踏み台インスタンスを使用したプライベート クラスタへのリモート アクセス

警告: このページはアーカイブされており、積極的な管理は行われていません。このページのコマンドが機能せずに、クラスタの中断につながる可能性もあります。コントロール プレーンとクラスタ ネットワークへのカスタマイズ可能なシンプルなアクセスを実現するには、バージョン 1.29 以降でクラスタを作成することをおすすめします。詳細については、GKE でネットワーク分離をカスタマイズするをご覧ください。

このチュートリアルでは、踏み台インスタンスを使用してインターネット経由で Google Kubernetes Engine（GKE）のプライベート クラスタにアクセスする方法について説明します。

パブリック エンドポイントへのクライアント アクセス権のない GKE 限定公開クラスタを作成できます。このアクセス オプションは、コントロール プレーンへのすべてのインターネット アクセスを防止することで、クラスタのセキュリティを強化します。ただし、パブリック エンドポイントへのアクセスを無効にすると、リモート クライアントの IP アドレスを承認済みネットワークとして追加しない限り、クラスタとリモートでやりとりできなくなります。

このチュートリアルでは、踏み台インスタンスを設定する方法について説明します。踏み台インスタンスは、攻撃に耐えるように設計された専用のホストマシンです。踏み台インスタンスは、Tinyproxy を使用してクライアントからのトラフィックをクラスタに転送します。踏み台インスタンスには、Identity-Aware Proxy（IAP）を使用して リモート クライアントから安全にアクセスします。

**注** : このチュートリアルで操作手順を説明する対象の アプリは、Tinyproxy です。ここで説明している手順は、新しいバージョンのアプリ用でない場合があります。詳細については、Tinyproxyのドキュメントをご覧ください。

目標

• パブリック エンドポイントへのアクセス権のないプライベート クラスタを作成する。
• クラスタ サブネット内で踏み台インスタンスとして機能する Compute Engine 仮想マシン（VM）をデプロイする。
• IAP を使用して、リモート クライアントをインターネット経由でクラスタに接続する。

費用

このドキュメントでは、課金対象である次のコンポーネントを使用します。 Google Cloud

• GKE
• Identity-Aware Proxy
• Compute Engine

料金計算ツールを使うと、予想使用量に基づいて費用の見積もりを生成できます。

新規の Google Cloud ユーザーは無料トライアルをご利用いただける場合があります。

このドキュメントに記載されているタスクの完了後、作成したリソースを削除すると、それ以上の請求は発生しません。詳細については、クリーンアップをご覧ください。

始める前に

アカウントにログインします Google Cloud を初めて使用する場合は、 アカウントを作成して、実際のシナリオで Google プロダクトのパフォーマンスを評価してください。 Google Cloud新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します:

gcloud init

gcloud CLI を初期化した後に更新して、必要なコンポーネントをインストールします。

gcloud components update
gcloud components install alpha beta

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します:

gcloud init

gcloud CLI を初期化した後に更新して、必要なコンポーネントをインストールします。

gcloud components update
gcloud components install alpha beta

プライベート クラスタを作成する

パブリック エンドポイントへのクライアント アクセス権のない新しい限定公開クラスタを作成します。クラスタを独自のサブネット内に配置します。これを行うには、Google Cloud CLI または Google Cloud コンソールを使用します。

gcloud

次のコマンドを実行します。

gcloud container clusters create-auto CLUSTER_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --create-subnetwork=name=SUBNET_NAME \
    --enable-master-authorized-networks \
    --enable-private-nodes \
    --enable-private-endpoint

次のように置き換えます。

• CLUSTER_NAME: 新しいクラスタの名前。
• CONTROL_PLANE_LOCATION: クラスタのコントロール プレーンの Compute Engine のリージョン。
• SUBNET_NAME: クラスタを配置する新しいサブネットワークの名前。

