Menyinkronkan chart Helm dari Artifact Registry

Halaman ini menunjukkan cara menyinkronkan diagram Helm dari Artifact Registry dengan membuat dan mengirim diagram Helm ke repositori di Artifact Registry. File ini juga berisi konfigurasi contoh untuk menyinkronkan diagram dari repositori Helm Anda.

Istilah Penting: Helm adalah pengelola paket untuk Kubernetes yang membantu Anda menentukan, menginstal, dan mengupgrade aplikasi. Config Sync dapat menyinkronkan diagram Helm langsung dari Artifact Registry menggunakan Helm API, atau merender diagram Helm yang ditentukan dalam konfigurasi Kustomize.

Anda dapat mengonfigurasi Config Sync untuk menyinkronkan dari repositori Helm. Anda dapat menyimpan diagram Helm di Artifact Registry, yang merupakan repositori Helm yang direkomendasikan untuk Google Cloud. Untuk menggunakan fitur ini, Anda harus mengaktifkan RootSync dan RepoSync API. Config Sync merender diagram Helm menggunakan helm template dan oleh karena itu tidak mendukung pengelolaan siklus proses Helm sepenuhnya.

Versi Helm dan Kustomize yang dibundel mencantumkan versi Kustomize dan Helm yang dibundel dengan versi Config Sync yang sesuai.

Sebelum memulai

• Instal Helm 3.8.0 atau yang lebih baru. Pada versi Helm sebelumnya, dukungan untuk diagram dalam format OCI adalah fitur eksperimental.
• Aktifkan Workload Identity Federation for GKE di cluster Anda.

Batasan

• Anda tidak dapat mengubah kolom yang tidak dapat diubah dalam konfigurasi hanya dengan mengubah nilai dalam sumber tepercaya. Jika Anda perlu memperbarui kolom yang tidak dapat diubah, lakukan perubahan di sumber tepercaya terlebih dahulu, lalu hapus objek secara manual di cluster. Kemudian, Config Sync dapat membuat ulang objek dengan nilai kolom baru.

• Helm chart berikut mencakup Tugas dan tidak direkomendasikan untuk deployment oleh Config Sync:

  • secrets-store-csi-driver
  • cert-manager

  Untuk mempelajari lebih lanjut alasan Tugas tidak direkomendasikan untuk digunakan dengan Config Sync, lihat Hindari pengelolaan Tugas dengan Config Sync.

Membuat repositori Artifact Registry

Di bagian ini, Anda akan membuat repositori Artifact Registry. Untuk mempelajari lebih lanjut cara membuat repositori Artifact Registry, lihat Membuat repositori.

1. Aktifkan Artifact Registry API:

   gcloud services enable artifactregistry.googleapis.com --project=PROJECT_ID
   

2. Buat repositori Artifact Registry:

   gcloud artifacts repositories create AR_REPO_NAME \
      --repository-format=docker \
      --location=AR_REGION \
      --description="Config Sync Helm repo" \
      --project=PROJECT_ID
   

Ganti kode berikut:

• PROJECT_ID: project ID organisasi.
• AR_REPO_NAME: ID repositori.
• AR_REGION: lokasi regional atau multi-regional repositori.

Variabel yang digunakan di bagian berikut:

• FLEET_HOST_PROJECT_ID: jika Anda menggunakan GKE Workload Identity Federation for GKE, nilai ini sama dengan PROJECT_ID. Jika Anda menggunakan fleet Workload Identity Federation untuk GKE, ini adalah project ID fleet tempat cluster Anda terdaftar.
• GSA_NAME: nama akun layanan Google kustom yang ingin Anda gunakan untuk terhubung ke Artifact Registry.
• KSA_NAME: akun layanan Kubernetes untuk rekonsiliasi.
  • Untuk repositori root, jika nama RootSync adalah root-sync, tambahkan root-reconciler. Jika tidak, tambahkan root-reconciler-ROOT_SYNC_NAME.
  • Untuk repositori namespace, jika nama RepoSync adalah repo-sync, tambahkan ns-reconciler-NAMESPACE. Jika tidak, tambahkan ns-reconciler-NAMESPACE-REPO_SYNC_NAME-REPO_SYNC_NAME_LENGTH dengan REPO_SYNC_NAME_LENGTH adalah jumlah karakter dalam REPO_SYNC_NAME.

