Kf in Google Cloud installieren (Vorabversion)

Vorschau

Dieses Produkt oder Feature unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der Dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Features sind „im Ist-Zustand“ verfügbar und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

In diesem Dokument wird beschrieben, wie Sie einen GKE-Cluster einrichten und dann Kf und seine Abhängigkeiten mithilfe neuer Features in der Vorschaumodus installieren.

Hinweis: Diese Installationsanleitung weicht in den folgenden wichtigen Punkten von der GA-Installationsanleitung ab:

• Kf verwendet den neuen verpackten v2-Stack, um die Vorteile cloudnativer Buildpacks für Legacy-Anwendungen zu liefern.
• Config Connector wurde als Abhängigkeit entfernt.
• Die benutzerdefinierte IAM-Rolle serviceAccountUpdater wurde entfernt.

Hinweis

Hinweis: GKE-Cluster von Autopilot können derzeit nicht Kf ausführen. Verwenden Sie einen Standard-GKE-Cluster. Weitere Informationen zu diesen Modi und zu Autopilot finden Sie unter Autopilot-Übersicht.

GKE-Clusteranforderungen

• Der Cluster sollte Kf zugeordnet werden. Diese Einstellung ist optional, wird aber empfohlen. Wir empfehlen, nur Kf und dessen Abhängigkeiten zu installieren, damit die Kompatibilitätsmatrix erhalten bleibt.

• Mindestens vier Knoten. Informationen zum Hinzufügen von Knoten finden Sie unter Größe eines Clusters anpassen.

• Der minimale Maschinentyp mit mindestens vier vCPUs, z. B. e2-standard-4. Wenn der Maschinentyp für Ihren Cluster nicht mindestens vier vCPUs hat, ändern Sie den Maschinentyp, wie unter Arbeitslasten zu anderen Maschinentypen migrieren beschrieben.

• Es wird empfohlen, den Cluster in einer Release-Version zu registrieren. Dies ist jedoch optional. Folgen Sie der Anleitung unter Vorhandenen Cluster in einer Release-Version registrieren, wenn Sie eine statische GKE-Version haben.

• Workload Identity ist aktiviert.

Kf-Anforderungen

Zugriffsberechtigungen von Komponenten in Kf auf der Seite Abhängigkeiten und Architektur von Kf ansehen und verstehen.

In der Abhängigkeitsmatrix werden die einzelnen Versionen aufgelistet.

• Artifact Registry

• Cloud Service Mesh

• Config Connector

• Tekton zur Verwendung durch Kf; dieser Dienst ist für Nutzer nicht sichtbar

• Ein dediziertes Google-Dienstkonto

Hinweis: Der Abschnitt Bereinigen enthält eine Anleitung zum Löschen des Clusters.

Unterstützung für Compute Engine aktivieren

Melden Sie sich in Ihrem Google Cloud Konto an. Wenn Sie noch kein Google Cloud-Nutzer sind, erstellen Sie ein Konto, um zu sehen, wie sich unsere Produkte in realen Szenarien schlagen. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Aktivieren Sie die Compute Engine API.

   API aktivieren

Unterstützung für Artifact Registry aktivieren

1. Aktivieren Sie die Artifact Registry API.

   Artifact Registry API aktivieren

GKE aktivieren und konfigurieren

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

• Aktivieren Sie die Google Kubernetes Engine API.
Google Kubernetes Engine API aktivieren
• Wenn Sie die Google Cloud CLI für diesen Task verwenden möchten, installieren und dann initialisieren Sie die gcloud CLI. Wenn Sie die gcloud CLI bereits installiert haben, rufen Sie die neueste Version mit dem gcloud components update Befehl ab. Ältere gcloud CLI-Versionen unterstützen möglicherweise nicht die Ausführung der Befehle in diesem Dokument.
  Hinweis: Legen Sie für vorhandene Installationen der gcloud CLI das Attribut compute/region fest. Wenn Sie hauptsächlich zonale Cluster verwenden, legen Sie stattdessen compute/zone fest. Wenn Sie einen standardmäßigen Speicherort festlegen, können Sie in der gcloud CLI Fehler wie diesen vermeiden: One of [--zone, --region] must be supplied: Please specify location. Bei bestimmten Befehlen müssen Sie möglicherweise den Speicherort angeben, wenn er sich von dem von Ihnen festgelegten Standard unterscheidet.

Neuen GKE-Cluster und zugehörige Dienste vorbereiten

Umgebungsvariablen einrichten

Hinweis: Exportieren Sie diese Umgebungsvariablen in Ihr Terminal oder in Cloud Shell, um die folgenden Befehle auszuführen. Wenn Sie die Verbindung zu Ihrer Shell-Umgebung trennen und später wiederherstellen, müssen Sie die Variablen neu einrichten.