Console

Virtual Private Cloud サブネットワークを作成する。

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. デフォルトのネットワークをクリックします。

3. [サブネット] セクションで [サブネットを追加] をクリックします。

4. [サブネットを追加] ダイアログで、次のように指定します。

   1. 名前: 新しいサブネットの名前。
   2. リージョン: サブネットのリージョン。これは、クラスタのリージョンと同じにする必要があります。
   3. IP アドレス範囲: 10.2.204.0/22 を指定するか、または VPC ネットワーク内の他の範囲と競合しない別の範囲を指定します。
   4. [限定公開の Google アクセス] で [オン] オプションを選択します。

5. [追加] をクリックします。

プライベート クラスタを作成する

1. Google Cloud コンソールで [Google Kubernetes Engine] ページに移動します。

   Google Kubernetes Engine に移動

2. [ 作成] をクリックします。

3. GKE Autopilot の [構成] をクリックします。

4. 新しいクラスタの [名前] と [リージョン] を指定します。リージョンはサブネットと同じにする必要があります。

5. [ネットワーキング] セクションで、[プライベート クラスタ] オプションを選択します。

6. [外部 IP アドレスを使用してコントロール プレーンにアクセス] チェックボックスをオフにします。

7. [ノードのサブネット] プルダウン リストから、作成したサブネットを選択します。

8. 必要に応じて、クラスタの他の設定を構成します。

9. [作成] をクリックします。

--master-ipv4-cidr フラグを指定した GKE Standard クラスタを使用することもできます。

踏み台インスタンス VM を作成する

プライベート クラスタの内部ネットワーク内に、クラスタを管理できる踏み台インスタンスとして機能する Compute Engine VM を作成します。

gcloud

Compute Engine VM を作成する

gcloud compute instances create INSTANCE_NAME \
    --zone=COMPUTE_ZONE \
    --machine-type=e2-micro \
    --network-interface=no-address,network-tier=PREMIUM,subnet=SUBNET_NAME

次のように置き換えます。

• INSTANCE_NAME: VM の名前。
• COMPUTE_ZONE: VM の Compute Engine ゾーン。クラスタと同じリージョンにこれを配置します。

• SUBNET_NAME: VM を配置するサブネットワーク。

  注: VM はクラスタと同じ VPC サブネットに作成することをおすすめします。別のサブネットに VM を作成する場合は、VM の IP アドレス範囲をクラスタの承認済みネットワークとして追加します。

コンソール

1. Google Cloud コンソールの [VM インスタンス] ページに移動します。

   [VM インスタンス] に移動

2. [インスタンスを作成] をクリックします。

3. 以下を指定します。

   1. 名前: VM の名前。
   2. リージョンとゾーン: VM のリージョンとゾーン。クラスタと同じリージョンを使用します。
   3. マシンタイプ: マシンタイプ。小規模なマシンタイプ（e2-micro など）を選択します。
   4. [ネットワーク インターフェース] で、クラスタと同じ VPC ネットワークとサブネットを選択します。
   5. 必要に応じて、インスタンスの他の設定を構成します。

4. [作成] をクリックします。

注: VM はクラスタと同じ VPC サブネット内に作成します。別のサブネットに VM を作成する場合は、VM の IP アドレス範囲 をクラスタの承認済みネットワーク として追加します。

注: Terraform などのツールを使用して、踏み台インスタンスの設定とアップグレードを自動化する必要があります。

ファイアウォール ルールを作成する

IAP が踏み台インスタンス VM に接続できるようにするには、ファイアウォール ルールを作成します。

プロキシをデプロイする

注: このセクションの一部のコマンドには、管理者権限が必要です。

踏み台インスタンスとプライベート クラスタを構成したら、ホストにプロキシ デーモンをデプロイして、トラフィックをクラスタ コントロール プレーンに転送する必要があります。このチュートリアルでは、Tinyproxy をインストールします。