Memberikan izin pembaca

Gunakan akun layanan Kubernetes untuk mengautentikasi ke Artifact Registry dengan menyelesaikan langkah-langkah berikut:

Berikan peran IAM Pembaca Artifact Registry (roles/artifactregistry.reader) ke akun layanan Kubernetes yang memiliki kumpulan Workload Identity Federation untuk GKE:

gcloud artifacts repositories add-iam-policy-binding AR_REPO_NAME \
    --location=AR_REGION \
    --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" \
    --role=roles/artifactregistry.reader \
    --project=PROJECT_ID

Mengirimkan diagram Helm ke repositori Artifact Registry

Di bagian ini, Anda akan mendownload diagram Helm publik dan mengirimkannya ke Artifact Registry.

1. Ambil paket mysql-9.3.1.tgz dari repositori Helm publik dan download secara lokal:

   helm pull mysql --repo https://charts.bitnami.com/bitnami --version 9.3.1
   

2. Lakukan autentikasi dengan token akses:

   Linux / macOS

   gcloud auth print-access-token | helm registry login -u oauth2accesstoken \
   --password-stdin https://AR_REGION-docker.pkg.dev
   

   Windows

   gcloud auth print-access-token
   ya29.8QEQIfY_...
   
   helm registry login -u oauth2accesstoken -p "ya29.8QEQIfY_..." \
   https://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME
   

   Dalam perintah ini, oauth2accesstoken adalah nama pengguna yang akan digunakan saat melakukan autentikasi dengan token akses dan gcloud auth print-access-token adalah perintah untuk mendapatkan token akses. Token akses Anda adalah sandi untuk autentikasi. Autentikasi dengan token akses adalah metode autentikasi yang paling aman.

3. Kirimkan Helm chart ke Artifact Registry:

   helm push mysql-9.3.1.tgz oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME
   

Mengonfigurasi Config Sync untuk menyinkronkan dari chart Helm Anda

Di bagian ini, Anda akan membuat objek RootSync dan mengonfigurasi Config Sync untuk melakukan sinkronisasi dari diagram Helm.

Jika ingin mengganti nilai default chart Helm, Anda dapat melakukannya dengan menentukan nilai di kolom spec.helm.values atau dengan menambahkan referensi ke ConfigMap menggunakan kolom spec.helm.valuesFileRefs. Untuk mempelajari lebih lanjut kolom opsional, lihat Konfigurasi untuk repositori Helm.

Tips: jika ingin menggunakan nilai default diagram, Anda dapat menggunakan salah satu contoh dan menghapus kolom spec.helm.values atau spec.helm.valuesFileRefs.

nilai

1. Buat objek RootSync dengan nama unik:

   cat <<EOF>> ROOT_SYNC_NAME.yaml
   apiVersion: configsync.gke.io/v1beta1
   kind: RootSync
   metadata:
     name: ROOT_SYNC_NAME
     namespace: config-management-system
   spec:
     sourceFormat: unstructured
     sourceType: helm
     helm:
       repo: oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME
       chart: mysql
       version: 9.3.1
       releaseName: my-mysql
       namespace: test
       auth: k8sserviceaccount
       # Use the optional field spec.helm.values to override default values.
       # You can use the same format as the default values file to override
       # default values.
       values:
         image:
           pullPolicy: Always
         primary:
           resources:
             limits:
               cpu: 250m
               memory: 256Mi
             requests:
               cpu: 250m
               memory: 256Mi
   EOF
   

   Ganti ROOT_SYNC_NAME dengan nama objek RootSync Anda. Nama harus unik di cluster dan tidak boleh lebih dari 26 karakter. Jika Anda menginstal Config Sync menggunakan konsol Google Cloud atau Google Cloud CLI, pilih nama selain root-sync.

