Proxyunterstützung für CNCF-konforme angehängte Cluster

Wenn Ihre Organisation einen HTTP-Proxy für den Internetverkehr verwendet, müssen Sie angehängte GKE-Cluster entsprechend konfigurieren. In diesem Dokument wird beschrieben, wie Sie diese Konfiguration vornehmen.

Hinweise

Für angehängte GKE-Cluster ist eine Verbindung zu verschiedenen Google Cloud Diensten erforderlich. Achten Sie darauf, dass Ihr Proxyserver Traffic zu den folgenden Domains zulässt:

  • .gcr.io
  • cloudresourcemanager.googleapis.com
  • container.googleapis.com
  • gkeconnect.googleapis.com
  • gkehub.googleapis.com
  • oauth2.googleapis.com
  • securetoken.googleapis.com
  • storage.googleapis.com
  • sts.googleapis.com
  • www.googleapis.com
  • servicecontrol.googleapis.com
  • logging.googleapis.com
  • monitoring.googleapis.com
  • opsconfigmonitoring.googleapis.com
  • GCP_LOCATION-gkemulticloud.googleapis.com

Ersetzen Sie GCP_LOCATION durch die Google Cloud Region, in der sich Ihr Cluster befindet. Geben Sie us-west1 oder eine andere unterstützte Region an.

Proxyunterstützung für angehängte GKE-Cluster konfigurieren

So konfigurieren Sie die Proxyunterstützung für angehängte GKE-Cluster:

  1. Erstellen Sie eine Proxy-Konfigurationsdatei, die Werte für die Schlüssel httpProxy, noProxy und httpsProxy enthält:

    {
"httpProxy": HTTP_PROXY_AUTHENTICATION_URL,
"httpsProxy": HTTPS_PROXY_AUTH_URL,
"noProxy": NO_PROXY_ADDRESSES
}

    Ersetzen Sie Folgendes:

    • HTTP_PROXY_AUTHENTICATION_URL: die Proxy-Server-URL, die aus einem Hostnamen/einer IP-Adresse und optional einem Port, einem Nutzernamen und einem Passwort besteht. Beispiel: http://user:password@192.0.2.0:80 oder 198.51.100.255.
    • HTTPS_PROXY_AUTH_URL: die Proxy-URL für verschlüsselten HTTPS-Traffic, die aus einem Hostnamen/IP-Adresse und optional einem Port, einem Nutzernamen und einem Passwort besteht.
    • NO_PROXY_ADDRESSES: eine kommagetrennte Liste an URLs, CIDR-Blöcken und DNS-Namen von Ressourcen, die den Proxy umgehen können. Dadurch wird GKE-angehängten Clustern mitgeteilt, dass der Proxy für die angegebenen Ressourcen nicht verwendet werden soll. Beachten Sie dabei Folgendes:
      • Werte können einzelne IP-Adressen, CIDR-Bereiche, Domainnamen oder auch das Sternchenzeichen (*) sein. Wenn Sie im Feld noProxy ein einzelnes Sternchen (*) verwenden, wird der Proxy für alle Traffic in GKE-angehängten Clustern übersprungen.
      • Eine Domain, die mit einem Punkt beginnt, z. B. .google.com, bezieht sich auf alle ihre Subdomains. .google.com enthält beispielsweise Adressen wie mail.google.com und drive.google.com, aber nicht google.com.
      • Achten Sie für ein ordnungsgemäßes Logging darauf, dass die Domains kubernetes.default.svc.cluster.local und kubernetes.default.svc enthalten sind. Beispiel:198.51.100.0,192.0.2.0/16,examplepetstore.com,.altostrat.com,kubernetes.default.svc.cluster.local, kubernetes.default.svc

    Beachten Sie beim Erstellen der Proxykonfigurationsdatei die folgenden Richtlinien:

    • Die Felder httpProxy und httpsProxy akzeptieren keine https://-Präfixe. Verwenden Sie http://, auch wenn die tatsächliche Proxyserver-Adresse mit https:// beginnt. https://proxy.example.com:3128 wird beispielsweise als http://proxy.example.com:3128 dargestellt.
    • Es müssen Werte für alle drei Felder angegeben werden: httpProxy, httpsProxy und noProxy.
    • Möglicherweise müssen Sie der Liste noProxy zusätzliche Domains, IP-Adressen oder CIDRs hinzufügen. Wir empfehlen, den VPC-IP-Bereich hinzuzufügen.

  2. Erstellen Sie mit dem folgenden Befehl ein Kubernetes-Secret, das die Proxykonfiguration enthält:

    kubectl create secret generic SECRET_NAME \
--from-file=PROXY_CONFIGURATION_FILE

    Ersetzen Sie Folgendes:

    • SECRET_NAME: der Name des Kubernetes-Secrets
    • PROXY_CONFIGURATION_FILE: Der Pfad zur Proxykonfiguration, die Sie in Schritt 1 erstellt haben.

  3. Markieren Sie das Kubernetes-Secret als unveränderlich, indem Sie das Feld immutable auf true setzen:

    kubectl edit secret SECRET_NAME

    Ersetzen Sie SECRET_NAME durch den Namen des Kubernetes-Secrets.

  4. Konfigurieren Sie einen neuen oder vorhandenen Cluster für die Verwendung des Proxys:

    Neuer Cluster

    Verwenden Sie den Befehl gcloud container attached clusters register, um einen neuen Cluster zu registrieren und die Proxykonfiguration anzuwenden. Geben Sie die optionalen Argumente --proxy-secret-name und --proxy-secret-namespace an:

    gcloud container attached clusters register CLUSTER_NAME \
  --proxy-secret-name=SECRET_NAME \
  --proxy-secret-namespace=SECRET_NAMESPACE

    Ersetzen Sie Folgendes:

    • CLUSTER_NAME ist der Name des Clusters.
    • SECRET_NAME: der Name des Kubernetes-Secrets, das die Proxykonfiguration enthält
    • SECRET_NAMESPACE: der Kubernetes-Namespace, in dem das Secret gespeichert ist

    Informationen zu allen Argumenten, die Sie beim Registrieren eines Clusters verwenden können, finden Sie unter dem Befehl gcloud container attached clusters register.

    Vorhandener Cluster

    Verwenden Sie den Befehl gcloud container attached clusters update, um einen zuvor registrierten Cluster mit einer neuen Proxykonfiguration zu aktualisieren. Geben Sie die optionalen Argumente --proxy-secret-name und --proxy-secret-namespace an:

    gcloud container attached clusters update CLUSTER_NAME \
  --proxy-secret-name=SECRET_NAME \
  --proxy-secret-namespace=SECRET_NAMESPACE

    Ersetzen Sie Folgendes:

    • CLUSTER_NAME ist der Name des Clusters.
    • SECRET_NAME: der Name des Kubernetes-Secrets, das die Proxykonfiguration enthält
    • SECRET_NAMESPACE: der Kubernetes-Namespace, in dem das Secret gespeichert ist

    Dieser Schritt ist erforderlich, wenn sich die Details Ihres Proxyservers geändert haben oder wenn bei der ersten Clusterregistrierung die Proxyanforderungen nicht berücksichtigt wurden.

    Informationen zu allen Argumenten, die Sie beim Aktualisieren eines Clusters verwenden können, finden Sie unter dem Befehl gcloud container attached clusters update.

Nach der Ausführung dieser Schritte verarbeiten GKE-angehängte Cluster ausgehenden Internettraffic über den in der Konfigurationsdatei angegebenen Proxyserver.