Installer Kf sur Google Cloud (Preview)

Preview

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités de pré-DG sont proposés "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Ce document explique comment configurer un cluster GKE puis installer Kf et ses dépendances à l'aide des nouvelles fonctionnalités en preview.

Remarque : Ce guide d'installation présente les différences notables suivantes par rapport au guide d'installation en disponibilité générale :

• Kf utilise la nouvelle pile encapsulée v2 pour fournir les avantages du buildpack cloud natif aux anciennes applications.
• Il supprime Config Connector en tant que dépendance.
• Il supprime le rôle IAM personnalisé serviceAccountUpdater.

Avant de commencer

Remarque : Les clusters GKE Autopilot ne sont pas en mesure d'exécuter Kf actuellement. Utilisez un cluster GKE standard. Pour plus d'informations sur ces modes et pour en savoir plus sur Autopilot, consultez la présentation d'Autopilot.

Configuration requise pour les clusters GKE

• Le cluster doit être dédié à Kf, mais cela n'est pas obligatoire. Nous vous recommandons de n'installer que Kf et ses dépendances pour vous assurer que la matrice de compatibilité est maintenue.

• Au moins quatre nœuds. Si vous devez ajouter des nœuds, consultez la page Redimensionner un cluster.

• Type de machine minimal comportant au moins quatre processeurs virtuels, tels que e2-standard-4. Si le type de machine de votre cluster ne comporte pas au moins quatre processeurs virtuels, modifiez le type de machine comme décrit dans la section Migrer des charges de travail vers différents types de machines.

• Nous vous recommandons d'inscrire le cluster dans une version disponible, mais cela n'est pas obligatoire. Suivez les instructions de la page Enregistrer un cluster existant dans une version disponible si vous disposez d'une version GKE statique.

• Workload Identity activé.

Prérequis pour Kf

Examinez et attachez-vous à comprendre les autorisations d'accès des composants dans Kf sur la page Dépendances et architecture de Kf.

La matrice de dépendances liste les versions spécifiques.

• Artifact Registry

• Cloud Service Mesh

• Config Connector

• Tekton, destiné à être utilisé par Kf (il ne s'agit pas d'un service visible par l'utilisateur)

• Un compte de service Google dédié

Remarque : La section Effectuer un nettoyage fournit des instructions sur la suppression du cluster.

Activer la compatibilité avec Compute Engine

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Activez l'API Compute Engine.

   Activer l'API

Activer la prise en charge d'Artifact Registry

1. Activez l'API Artifact Registry.

   Activer l'API Artifact Registry

Activer et configurer GKE

Avant de commencer, veillez à effectuer les tâches suivantes :

• Activez l'API Google Kubernetes Engine.
Activer l'API Google Kubernetes Engine
• Si vous souhaitez utiliser Google Cloud CLI pour cette tâche, installez puis initialisez la gcloud CLI. Si vous avez déjà installé la gcloud CLI, obtenez la dernière version en exécutant la commande gcloud components update. Il est possible que les versions antérieures de la gcloud CLI ne permettent pas d'exécuter les commandes de ce document.
  Remarque : Pour les installations de la gcloud CLI existantes, veillez à définir la propriété compute/region. Si vous utilisez principalement des clusters zonaux, définissez plutôt compute/zone. En définissant un emplacement par défaut, vous pouvez éviter les erreurs gcloud CLI de ce type : One of [--zone, --region] must be supplied: Please specify location. Vous devrez peut-être spécifier l'emplacement dans certaines commandes si celui de votre cluster diffère de l'emplacement par défaut que vous avez défini.

Préparer un nouveau cluster GKE et les services associés

Configurer des variables d'environnement

Remarque : Exportez ces variables d'environnement dans votre terminal ou dans Cloud Shell pour que les commandes suivantes fonctionnent. Si vous vous déconnectez de votre environnement de shell, puis que vous vous reconnectez ultérieurement, vous devez configurer à nouveau les variables.