   Dalam contoh ini, Helm chart di-deploy di namespace test karena resourcenya berisi namespace: {{ .Release.Namespace }} dalam templatenya.

   Anda dapat menggunakan helm.values untuk mengganti nilai default. Untuk mempelajari kolom opsional, lihat Konfigurasi untuk repositori Helm.

2. Terapkan objek RootSync:

   kubectl apply -f ROOT_SYNC_NAME.yaml
   

3. Pastikan Config Sync menyinkronkan dari image:

   nomos status --contexts=$(kubectl config current-context)
   

   Outputnya mirip dengan hal berikut ini:

   Connecting to clusters...
   
   *cluster-name
     --------------------
     <root>:root-sync   oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME/mysql:9.3.1
     SYNCED             9.3.1
     Managed resources:
         NAMESPACE  NAME                       STATUS    SOURCEHASH
         default    configmap/my-mysql         Current   9.3.1
         default    secret/my-mysql            Current   9.3.1
         default    service/my-mysql           Current   9.3.1
         default    service/my-mysql-headless  Current   9.3.1
         default    serviceaccount/my-mysql    Current   9.3.1
         default    statefulset.apps/my-mysql  Current   9.3.1
   

   Anda kini telah berhasil menyinkronkan diagram Helm ke cluster.

valuesFileRefs

1. Buat objek RootSync dengan nama unik:

   cat <<EOF>> ROOT_SYNC_NAME.yaml
   apiVersion: configsync.gke.io/v1beta1
   kind: RootSync
   metadata:
     name: ROOT_SYNC_NAME
     namespace: config-management-system
   spec:
     sourceFormat: unstructured
     sourceType: helm
     helm:
       repo: oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME
       chart: mysql
       version: 9.3.1
       releaseName: my-mysql
       auth: k8sserviceaccount
       # use the optional field spec.helm.valuesFilesRefs to override default values
       # by referencing a ConfigMap
       valuesFileRefs:
       - name: CONFIGMAP_NAME
         dataKey: DATA_KEY
   
   EOF
   

   Ganti kode berikut:

   • ROOT_SYNC_NAME: nama objek RootSync Anda. Nama harus unik di cluster dan tidak boleh lebih dari 26 karakter. Jika Anda menginstal Config Sync menggunakan konsol Google Cloud atau Google Cloud CLI, pilih nama selain root-sync.
   • CONFIGMAP_NAME: nama ConfigMap Anda. Nama ini bisa berupa nama ConfigMap valid yang diterima oleh Kubernetes dan unik di cluster Anda.
   • (opsional) DATA_KEY: kunci data di ConfigMap yang ingin Anda baca nilainya. Defaultnya adalah values.yaml.

2. Buat objek ConfigMap dengan nilai Anda:

   Catatan: ConfigMap bersifat tetap dan harus berada di namespace yang sama dengan RootSync atau RepoSync yang mereferensikannya.

   cat <<EOF>> CONFIGMAP_NAME.yaml
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: CONFIGMAP_NAME
     namespace: config-management-system
   immutable: true
   # You can use the same format as the default values file to override
   # default values.
   data:
     DATA_KEY: |-
       image:
         pullPolicy: Always
       primary:
         resources:
           limits:
             cpu: 250m
             memory: 256Mi
           requests:
             cpu: 250m
             memory: 256Mi
   
   EOF
   

   Jika Anda tidak menentukan nilai untuk DATA_KEY di RootSync, nilai tersebut harus berupa values.yaml default.

3. Terapkan objek ConfigMap:

   kubectl apply -f CONFIGMAP_NAME.yaml
   

4. Terapkan objek RootSync:

   kubectl apply -f ROOT_SYNC_NAME.yaml
   

5. Pastikan Config Sync menyinkronkan dari image:

   nomos status --contexts=$(kubectl config current-context)
   

   Outputnya mirip dengan hal berikut ini:

   Connecting to clusters...
   
