צירוף אוטומטי של צמתים של שרת Windows ב-GKE לדומיין מנוהל של Microsoft AD

בדף הזה מוסבר איך לצרף צמתים של Windows Server באשכול Google Kubernetes Engine ‏ (GKE) לדומיין מנוהל של Microsoft AD באמצעות התכונה צירוף אוטומטי לדומיין.

איך Managed Microsoft AD מצטרף אוטומטית לצמתים של Windows Server לדומיין

כשיוצרים מאגר צמתים באשכול GKE, אפשר להשתמש בסקריפטים המוכנים מראש שזמינים מ-Managed Microsoft AD כדי להצטרף באופן אוטומטי לדומיין Managed Microsoft AD. אחרי שמערכת GKE יוצרת את מאגר הצמתים, Managed Microsoft AD יוזם את הבקשה להצטרפות לדומיין ומנסה לצרף את הצמתים לדומיין שלכם. אם הבקשה להצטרפות לדומיין מצליחה, Managed Microsoft AD מצטרף לצמתים בדומיין שלכם. אם הבקשה להצטרפות לדומיין נכשלת, הצמתים שנוצרו ממשיכים לפעול. צריך לבדוק את היומנים כדי לזהות ולפתור את הבעיה לפני שיוצרים שוב את מאגר הצמתים. מידע נוסף זמין במאמר בנושא צפייה ביומני ניפוי באגים.

במקרים מסוימים, צריך לנקות ידנית את המידע על צמתים שלא הצטרפו ל-Microsoft AD מנוהל. מידע נוסף זמין במאמר בנושא הסרת מכונות וירטואליות שלא הצטרפו לדומיין.

אי אפשר לעדכן מאגר צמתים קיים באמצעות סקריפטים להצטרפות לדומיין כדי שהצמתים הקיימים יצטרפו לדומיין באופן אוטומטי.

התכונה האוטומטית להצטרפות לדומיין לא מגדירה את הצמתים של GKE כך שיפעלו עם gMSA לאימות. עם זאת, אפשר ליצור gMSA באופן ידני ב-Managed Microsoft AD ולהגדיר את צמתי GKE כך שישתמשו ב-gMSA. מידע על הגדרת gMSA לצמתי GKE זמין במאמר הגדרת gMSA עבור פודים ומאגרי Windows.

לפני שמתחילים

  1. יצירת דומיין מנוהל של Microsoft AD.

  2. יצירת אשכול GKE באמצעות מאגרי צמתים של Windows Server.

  3. מוודאים שהצמתים של Windows Server פועלים בגרסת Windows ש-Managed Microsoft AD תומך בה.

  4. מגדירים שיוך דומיינים בין הדומיין של Microsoft AD המנוהל לבין הרשת של הצמתים, או מוודאים שגם הדומיין של Microsoft AD המנוהל וגם הצמתים נמצאים באותה רשת.

  5. יוצרים חשבון שירות עם תפקיד ה-IAM‏ Google Cloud Managed Identities Domain Join ‏ (roles/managedidentities.domainJoin) בפרויקט שיש בו דומיין מנוהל של Microsoft AD. מידע נוסף זמין במאמר בנושא תפקידים של זהויות מנוהלות ב-Cloud.

  6. מגדירים את היקף הגישה המלא cloud-platform בצמתים של Windows Server. מידע נוסף זמין במאמר בנושא הרשאה.

מטא-נתונים

כדי לצרף את צמתי Windows Server לדומיין, צריך את מפתחות המטא-נתונים הבאים.

  • windows-startup-script-url
  • managed-ad-domain
  • enable-guest-attributes (אופציונלי)
  • managed-ad-ou-name (אופציונלי)
  • managed-ad-force (אופציונלי)

מידע נוסף על מפתחות המטא-נתונים האלה זמין במאמר בנושא מטא-נתונים.

בקשת ההצטרפות לדומיין נכשלת אם חשבון המחשב של צומת Windows Server כבר קיים ב-Managed Microsoft AD. כדי שמערכת Managed Microsoft AD תוכל לעשות שימוש חוזר בחשבון המחשב הקיים במהלך תהליך ההצטרפות לדומיין, אפשר להשתמש במפתח המטא-נתונים managed-ad-force כשיוצרים את מאגר הצמתים.

הצטרפות לצמתים של Windows Server

אפשר להגדיר את מפתחות המטא-נתונים האלה כשמוסיפים מאגר צמתים של Windows Server לאשכול GKE. בקטע הזה מוסבר איך להשתמש במפתחות המטא-נתונים האלה בפקודות של gcloud CLI כשיוצרים מאגר צמתים.

עם זאת, אפשר להשתמש במפתחות המטא-נתונים האלה כשיוצרים מאגר צמתים באמצעות האפשרויות האחרות שזמינות. מידע נוסף מופיע במאמר בנושא הוספה וניהול של מאגרי צמתים.

כדי ליצור מאגר צמתים ולהצטרף לצמתי Windows Server, מריצים את הפקודה הבאה ב-CLI של gcloud:

gcloud container node-pools create NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    "--metadata=windows-startup-script-url=URL,managed-ad-domain=DOMAIN_RESOURCE_PATH,managed-ad-force=TRUE" \
    --service-account=SERVICE_ACCOUNT \
    --image-type=WINDOWS_IMAGE_NAME \
    --scopes=https://www.googleapis.com/auth/cloud-platform \
    --location=ZONE_OR_REGION \
    --no-enable-autoupgrade

אפשר להחליף את ה-placeholders בדגל --metadata בערכים רלוונטיים, כמו שמתואר בקטע מטא-נתונים.

מידע נוסף על הפקודה הזו של gcloud CLI זמין במאמר gcloud container node-pools create.

המאמרים הבאים