Prerequisiti generali

Come hai appreso nella panoramica della creazione del parco risorse, i cluster GKE on-premise su VMware e bare metal e i cluster multicloud (sia su AWS che su Azure) vengono registrati automaticamente nel parco risorse del progetto al momento della creazione del cluster. Tuttavia, i cluster GKE su Google Cloud e i cluster Kubernetes di terze parti (cluster collegati) devono essere registrati manualmente per entrare a far parte del tuo parco risorse. Puoi trovare maggiori dettagli sulle diverse opzioni di registrazione nella panoramica della creazione del parco risorse.

Questa pagina descrive i prerequisiti e i requisiti per la registrazione manuale di qualsiasi cluster Kubernetes a un Google Cloud fleet. Esistono anche requisiti separati specifici per i cluster GKE su Google Cloud e per i cluster collegati. Una volta completata questa guida, segui le istruzioni per il tipo di cluster che vuoi registrare.

Ti consigliamo di esaminare le limitazioni generali alla registrazione dei cluster prima di iniziare.

Installare gli strumenti a riga di comando

Assicurati di aver installato i seguenti strumenti a riga di comando. Se utilizzi Cloud Shell come ambiente shell per interagire con Google Cloud, questi strumenti vengono installati automaticamente.

Installa Google Cloud CLI

Google Cloud CLI è l'interfaccia a riga di comando (CLI) per Google Cloud. Puoi registrare i cluster utilizzando Google Cloud CLI o, a seconda del tipo di cluster, utilizzando altri strumenti come Terraform o la console Google Cloud . Tuttavia, anche se non lo utilizzi per la registrazione del cluster, gcloud è necessario o utile per molti degli altri passaggi di configurazione in questa guida.

  1. Se non è già installata, installa Google Cloud CLI seguendo le istruzioni di installazione. Ti consigliamo di utilizzare la versione più recente della Google Cloud CLI. Per registrare i cluster è necessaria la versione 361.0.0 o successive e la versione 423.0.0 o successive se vuoi utilizzare i comandi di registrazione non legacy per GKE, con il componente alpha o beta installato.

  2. Esegui questo comando per accedere a Google Cloud:

    gcloud auth login

  3. (Facoltativo) Se prevedi di provare funzionalità alpha o beta, assicurati di aver installato il componente gcloud beta:

     gcloud components install beta

Installa kubectl

Anche se kubectl non è necessario per registrare un cluster, potrebbe essere necessario per concedere le autorizzazioni di controllo dell'accesso basato sui ruoli (RBAC) necessarie all'utente che registra il cluster (se non è il proprietario del cluster), nonché per altre configurazioni specifiche della piattaforma. Devi utilizzare una versione di kubectl non inferiore alla versione minima supportata di Kubernetes di Google Kubernetes Engine (GKE).

Ti consigliamo di installare kubectl con Google Cloud CLI.

Per controllare la versione di kubectl: 

kubectl version

La versione del client è indicata da gitVersion dell'output.

Per installare kubectl: 

gcloud components install kubectl

Abilita API

Devi abilitare le seguenti API nel progetto host del parco risorse:

  • container.googleapis.com
  • gkeconnect.googleapis.com
  • gkehub.googleapis.com, nota anche come API Fleet. Questo è il servizio Google Cloud che gestisce la registrazione dei cluster e l'appartenenza al parco risorse.
  • cloudresourcemanager.googleapis.com

I pod nel cluster che vuoi registrare devono essere in grado di raggiungere gli indirizzi googleapis.com e gkeconnect.googleapis.com, direttamente o utilizzando un server proxy configurato.

Se vuoi abilitare Workload Identity del parco risorse per la registrazione, devi abilitare anche quanto segue:

  • iam.googleapis.com

Prima di poter abilitare le API, ai non proprietari del progetto deve essere concessa l'autorizzazione serviceusage.services.enable.

gcloud

Esegui il comando seguente per abilitare queste API:

gcloud services enable \
   --project=FLEET_HOST_PROJECT_ID \
   container.googleapis.com \
   gkeconnect.googleapis.com \
   gkehub.googleapis.com \
   cloudresourcemanager.googleapis.com \
   iam.googleapis.com

dove:

Se non vuoi abilitare Workload Identity per il parco risorse, puoi omettere iam.googleapis.com.

