Installa Kf su Google Cloud (anteprima)

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Questo documento descrive come configurare un cluster GKE, quindi installare Kf e le relative dipendenze utilizzando le nuove funzionalità in anteprima.

Nota: questa guida all'installazione include le seguenti differenze notevoli rispetto alla guida all'installazione GA:

• Kf utilizzerà il nuovo stack wrapped v2 per offrire i vantaggi dei buildpack cloud-native per le applicazioni legacy.
• Rimuove Config Connector come dipendenza.
• Rimuove il ruolo IAM personalizzato serviceAccountUpdater.

Prima di iniziare

Nota: al momento i cluster GKE Autopilot non sono in grado di eseguire Kf. Utilizza un cluster GKE Standard. Per ulteriori informazioni su queste modalità e su Autopilot, consulta la panoramica di Autopilot.

Requisiti del cluster GKE

• Facoltativo, ma consigliato, il cluster deve essere dedicato a Kf. Ti consigliamo di installare solo Kf e le relative dipendenze per garantire la manutenzione della matrice di compatibilità.

• Almeno quattro nodi. Se devi aggiungere nodi, consulta Ridimensionare un cluster.

• Il tipo di macchina minimo che ha almeno quattro vCPU, ad esempio e2-standard-4. Se il tipo di macchina per il cluster non ha almeno quattro vCPU, modificalo come descritto in Eseguire la migrazione dei carichi di lavoro a tipi di macchine diversi.

• Facoltativo, ma consigliato, registra il cluster in un canale di rilascio. Segui le istruzioni riportate in Registrare un cluster esistente in un canale di rilascio se hai una versione GKE statica.

• Workload Identity abilitata.

Requisiti di Kf

Esamina e comprendi le autorizzazioni di accesso dei componenti in Kf nella pagina Dipendenze e architettura di Kf.

La matrice delle dipendenze elenca le versioni specifiche.

• Artifact Registry

• Cloud Service Mesh

• Config Connector

• Tekton per l'utilizzo da parte di Kf; questo non è un servizio rivolto agli utenti

• Un service account Google dedicato

Nota: la sezione Eseguire la pulizia contiene le istruzioni per eliminare il cluster.

Abilitare il supporto per Compute Engine

Accedi al tuo Google Cloud account. Se non hai mai utilizzato Google Cloud, crea un account per valutare il rendimento dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Abilita l'API Compute Engine.

   Abilita l'API

Abilitare il supporto per Artifact Registry

1. Abilita l'API Artifact Registry.

   Abilita l'API Artifact Registry

Abilitare e configurare GKE

Prima di iniziare, assicurati di aver eseguito le seguenti attività:

• Abilita l'API Google Kubernetes Engine.
Abilita l'API Google Kubernetes Engine
• Se vuoi utilizzare Google Cloud CLI per questa attività, installala e poi inizializza gcloud CLI. Se hai già installato gcloud CLI, scarica l'ultima versione eseguendo il gcloud components update comando. Le versioni precedenti di gcloud CLI potrebbero non supportare l'esecuzione dei comandi in questo documento.
  Nota: per le installazioni esistenti di gcloud CLI assicurati di impostare la compute/region proprietà. Se utilizzi principalmente cluster zonali, imposta invece compute/zone. Se imposti una località predefinita, puoi evitare errori in gcloud CLI come il seguente: One of [--zone, --region] must be supplied: Please specify location. Potresti dover specificare la posizione in determinati comandi se la posizione del cluster è diversa da quella predefinita che hai impostato.

Preparare un nuovo cluster GKE e i servizi correlati

Impostare le variabili di ambiente

Nota: esporta queste variabili di ambiente nel terminale o in Cloud Shell per far funzionare i comandi successivi. Se ti disconnetti dall'ambiente shell e ti riconnetti in un secondo momento, devi configurare di nuovo le variabili.