Linux et Mac

export PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_NAME=kf-cluster
export COMPUTE_ZONE=us-central1-a
export COMPUTE_REGION=us-central1
export CLUSTER_LOCATION=${COMPUTE_ZONE} # Replace ZONE with REGION to switch
export NODE_COUNT=4
export MACHINE_TYPE=e2-standard-4
export NETWORK=default

Windows PowerShell

Set-Variable -Name PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_NAME -Value kf-cluster
Set-Variable -Name COMPUTE_ZONE -Value us-central1-a
Set-Variable -Name COMPUTE_REGION -Value us-central1
Set-Variable -Name CLUSTER_LOCATION -Value $COMPUTE_ZONE # Replace ZONE with REGION to switch
Set-Variable -Name NODE_COUNT -Value 4
Set-Variable -Name MACHINE_TYPE -Value e2-standard-4
Set-Variable -Name NETWORK -Value default

Configurer un compte de service

Créez un compte de service Google Cloud qui sera associé à un compte de service Kubernetes via Workload Identity. Cela évite de devoir créer et injecter une clé de compte de service.

Remarque : Veillez à lire et bien comprendre les conséquences de l'utilisation de Workload Identity en termes de sécurité décrites dans le document Présentation de la sécurité.

1. Créez le compte de service que Kf utilisera.

   gcloud iam service-accounts create ${CLUSTER_NAME}-sa \
   --project=${CLUSTER_PROJECT_ID} \
   --description="GSA for Kf ${CLUSTER_NAME}" \
   --display-name="${CLUSTER_NAME}"

2. Accordez au compte de service le rôle de surveillance des métriques pour un accès en écriture à Cloud Monitoring :

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/monitoring.metricWriter"

3. Accordez au compte de service le rôle de journalisation pour un accès en écriture à Cloud Logging :

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/logging.logWriter"

Créer un cluster GKE

Remarque : À des fins de démonstration, ces instructions utilisent un cluster zonal. Pour les déploiements de production, il est recommandé d'utiliser un cluster régional.

gcloud container clusters create ${CLUSTER_NAME} \
  --project=${CLUSTER_PROJECT_ID} \
  --zone=${CLUSTER_LOCATION} \
  --num-nodes=${NODE_COUNT} \
  --machine-type=${MACHINE_TYPE} \
  --disk-size "122" \
  --network=${NETWORK} \
  --addons HorizontalPodAutoscaling,HttpLoadBalancing,GcePersistentDiskCsiDriver \
  --enable-dataplane-v2 \
  --enable-stackdriver-kubernetes \
  --enable-ip-alias \
  --enable-autorepair \
  --enable-autoupgrade \
  --scopes cloud-platform \
  --release-channel=regular \
  --workload-pool="${CLUSTER_PROJECT_ID}.svc.id.goog" \
  --service-account="${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

Définir des règles de pare-feu

Kf nécessite l'ouverture de certains ports de pare-feu. Le nœud maître doit pouvoir communiquer avec les pods sur les ports 80, 443, 8080, 8443 et 6443.

Activer Workload Identity

Maintenant que vous disposez d'un compte de service et d'un cluster GKE, associez l'espace de noms d'identité du cluster au cluster.

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[kf/controller]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

Cibler le cluster GKE

Configurez l'accès à l'outil ligne de commande kubectl en exécutant la commande suivante :

gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${CLUSTER_PROJECT_ID} \
    --zone=${CLUSTER_LOCATION}

Créer un dépôt Artifact Registry

1. Créez un dépôt Artifact Registry pour stocker les images de conteneurs.

   gcloud artifacts repositories create ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --repository-format=docker \
     --location=${COMPUTE_REGION}

2. Accordez au compte de service l'autorisation d'accéder au dépôt Artifact Registry :

   gcloud artifacts repositories add-iam-policy-binding ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --location=${COMPUTE_REGION} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role='roles/artifactregistry.writer'

Installer des dépendances logicielles sur un cluster

Remarque : La matrice de dépendances disponible sur la page Téléchargements Kf indique les numéros de version des dépendances correspondant à chaque version de Kf.

1. Installez Cloud Service Mesh.

   1. Suivez le guide d'installation de Cloud Service Mesh.

   2. Après avoir installé Cloud Service Mesh, vous devez créer une passerelle d'entrée à l'aide du guide d'installation de passerelle.