Linux und Mac

export PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_NAME=kf-cluster
export COMPUTE_ZONE=us-central1-a
export COMPUTE_REGION=us-central1
export CLUSTER_LOCATION=${COMPUTE_ZONE} # Replace ZONE with REGION to switch
export NODE_COUNT=4
export MACHINE_TYPE=e2-standard-4
export NETWORK=default

Windows PowerShell

Set-Variable -Name PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_NAME -Value kf-cluster
Set-Variable -Name COMPUTE_ZONE -Value us-central1-a
Set-Variable -Name COMPUTE_REGION -Value us-central1
Set-Variable -Name CLUSTER_LOCATION -Value $COMPUTE_ZONE # Replace ZONE with REGION to switch
Set-Variable -Name NODE_COUNT -Value 4
Set-Variable -Name MACHINE_TYPE -Value e2-standard-4
Set-Variable -Name NETWORK -Value default

Dienstkonto einrichten

Erstellen Sie ein Google Cloud -Dienstkonto, das über Workload Identity mit einem Kubernetes-Dienstkonto verknüpft wird. Dadurch müssen Sie keinen Dienstkontoschlüssel erstellen und einfügen.

**Hinweis**: Im Dokument Sicherheit – Übersicht finden Sie Informationen dazu, wie sich die Verwendung von Workload Identity auf die Sicherheit auswirkt.

1. Erstellen Sie das von Kf verwendete Dienstkonto.

   gcloud iam service-accounts create ${CLUSTER_NAME}-sa \
   --project=${CLUSTER_PROJECT_ID} \
   --description="GSA for Kf ${CLUSTER_NAME}" \
   --display-name="${CLUSTER_NAME}"

2. Weisen Sie den Monitoring-Messwerten im Dienstkonto eine Rolle für den Schreibzugriff auf Cloud Monitoring zu.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/monitoring.metricWriter"

3. Weisen Sie für den Schreibzugriff auf Cloud Logging dem Dienstkonto die Logging-Rolle zu.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/logging.logWriter"

GKE-Cluster erstellen

Hinweis: Diese Anleitung verwendet zu Demonstrationszwecken einen zonalen Cluster. Für Produktionsbereitstellungen wird ein regionaler Cluster empfohlen.

gcloud container clusters create ${CLUSTER_NAME} \
  --project=${CLUSTER_PROJECT_ID} \
  --zone=${CLUSTER_LOCATION} \
  --num-nodes=${NODE_COUNT} \
  --machine-type=${MACHINE_TYPE} \
  --disk-size "122" \
  --network=${NETWORK} \
  --addons HorizontalPodAutoscaling,HttpLoadBalancing,GcePersistentDiskCsiDriver \
  --enable-dataplane-v2 \
  --enable-stackdriver-kubernetes \
  --enable-ip-alias \
  --enable-autorepair \
  --enable-autoupgrade \
  --scopes cloud-platform \
  --release-channel=regular \
  --workload-pool="${CLUSTER_PROJECT_ID}.svc.id.goog" \
  --service-account="${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

Firewallregeln festlegen

Für Kf müssen einige Firewallports geöffnet sein. Der Masterknoten muss mit Pods über die Ports 80, 443, 8080, 8443 und 6443 kommunizieren können.

Workload Identity aktivieren

Nachdem Sie nun ein Dienstkonto und einen GKE-Cluster haben, verknüpfen Sie den Identitäts-Namespace des Clusters mit dem Cluster.

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[kf/controller]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

GKE-Zielcluster

Konfigurieren Sie den Zugriff auf die kubectl-Befehlszeile mit dem folgenden Befehl:

gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${CLUSTER_PROJECT_ID} \
    --zone=${CLUSTER_LOCATION}

Artifact Registry-Repository erstellen

1. Erstellen Sie eine Artifact Registry, in der Container-Images gespeichert werden.

   gcloud artifacts repositories create ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --repository-format=docker \
     --location=${COMPUTE_REGION}

2. Gewähren Sie dem Dienstkonto die Berechtigung für das Artifact Registry-Repository.

   gcloud artifacts repositories add-iam-policy-binding ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --location=${COMPUTE_REGION} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role='roles/artifactregistry.writer'

Softwareabhängigkeiten auf einem Cluster installieren

Hinweis: Die Abhängigkeitsmatrix auf der Seite Kf-Downloads enthält Versionsnummern für unterstützte Abhängigkeiten für jede Kf-Version.

1. Installieren Sie Cloud Service Mesh.

   1. Öffnen Sie die Cloud Service Mesh-Installationsanleitung.