Linux e Mac

export PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_NAME=kf-cluster
export COMPUTE_ZONE=us-central1-a
export COMPUTE_REGION=us-central1
export CLUSTER_LOCATION=${COMPUTE_ZONE} # Replace ZONE with REGION to switch
export NODE_COUNT=4
export MACHINE_TYPE=e2-standard-4
export NETWORK=default

Windows PowerShell

Set-Variable -Name PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_NAME -Value kf-cluster
Set-Variable -Name COMPUTE_ZONE -Value us-central1-a
Set-Variable -Name COMPUTE_REGION -Value us-central1
Set-Variable -Name CLUSTER_LOCATION -Value $COMPUTE_ZONE # Replace ZONE with REGION to switch
Set-Variable -Name NODE_COUNT -Value 4
Set-Variable -Name MACHINE_TYPE -Value e2-standard-4
Set-Variable -Name NETWORK -Value default

Configurare account di servizio

Crea un Google Cloud service account che verrà associato a un service account Kubernetes tramite Workload Identity. In questo modo non è necessario creare e inserire una chiave del account di servizio.

Nota: leggi e comprendi le implicazioni per la sicurezza dell'utilizzo di Workload Identity nel documento Panoramica sulla sicurezza.

1. Crea il account di servizio che verrà utilizzato da Kf.

   gcloud iam service-accounts create ${CLUSTER_NAME}-sa \
   --project=${CLUSTER_PROJECT_ID} \
   --description="GSA for Kf ${CLUSTER_NAME}" \
   --display-name="${CLUSTER_NAME}"

2. Concedi il ruolo delle metriche di monitoraggio al account di servizio per l'accesso in scrittura a Cloud Monitoring.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/monitoring.metricWriter"

3. Concedi il ruolo di logging al account di servizio per l'accesso in scrittura a Cloud Logging.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/logging.logWriter"

Creare un cluster GKE

Nota: a scopo dimostrativo, queste istruzioni utilizzano un cluster zonale. Per i deployment di produzione, è consigliabile un cluster regionale.

gcloud container clusters create ${CLUSTER_NAME} \
  --project=${CLUSTER_PROJECT_ID} \
  --zone=${CLUSTER_LOCATION} \
  --num-nodes=${NODE_COUNT} \
  --machine-type=${MACHINE_TYPE} \
  --disk-size "122" \
  --network=${NETWORK} \
  --addons HorizontalPodAutoscaling,HttpLoadBalancing,GcePersistentDiskCsiDriver \
  --enable-dataplane-v2 \
  --enable-stackdriver-kubernetes \
  --enable-ip-alias \
  --enable-autorepair \
  --enable-autoupgrade \
  --scopes cloud-platform \
  --release-channel=regular \
  --workload-pool="${CLUSTER_PROJECT_ID}.svc.id.goog" \
  --service-account="${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

Impostare regole firewall

Kf richiede l'apertura di alcune porte firewall. Il nodo master deve essere in grado di comunicare con i pod sulle porte 80, 443, 8080, 8443 e 6443.

Abilitare Workload Identity

Ora che hai un account di servizio e un cluster GKE, associa lo spazio dei nomi dell'identità del cluster al cluster.

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[kf/controller]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

gcloud iam service-accounts add-iam-policy-binding \
  --project=${CLUSTER_PROJECT_ID} \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
  "${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

Cluster GKE di destinazione

Configura l'accesso alla riga di comando kubectl eseguendo il comando seguente.

gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${CLUSTER_PROJECT_ID} \
    --zone=${CLUSTER_LOCATION}

Creare un repository Artifact Registry

1. Crea un registro Artifact Registry in cui archiviare le immagini container.

   gcloud artifacts repositories create ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --repository-format=docker \
     --location=${COMPUTE_REGION}

2. Concedi l'autorizzazione del account di servizio sul repository Artifact Registry.

   gcloud artifacts repositories add-iam-policy-binding ${CLUSTER_NAME} \
     --project=${CLUSTER_PROJECT_ID} \
     --location=${COMPUTE_REGION} \
     --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role='roles/artifactregistry.writer'

Installare le dipendenze software su un cluster

Nota: la matrice delle dipendenze nella pagina Download di Kf contiene i numeri di versione delle dipendenze supportate per ogni versione di Kf.

1. Installa Cloud Service Mesh.

   1. Segui la guida all'installazione di Cloud Service Mesh.

   2. Dopo aver installato Cloud Service Mesh, devi creare un gateway Ingress utilizzando la guida all'installazione del gateway.

2. Installa Tekton:

   kubectl apply -f "https://storage.googleapis.com/tekton-releases/pipeline/previous/v0.29.0/release.yaml"

Installare Kf

Nota: assicurati che il cluster soddisfi i requisiti indicati in Creare e preparare un cluster GKE per Kf.