2. Installez Tekton :

   kubectl apply -f "https://storage.googleapis.com/tekton-releases/pipeline/previous/v0.32.1/release.yaml"

Installer Kf

Remarque : Assurez-vous que votre cluster remplit les conditions requises indiquées dans Créer et préparer un cluster GKE pour Kf.

1. Installez la CLI Kf :

   Linux

   Cette commande installe la CLI Kf pour tous les utilisateurs du système. Suivez les instructions de l'onglet Cloud Shell pour l'installer juste pour vous.

   gcloud storage cp gs://kf-releases/v2.10.0/kf-linux /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Mac

   Cette commande installe kf pour tous les utilisateurs du système.

   gcloud storage cp gs://kf-releases/v2.10.0/kf-darwin /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Cloud Shell

   kf sera installé sur votre instance Cloud Shell si vous utilisez bash, et vous devrez peut-être modifier les instructions pour les autres interfaces système.

   mkdir -p ~/bin
   gcloud storage cp gs://kf-releases/v2.10.0/kf-linux ~/bin/kf
   chmod a+x ~/bin/kf
   echo "export PATH=$HOME/bin:$PATH" >> ~/.bashrc
   source ~/.bashrc

   Windows

   Cette commande télécharge kf dans le répertoire actuel. Si vous souhaitez l'appeler depuis un emplacement autre que le répertoire actuel, vous devez spécifier le chemin d'accès concerné.

   gcloud storage cp gs://kf-releases/v2.10.0/kf-windows.exe kf.exe

2. Installez l'opérateur :

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.10.0/operator.yaml"

3. Installez Kf AppDevExperience Build (ADX Build) :

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   cat << EOF | kubectl apply --filename -
   apiVersion: builds.appdevexperience.dev/v1alpha1
   kind: BuildSystem
   metadata:
       name: buildsystem
   spec:
     secrets:
       workloadidentity:
         googleprojectid: ${CLUSTER_PROJECT_ID}
         googleserviceaccount: ${CLUSTER_NAME}-sa
     containerRegistry: ${CONTAINER_REGISTRY}
     enabled: true
   EOF

4. Configurez ADX Build pour Workload Identity :

   gcloud iam service-accounts add-iam-policy-binding \
     --project=${CLUSTER_PROJECT_ID} \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[adx-builds-system/controller]" \
     "${GSA_NAME}@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

5. Configurez l'opérateur pour Kf :

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.10.0/kfsystem.yaml"

6. Configurez les secrets et les valeurs par défaut :

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   
   kubectl patch \
   kfsystem kfsystem \
   --type='json' \
   -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': true, 'config': {'featureFlags': {'enable_appdevexperience_builds': true}, 'spaceContainerRegistry': '${CONTAINER_REGISTRY}', 'secrets':{'workloadidentity':{'googleserviceaccount':'${CLUSTER_NAME}-sa', 'googleprojectid':'${CLUSTER_PROJECT_ID}'}}}}}]"
   

Valider l'installation

Remarque : Cette commande inspectera le cluster pour s'assurer que Kf et ses dépendances sont installés et fonctionnent. Elle s'exécute jusqu'à 20 fois afin de laisser le temps au cluster Kubernetes d'effectuer le rapprochement. La commande doit générer une série de résultats à l'état PASS. Si l'état d'un composant est défini sur FAIL après la série de tentatives, consultez Résoudre les problèmes liés à Kf.

kf doctor --retries=20

Effectuer un nettoyage

Cette procédure permet de supprimer tous les composants générés dans la section Créer et préparer un cluster GKE.

1. Supprimez le compte de service Google :

   gcloud iam service-accounts delete ${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com

2. Supprimez les liaisons de stratégie IAM :

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountAdmin"
   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/monitoring.metricWriter"

3. Supprimez le dépôt d'images de conteneurs :

   gcloud artifacts repositories delete ${CLUSTER_NAME} \
     --location=${COMPUTE_REGION}

4. Désinstallez Kf :

   kubectl patch kfsystem kfsystem \
     --type='json' \
     -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': false, }}]"

5. Supprimez le cluster GKE :

   gcloud container clusters delete ${CLUSTER_NAME} --zone ${CLUSTER_LOCATION}