1. VM へのセッションを開始します。

   gcloud compute ssh INSTANCE_NAME --tunnel-through-iap --project=PROJECT_ID
   

2. Tinyproxy をインストールします。

   sudo apt install tinyproxy
   

3. Tinyproxy 構成ファイルを開きます。

   sudo vi /etc/tinyproxy/tinyproxy.conf
   

4. このファイルで次の操作を行います。

   1. ポートが 8888 であることを確認します。

   2. Allow セクションを検索します。

        /Allow 127
      

   3. Allow セクションに次の行を追加します。

        Allow localhost
      

5. ファイルを保存して、Tinyproxy を再起動します。

   sudo service tinyproxy restart
   

6. セッションを終了します。

   exit
   

リモート クライアントからクラスタに接続する

Tinyproxy を構成したら、クラスタの認証情報でリモート クライアントを設定し、プロキシを指定する必要があります。リモート クライアントで次の操作を行います。

1. クラスタの認証情報を取得します。

   gcloud container clusters get-credentials CLUSTER_NAME \
       --location=CONTROL_PLANE_LOCATION \
       --project=PROJECT_ID
   

   次のように置き換えます。

   • CLUSTER_NAME: プライベート クラスタの名前。
   • CONTROL_PLANE_LOCATION: クラスタのコントロール プレーンの Compute Engine のロケーション。リージョン クラスタの場合はリージョン、ゾーンクラスタの場合はゾーンを指定します。
   • PROJECT_ID: クラスタの Google Cloud プロジェクトの ID。

2. IAP を使用して踏み台インスタンスにトンネリングします。

   gcloud compute ssh INSTANCE_NAME \
       --tunnel-through-iap \
       --project=PROJECT_ID \
       --zone=COMPUTE_ZONE \
       --ssh-flag="-4 -L8888:localhost:8888 -N -q -f"
   

3. プロキシを指定します。

   export HTTPS_PROXY=localhost:8888
   kubectl get ns
   

   プライベート クラスタ内の Namespace のリストが出力されます。

リモート クライアントでのリッスンを停止する

リモート クライアントでの変更を元に戻す場合は、TCP ポート 8888 に対するリスナー プロセスを終了する必要があります。このコマンドは、クライアントのオペレーティング システムによって異なります。

netstat -lnpt | grep 8888 | awk '{print $7}' | grep -o '[0-9]\+' | sort -u | xargs sudo kill

トラブルシューティング

エンタープライズ ネットワークにおけるファイアウォールの制限

厳格なファイアウォールを備えたエンタープライズ ネットワークを使用している場合、例外をリクエストしないと、このチュートリアルを完了できない場合があります。例外をリクエストすると、踏み台インスタンスのソース IP 範囲はデフォルトで 35.235.240.0/20 になります。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

プロジェクトを削除する

注意 : プロジェクトを削除すると、次のような影響があります。

• プロジェクト内のすべてのものが削除されます。既存のプロジェクトを使用してこのドキュメントのタスクを行った場合、そのプロジェクトを削除すると、プロジェクト内で行った他の作業もすべて削除されます。
• カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。そのプロジェクト ID を使用した URL（例: appspot.com）を保持するには、プロジェクト全体ではなく、プロジェクト内の選択したリソースだけを削除します。

複数のアーキテクチャ、チュートリアル、クイックスタートを実施する予定がある場合は、プロジェクトを再利用すると プロジェクトの割り当て上限を超えないようにすることができます。

1. コンソールで [**リソースの管理**] ページに移動します。 Google Cloud

   [リソースの管理] に移動

2. プロジェクト リストで、削除するプロジェクトを選択し、[削除] をクリックします。
3. ダイアログでプロジェクト ID を入力し、 [Shut down] をクリックしてプロジェクトを削除します。

リソースを個別に削除する

1. このチュートリアルでデプロイした踏み台インスタンスを削除します。

   gcloud compute instances delete INSTANCE_NAME \
       --zone=COMPUTE_ZONE
   

2. クラスタを削除します。

   gcloud container clusters delete CLUSTER_NAME \
       --location=CONTROL_PLANE_LOCATION
   

3. サブネットを削除します。

   gcloud compute networks subnets delete SUBNET_NAME \
       --region=CONTROL_PLANE_LOCATION