1. Installa l'interfaccia a riga di comando Kf:

   Linux

   Questo comando installa l'interfaccia a riga di comando Kf per tutti gli utenti del sistema. Segui le istruzioni nella scheda Cloud Shell per installarla solo per te.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-linux /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Mac

   Questo comando installa kf per tutti gli utenti del sistema.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-darwin /tmp/kf
   chmod a+x /tmp/kf
   sudo mv /tmp/kf /usr/local/bin/kf

   Cloud Shell

   Questo comando installa kf sull'istanza di Cloud Shell. Se utilizzi bash, potrebbe essere necessario modificare le istruzioni per altre shell.

   mkdir -p ~/bin
   gcloud storage cp gs://kf-releases/v2.7.3/kf-linux ~/bin/kf
   chmod a+x ~/bin/kf
   echo "export PATH=$HOME/bin:$PATH" >> ~/.bashrc
   source ~/.bashrc

   Windows

   Questo comando scarica kf nella directory corrente. Aggiungilo al percorso se vuoi chiamarlo da una directory diversa da quella corrente.

   gcloud storage cp gs://kf-releases/v2.7.3/kf-windows.exe kf.exe

2. Installa l'operatore:

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.7.3/operator.yaml"

3. Installa Kf AppDevExperience Build (ADX Build).

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   cat << EOF | kubectl apply --filename -
   apiVersion: builds.appdevexperience.dev/v1alpha1
   kind: BuildSystem
   metadata:
       name: buildsystem
   spec:
     secrets:
       workloadidentity:
         googleprojectid: ${CLUSTER_PROJECT_ID}
         googleserviceaccount: ${CLUSTER_NAME}-sa
     containerRegistry: ${CONTAINER_REGISTRY}
     enabled: true
   EOF

4. Configura ADX Build per Workload Identity.

   gcloud iam service-accounts add-iam-policy-binding \
     --project=${CLUSTER_PROJECT_ID} \
     --role roles/iam.workloadIdentityUser \
     --member "serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[adx-builds-system/controller]" \
     "${GSA_NAME}@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com"

5. Configura l'operatore per Kf:

   kubectl apply -f "https://storage.googleapis.com/kf-releases/v2.7.3/kfsystem.yaml"

6. Configura secret e valori predefiniti:

   export CONTAINER_REGISTRY=${COMPUTE_REGION}-docker.pkg.dev/${CLUSTER_PROJECT_ID}/${CLUSTER_NAME}
   
   kubectl patch \
   kfsystem kfsystem \
   --type='json' \
   -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': true, 'config': {'featureFlags': {'enable_appdevexperience_builds': true}, 'spaceContainerRegistry': '${CONTAINER_REGISTRY}', 'secrets':{'workloadidentity':{'googleserviceaccount':'${CLUSTER_NAME}-sa', 'googleprojectid':'${CLUSTER_PROJECT_ID}'}}}}}]"
   

Convalidare l'installazione

Nota: questo comando ispezionerà il cluster per assicurarsi che Kf e le relative dipendenze siano installati e funzionanti. Verrà eseguito fino a 20 volte per dare al cluster Kubernetes il tempo di riconciliarsi e dovrebbe generare una serie di risultati PASS. Se lo stato di un componente restituisce FAIL dopo i tentativi, consulta la pagina Risoluzione dei problemi di Kf.

kf doctor --retries=20

Eseguire la pulizia

Questi passaggi dovrebbero rimuovere tutti i componenti creati nella sezione Creare e preparare un nuovo cluster GKE.

1. Elimina il service account Google:

   gcloud iam service-accounts delete ${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com

2. Elimina le associazioni di policy IAM:

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountAdmin"
   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
       --member="serviceAccount:${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/monitoring.metricWriter"

3. Elimina il repository di immagini container:

   gcloud artifacts repositories delete ${CLUSTER_NAME} \
     --location=${COMPUTE_REGION}

4. Disinstalla Kf:

   kubectl patch kfsystem kfsystem \
     --type='json' \
     -p="[{'op': 'replace', 'path': '/spec/kf', 'value': {'enabled': false, }}]"

5. Elimina il cluster GKE:

   gcloud container clusters delete ${CLUSTER_NAME} --zone ${CLUSTER_LOCATION}