   2. Nach der Installation von Cloud Service Mesh müssen Sie ein Ingress-Gateway mithilfe der Gateway-Installationsanleitung erstellen.

2. Installieren Sie Tekton:

   kubectl apply -f "https://storage.googleapis.com/tekton-releases/pipeline/previous/v0.29.0/release.yaml"

Kf installieren

Hinweis: Sorgen Sie dafür, dass Ihr Cluster die Anforderungen unter GKE-Cluster für Kf erstellen und vorbereiten erfüllt.

1. Installieren Sie die Kf-Befehlszeile:

   Linux

   Mit diesem Befehl wird die Kf-Befehlszeile für alle Nutzer im System installiert. Folgen Sie der Anleitung auf dem Cloud Shell-Tab, um Kf nur für die eigene Nutzung zu installieren.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-linux /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Mac

   Mit diesem Befehl wird kf für alle Nutzer im System installiert.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-darwin /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Cloud Shell

   Mit diesem Befehl wird kf auf Ihrer Cloud Shell-Instanz installiert, wenn Sie bash verwenden. Für andere Shells muss die Anleitung möglicherweise angepasst werden.

   mkdir -p ~/bin
   gcloud storage cp gs://kf-releases/v2.7.3/kf-linux ~/bin/kf
   chmod a+x ~/bin/kf
   echo "export PATH=$HOME/bin:$PATH" >> ~/.bashrc
   source ~/.bashrc

   Windows

   Mit diesem Befehl wird kf in das aktuelle Verzeichnis heruntergeladen. Fügen Sie es dem Pfad hinzu, wenn Sie es von außerhalb des aktuellen Verzeichnisses aufrufen möchten.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-windows.exe kf.exe

2. Installieren Sie den Operator:

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.7.3/operator.yaml"

3. Installieren Sie Kf AppDevExperience Build (ADX-Build).

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   cat << EOF | kubectl apply --filename -
   apiVersion: builds.appdevexperience.dev/v1alpha1
   kind: BuildSystem
   metadata:
       name: buildsystem
   spec:
     secrets:
       workloadidentity:
         googleprojectid: ${CLUSTER_PROJECT_ID}
         googleserviceaccount: ${CLUSTER_NAME}-sa
     containerRegistry: ${CONTAINER_REGISTRY}
     enabled: true
   EOF

4. Konfigurieren Sie den ADX-Build für Workload Identity.

   gcloud iam service-accounts add-iam-policy-binding \
     --project=${CLUSTER_PROJECT_ID} \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[adx-builds-system/controller]" \
     "${GSA_NAME}@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

5. Konfigurieren Sie den Operator für Kf:

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.7.3/kfsystem.yaml"

6. Richten Sie Secrets und Standardeinstellungen ein:

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   
   kubectl patch \
   kfsystem kfsystem \
   --type='json' \
   -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': true, 'config': {'featureFlags': {'enable_appdevexperience_builds': true}, 'spaceContainerRegistry': '${CONTAINER_REGISTRY}', 'secrets':{'workloadidentity':{'googleserviceaccount':'${CLUSTER_NAME}-sa', 'googleprojectid':'${CLUSTER_PROJECT_ID}'}}}}}]"
   

Installation prüfen

Hinweis: Mit diesem Befehl wird der Cluster geprüft, um sicherzustellen, dass Kf und seine Abhängigkeiten installiert sind und funktionieren. Er wird bis zu 20‑mal ausgeführt, um dem Kubernetes-Cluster Zeit zum Abgleichen zu geben. Außerdem sollte eine Reihe von PASS-Ergebnissen erzeugt werden. Wenn der Status einer Komponente nach den Wiederholungsversuchen FAIL ergibt, finden Sie weitere Informationen auf der Seite Kf-Fehlerbehebung.

kf doctor --retries=20

Bereinigen

Bei diesen Schritten werden alle Komponenten entfernt, die im Abschnitt Neuen GKE-Cluster erstellen und vorbereiten erstellt wurden.

1. Löschen Sie das Google-Dienstkonto:

   gcloud iam service-accounts delete ${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com

2. Löschen Sie IAM-Richtlinienbindungen:

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountAdmin"
   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/monitoring.metricWriter"

3. Löschen Sie das Container-Image-Repository:

   gcloud artifacts repositories delete ${CLUSTER_NAME} \
     --location=${COMPUTE_REGION}

4. Deinstallieren Sie Kf:

   kubectl patch kfsystem kfsystem \
     --type='json' \
     -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': false, }}]"

5. Löschen Sie den GKE-Cluster:

   gcloud container clusters delete ${CLUSTER_NAME} --zone ${CLUSTER_LOCATION}