   *cluster-name
     --------------------
     <root>:root-sync   oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME/mysql:9.3.1
     SYNCED             9.3.1
     Managed resources:
         NAMESPACE  NAME                       STATUS    SOURCEHASH
         default    configmap/my-mysql         Current   9.3.1
         default    secret/my-mysql            Current   9.3.1
         default    service/my-mysql           Current   9.3.1
         default    service/my-mysql-headless  Current   9.3.1
         default    serviceaccount/my-mysql    Current   9.3.1
         default    statefulset.apps/my-mysql  Current   9.3.1
   

   Anda kini telah berhasil menyinkronkan diagram Helm ke cluster.

   Anda juga dapat melihat imagePullPolicy di salah satu resource yang disinkronkan dalam cluster untuk memverifikasi bahwa nilai dari ConfigMap digunakan untuk merender diagram:

   kubectl get statefulset -n test my-mysql -o yaml | grep imagePullPolicy
   

6. Karena ConfigMap tidak dapat diubah, untuk mengubah nilai, Anda harus membuat ConfigMap baru dan memperbarui spec.helm.valuesFileRefs dalam spesifikasi RootSync atau RepoSync untuk mengarah ke ConfigMap baru. Membuat ConfigMap baru memastikan perubahan pada nilai menyebabkan diagram Helm dirender ulang, yang berguna saat beberapa ConfigMap yang dirujuk di spec.helm.valuesFileRefs perlu diperbarui secara bersamaan saat dirender ulang. Untuk mengubah nilai yang digunakan untuk merender diagram, buat ConfigMap baru dengan nama yang berbeda:

   cat <<EOF>> CONFIGMAP_NAME-2.yaml
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: CONFIGMAP_NAME-2
     namespace: config-management-system
   immutable: true
   # You can use the same format as the default values file to override
   # default values.
   data:
     DATA_KEY: |-
       image:
         pullPolicy: Never
       primary:
         resources:
           limits:
             cpu: 100m
             memory: 256Mi
           requests:
             cpu: 250m
             memory: 200Mi
   
   EOF
   

7. Perbarui objek RootSync Anda untuk mereferensikan ConfigMap baru:

   cat <<EOF>> ROOT_SYNC_NAME.yaml
   apiVersion: configsync.gke.io/v1beta1
   kind: RootSync
   metadata:
     name: ROOT_SYNC_NAME
     namespace: config-management-system
   spec:
     sourceFormat: unstructured
     sourceType: helm
     helm:
       repo: oci://AR_REGION-docker.pkg.dev/PROJECT_ID/AR_REPO_NAME
       chart: mysql
       version: 9.3.1
       releaseName: my-mysql
       namespace: test
       auth: k8sserviceaccount
       # use the optional field spec.helm.valuesFilesRefs to override default values
       # by referencing a ConfigMap
       valuesFileRefs:
       - name: CONFIGMAP_NAME-2
         dataKey: DATA_KEY
   
   EOF
   

8. Terapkan objek ConfigMap:

   kubectl apply -f CONFIGMAP_NAME-2.yaml
   

9. Terapkan objek RootSync:

   kubectl apply -f ROOT_SYNC_NAME.yaml
   

10. Pastikan Config Sync menyinkronkan dari image:

    nomos status --contexts=$(kubectl config current-context)
    

    Anda juga dapat melihat imagePullPolicy di salah satu resource yang disinkronkan di cluster untuk memverifikasi bahwa nilai baru dari ConfigMap yang diperbarui digunakan untuk merender diagram:

    Catatan: mungkin perlu waktu beberapa menit hingga resource tersinkron sepenuhnya.

    kubectl get statefulset -n test my-mysql -o yaml | grep imagePullPolicy
    

Langkah berikutnya

• Pelajari lebih lanjut cara menginstal Config Sync.