים האוטומטיים של הצמתים, אבל מומלץ לעיין בשיקולים לפני השבתת השדרוגים האוטומטיים של הצמתים לפני שבוחרים באפשרות הזו.

7. בחלונית הניווט, בקטע Node Pools (מאגרי צמתים), לוחצים על Nodes (צמתים).

8. ברשימה הנפתחת סוג התמונה, בוחרים באפשרות תמונת הצומת.

9. בוחרים את Machine configuration שיוגדר כברירת מחדל לשימוש במופעים. החיוב על כל סוג מכונה מתבצע באופן שונה. סוג המכונה שמוגדר כברירת מחדל הוא e2-medium. למידע על תמחור של סוגי מכונות, אפשר לעיין בגיליון התמחור של סוגי מכונות.

10. ברשימה הנפתחת סוג דיסק האתחול, בוחרים את סוג הדיסק.

11. מזינים את גודל דיסק האתחול.

12. אופציונלי: בחלונית הניווט, בקטע Node Pools, לוחצים על Security.

13. אופציונלי, אפשר לציין חשבון שירות מותאם אישית ב-IAM עבור הצמתים:
    1. בדף הגדרות מתקדמות, מרחיבים את הקטע אבטחה.
    2. בתפריט Service account בוחרים את חשבון השירות המועדף.

    מומלץ מאוד לציין חשבון שירות IAM עם הרשאות מינימליות שהצמתים יכולים להשתמש בו במקום בחשבון השירות שמוגדר כברירת מחדל של Compute Engine. במאמר שימוש בחשבון שירות עם הרשאות מינימליות מוסבר איך ליצור חשבון שירות עם הרשאות מינימליות.

שימו לב: אי אפשר לשנות את חשבון השירות במאגר צמתים קיים אחרי שהוא נוצר.

14. לוחצים על יצירה.

Terraform

כדי ליצור אשכול אזורי עם מאגר צמתים באזור יחיד באמצעות Terraform, אפשר להיעזר בדוגמה הבאה:

resource "google_container_cluster" "default" {
  name               = "gke-standard-zonal-single-zone"
  location           = "us-central1-a"
  initial_node_count = 1
}

כדי ליצור אשכול אזורי עם מאגר צמתים מרובה אזורים באמצעות Terraform, אפשר להיעזר בדוגמה הבאה:

resource "google_container_cluster" "default" {
  name               = "gke-standard-zonal-multi-zone"
  location           = "us-central1-a"
  node_locations     = ["us-central1-b", "us-central1-c"]
  initial_node_count = 2
}

מידע נוסף על שימוש ב-Terraform זמין במאמר תמיכה ב-Terraform ב-GKE.

אינטראקציה עם אשכול באמצעות kubectl

אחרי שיוצרים אשכול, צריך להגדיר את kubectl לפני שאפשר ליצור אינטראקציה עם האשכול משורת הפקודה.

תבניות של אשכולות

בעבר, GKE תמך בתבניות לאשכולות. התבניות האלה הוסרו ממסוף Google Cloud , אבל עדיין אפשר לגשת אליהן מהקישורים הבאים:

• האשכול הראשון

  הערה: ב-GKE יש מדריך מפורט בנושא האשכול הראשון שלי.

• אפליקציות שדורשות הרבה משאבי CPU

• אפליקציות שצורכות הרבה זיכרון

• מחשוב מואץ באמצעות GPU

• זמינות גבוהה

המאמרים הבאים

• מידע על אפשרויות ההגדרה של אשכולות שאפשר ליצור
• מידע על ארכיטקטורת אשכול GKE
• מידע נוסף על ניהול האשכולות
• איך מוחקים אשכולות

נסו בעצמכם

אנחנו ממליצים למשתמשים חדשים ב-Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של GKE בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300 $להרצה, לבדיקה ולפריסה של עומסי העבודה.

אני רוצה לנסות את GKE בחינם