Per elencare le API che hai già abilitato nei tuoi progetti, segui le istruzioni riportate in Elenco dei servizi nella documentazione di Service Usage.

Concedere le autorizzazioni di accesso

Assicurati di disporre delle autorizzazioni di accesso appropriate per registrare un cluster. La registrazione del cluster richiede sia l'autorizzazione per registrare il cluster in un parco risorse sia le autorizzazioni di amministratore sul cluster stesso.

Concedere le autorizzazioni di registrazione del cluster

Per registrare un cluster, il progetto host del parco risorse deve disporre di autorizzazioni IAM per registrare i cluster. Se disponi di roles/owner nel progetto host del parco risorse, hai automaticamente tutte le autorizzazioni di accesso necessarie per completare tutte le attività di registrazione.

Se non disponi di roles/owner nel tuo progetto, devi disporre di ruoli IAM specifici prima di poter connettere i cluster a Google, come segue:

  • Per registrare un cluster con Workload Identity del parco risorse per l'autenticazione su Google, ti serve solo il seguente ruolo IAM:

    • roles/gkehub.admin

  • Alcune opzioni di registrazione esterne Google Cloud richiedono di configurare un account di servizio da utilizzare per l'autenticazione su Google anziché Workload Identity. Per registrare il cluster e gestire questo account di servizio, devi disporre del seguente insieme di ruoli:

    • roles/gkehub.admin
    • roles/iam.serviceAccountAdmin
    • roles/iam.serviceAccountKeyAdmin
    • roles/resourcemanager.projectIamAdmin

Per un elenco delle autorizzazioni dettagliate incluse nei ruoli gkehub, vedi Ruoli IAM di Connect.

gcloud

Per concedere un ruolo IAM a un utente, esegui questo comando:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
   --member user:GCP_EMAIL_ADDRESS \
   --role=ROLE

dove:

  • FLEET_HOST_PROJECT_ID è l'ID progetto Google Cloud in cui vuoi registrare i cluster. Scopri come trovare questo valore.
  • GCP_EMAIL_ADDRESS è l'account che l'utente utilizza per accedere a Google Cloud.
  • ROLE è il ruolo IAM che vuoi concedere, ad esempio roles/gkehub.admin.

Per scoprire di più su come concedere i ruoli IAM, consulta Concessione, modifica e revoca dell'accesso alle risorse nella documentazione IAM.

Concedi le autorizzazioni di amministratore del cluster

Oltre alle autorizzazioni necessarie per registrare un cluster, devi disporre anche delle autorizzazioni di amministratore sul cluster stesso. A seconda della posizione del cluster, puoi assegnare questa autorizzazione utilizzando i ruoli IAM o controllo dell'accesso basato sui ruoli (RBAC) di Kubernetes.

Cluster GKE su Google Cloud

Per i cluster GKE solo su Google Cloud , aggiungi il seguente ruolo IAM per ottenere le autorizzazioni di amministratore sul cluster, se non le hai già (è probabile che il tuo account utente le abbia se hai creato il cluster):

  • roles/container.admin

Questo ruolo IAM include il ruolo RBAC di Kubernetes cluster-admin. Per altri ambienti cluster, devi concedere questo ruolo RBAC utilizzando kubectl, come descritto nella sezione successiva. Per scoprire di più sulla relazione tra i ruoli IAM e RBAC in GKE, consulta la documentazione di GKE.

Cluster esterni a Google Cloud

Per collegare cluster di terze parti esterni a Google Cloud, assicurati che l'utente che registra il cluster disponga del ruolo Kubernetes RBAC cluster-admin.

kubectl

Se hai creato il cluster, probabilmente hai già questo ruolo. Puoi verificarlo eseguendo questo comando:

kubectl auth can-i '*' '*' --all-namespaces

Se tu o un altro utente avete bisogno del ruolo, crea una risorsa ClusterRoleBinding nel cluster:

kubectl create clusterrolebinding BINDING_NAME --clusterrole cluster-admin --user USER

dove:

  • BINDING_NAME è un nome scelto da te per la risorsa ClusterRoleBinding.
  • USER è l'identità utilizzata per l'autenticazione nel cluster.

Passaggi successivi

Segui la guida ai prerequisiti per il tipo di cluster che vuoi registrare: