Prasyarat umum

Seperti yang Anda pelajari dalam ringkasan pembuatan fleet, cluster GKE lokal di VMware dan di bare metal, serta cluster multicloud (baik di AWS maupun Azure) otomatis terdaftar ke fleet project Anda pada saat pembuatan cluster. Namun, cluster GKE di Google Cloud dan cluster Kubernetes pihak ketiga (cluster terlampir) harus didaftarkan secara manual untuk bergabung ke fleet Anda. Anda dapat menemukan detail selengkapnya tentang berbagai opsi pendaftaran dalam ringkasan pembuatan fleet.

Halaman ini menjelaskan prasyarat dan persyaratan untuk mendaftarkan cluster Kubernetes apa pun ke a Google Cloud fleet secara manual. Ada juga persyaratan terpisah khusus untuk cluster GKE di Google Cloud dan cluster terlampir. Setelah menyelesaikan panduan ini, ikuti petunjuk untuk jenis cluster yang ingin Anda daftarkan.

Sebaiknya tinjau batasan umum pada pendaftaran cluster sebelum Anda memulai.

Menginstal alat command line

Pastikan Anda telah menginstal alat command line berikut. Jika Anda menggunakan Cloud Shell sebagai lingkungan shell untuk berinteraksi dengan Google Cloud, alat ini akan diinstal untuk Anda.

Menginstal Google Cloud CLI

Google Cloud CLI adalah antarmuka command line (CLI) ke Google Cloud. Anda dapat mendaftarkan cluster menggunakan Google Cloud CLI atau, bergantung pada jenis cluster Anda, menggunakan alat lain seperti Terraform atau Google Cloud konsol. Namun, meskipun Anda tidak menggunakannya untuk pendaftaran cluster, gcloud diperlukan atau berguna untuk banyak langkah penyiapan lainnya dalam panduan ini.

  1. Jika Anda belum menginstalnya, instal Google Cloud CLI dengan mengikuti petunjuk penginstalan. Sebaiknya gunakan Google Cloud CLI versi terbaru. Anda memerlukan versi 361.0.0 atau yang lebih baru untuk mendaftarkan cluster, dan versi 423.0.0 atau yang lebih baru jika Anda ingin menggunakan perintah pendaftaran non-warisan untuk GKE, dengan komponen alfa atau beta terinstal.

  2. Jalankan perintah berikut untuk login ke Google Cloud:

    gcloud auth login

  3. (Opsional) Pastikan Anda telah menginstal komponen gcloud beta, jika Anda berencana mencoba fitur alfa atau beta:

     gcloud components install beta

Menginstal kubectl

Meskipun kubectl tidak diperlukan untuk mendaftarkan cluster, Anda mungkin memerlukannya untuk memberikan izin kontrol akses berbasis peran (RBAC) yang diperlukan kepada pengguna yang mendaftarkan cluster (jika mereka bukan pemilik cluster), serta untuk penyiapan khusus platform lainnya. Anda memerlukan kubectl versi yang tidak lebih rendah dari versi Kubernetes minimum yang didukung oleh Google Kubernetes Engine (GKE).

Sebaiknya instal kubectl dengan Google Cloud CLI.

Untuk memeriksa versi kubectl: 

kubectl version

Versi klien ditunjukkan oleh gitVersion dari output.

Untuk menginstal kubectl: 

gcloud components install kubectl

Mengaktifkan API

Anda harus mengaktifkan API berikut di project host fleet:

  • container.googleapis.com
  • gkeconnect.googleapis.com
  • gkehub.googleapis.com, yang juga dikenal sebagai Fleet API. Ini adalah Google Cloud layanan yang menangani pendaftaran cluster dan keanggotaan fleet.
  • cloudresourcemanager.googleapis.com

Pod di cluster yang ingin Anda daftarkan harus dapat menjangkau googleapis.com dan gkeconnect.googleapis.com alamat, baik secara langsung maupun menggunakan server proxy yang dikonfigurasi.

Jika ingin mengaktifkan Workload Identity fleet untuk pendaftaran, Anda juga harus mengaktifkan hal berikut:

  • iam.googleapis.com

Pemilik non-project harus diberi izin serviceusage.services.enable sebelum dapat mengaktifkan API.

gcloud

Untuk mengaktifkan API ini, jalankan perintah berikut:

gcloud services enable \
   --project=FLEET_HOST_PROJECT_ID \
   container.googleapis.com \
   gkeconnect.googleapis.com \
   gkehub.googleapis.com \
   cloudresourcemanager.googleapis.com \
   iam.googleapis.com

dengan:

Jika tidak ingin mengaktifkan Workload Identity fleet, Anda dapat menghapus iam.googleapis.com.

Untuk mencantumkan API yang telah Anda aktifkan di project, ikuti petunjuk di Mencantumkan Layanan dalam dokumentasi Penggunaan Layanan.

Memberikan izin akses

Pastikan Anda memiliki izin akses yang sesuai untuk mendaftarkan cluster. Pendaftaran cluster memerlukan izin untuk mendaftarkan cluster ke fleet, dan izin admin di cluster itu sendiri.

Memberikan izin pendaftaran cluster

Mendaftarkan cluster memerlukan izin IAM di project host fleet Anda untuk mendaftarkan cluster. Jika Anda memiliki roles/owner di project host fleet, Anda akan otomatis memiliki izin ini dan memiliki semua izin akses yang diperlukan untuk menyelesaikan semua tugas pendaftaran.

Jika Anda tidak memiliki roles/owner di project, Anda harus diberi peran IAM tertentu sebelum dapat menghubungkan cluster ke Google, sebagai berikut:

  • Untuk mendaftarkan cluster dengan fleet Workload Identity untuk autentikasi ke Google, Anda hanya memerlukan peran IAM berikut:

    • roles/gkehub.admin

  • Beberapa opsi pendaftaran di luar Google Cloud mengharuskan Anda menyiapkan akun layanan untuk digunakan cluster guna melakukan autentikasi ke Google, bukan Workload Identity. Untuk mendaftarkan cluster dan mengelola akun layanan ini, Anda memerlukan kumpulan peran berikut:

    • roles/gkehub.admin
    • roles/iam.serviceAccountAdmin
    • roles/iam.serviceAccountKeyAdmin
    • roles/resourcemanager.projectIamAdmin

Untuk mengetahui daftar izin mendetail yang disertakan dalam peran gkehub, lihat Peran IAM Connect.

gcloud

Untuk memberikan peran IAM kepada pengguna, jalankan perintah berikut:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
   --member user:GCP_EMAIL_ADDRESS \
   --role=ROLE

dengan:

  • FLEET_HOST_PROJECT_ID adalah Google Cloud project ID tempat Anda ingin mendaftarkan cluster. Pelajari cara menemukan nilai ini.
  • GCP_EMAIL_ADDRESS adalah akun yang digunakan pengguna untuk login ke Google Cloud.
  • ROLE adalah peran IAM yang ingin Anda berikan, seperti roles/gkehub.admin.

Untuk mempelajari lebih lanjut cara memberikan peran IAM, lihat Memberikan, Mengubah, dan Mencabut Akses ke Resource dalam dokumentasi IAM.

Memberikan izin admin cluster

Selain izin yang diperlukan untuk mendaftarkan cluster, Anda juga memerlukan izin admin di cluster itu sendiri. Bergantung pada lokasi cluster, Anda dapat menetapkan izin ini menggunakan peran IAM atau kontrol akses berbasis peran (RBAC) Kubernetes.

Cluster GKE di Google Cloud

Khusus untuk cluster GKE di Google Cloud saja, tambahkan peran IAM berikut untuk mendapatkan izin admin di cluster, jika Anda belum memilikinya (akun pengguna Anda kemungkinan akan memilikinya jika Anda membuat cluster):

  • roles/container.admin

Peran IAM ini mencakup peran RBAC Kubernetes cluster-admin role. Untuk lingkungan cluster lainnya, Anda harus memberikan peran RBAC ini menggunakan kubectl, seperti yang dijelaskan di bagian berikutnya. Anda dapat mengetahui lebih lanjut hubungan antara peran IAM dan RBAC di GKE dalam dokumentasi GKE.

Cluster di luar Google Cloud

Untuk melampirkan cluster pihak ketiga di luar Google Cloud, pastikan pengguna yang mendaftarkan cluster memiliki peran RBAC Kubernetes cluster-admin.

kubectl

Jika Anda membuat cluster, kemungkinan Anda memiliki peran ini. Anda dapat memverifikasi dengan menjalankan perintah berikut:

kubectl auth can-i '*' '*' --all-namespaces

Jika Anda atau pengguna lain memerlukan peran tersebut, buat resource ClusterRoleBinding di cluster:

kubectl create clusterrolebinding BINDING_NAME --clusterrole cluster-admin --user USER

dengan:

  • BINDING_NAME adalah nama yang Anda pilih untuk resource ClusterRoleBinding.
  • USER adalah identitas yang digunakan untuk melakukan autentikasi terhadap cluster.

Apa langkah selanjutnya?

Ikuti panduan prasyarat untuk jenis cluster yang ingin Anda daftarkan: