תובנות לגבי חשבונות שירות של צומתי GKE

בדף הזה מוסבר על התובנות של Network Analyzer לגבי חשבונות שירות של צמתים ב-Google Kubernetes Engine ‏ (GKE). מידע על כל סוגי התובנות זמין במאמר קבוצות וסוגים של תובנות.

כדי להציג את התובנות האלה ב-CLI של gcloud או ב-Recommender API, צריך להשתמש בסוג התובנה הבא:

  • google.networkanalyzer.container.serviceAccountInsight

נדרשות ההרשאות הבאות:

  • recommender.networkAnalyzerGkeServiceAccountInsights.list
  • recommender.networkAnalyzerGkeServiceAccountInsights.get

מידע נוסף על השימוש ב-Recommender API לתובנות של Network Analyzer זמין במאמר שימוש ב-Recommender CLI וב-API.

חשבון השירות של צומת GKE מושבת

התובנה הזו מצביעה על כך שבמאגר אחד או יותר באשכול נעשה שימוש בחשבון שירות של צומת GKE שהושבת. מצב כזה עלול להוביל לכשל בהפעלה הראשונית וברישום של צמתים באשכול שנוצרו כשהחשבון מושבת.

התובנה הזו כוללת את המידע הבא:

  • חשבון שירות: סוג מיוחד של חשבון, שמשמש בדרך כלל אפליקציה או עומס עבודה, כמו מכונה של Compute Engine, ולא אנשים. הוא מזוהה באמצעות כתובת האימייל הייחודית שלו. המידע הזה זמין ב-Recommender API.
  • ‫GKE cluster: השם של אשכול GKE
  • מאגרי צמתים: רשימה של מאגרי צמתים שמשתמשים בחשבון השירות המושבת

מידע נוסף מופיע במאמרים הפעלה של חשבון שירות ברירת המחדל של Compute Engine והשבתה של חשבון שירות.

המלצות

הפעלת חשבון השירות של הצומת. אם יש מאגרי צמתים מושפעים עם צמתים לא רשומים, הצמתים יופעלו מחדש וירשמו כראוי לאשכול. יכול להיות שיעבור זמן עד שכל הצמתים יופעלו מחדש. כדי לפתור את הבעיה במהירות, מומלץ לשנות את הגודל של מאגר הצמתים לאפס צמתים ואז בחזרה ל-X צמתים, או ליצור מאגר צמתים חדש שמשתמש באותו חשבון שירות של הצומת.

מאגר הצמתים של GKE משתמש בחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine

מאגר הצמתים באשכול GKE משתמש בחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine כחשבון השירות של הצומת. החשבון הזה דורש הרשאות נוספות מעבר לאלה שנדרשות להרצת אשכול Google Kubernetes Engine.

התובנה הזו כוללת את המידע הבא:

  • ‫GKE cluster: שם של אשכול GKE
  • מאגרי צמתים: רשימה של מאגרי צמתים שמשתמשים בחשבון השירות שמוגדר כברירת מחדל

מידע נוסף מופיע במאמר שימוש בחשבונות שירות עם הרשאות מינימליות.

המלצות

במקום להשתמש בחשבון השירות שמוגדר כברירת מחדל של Compute Engine, כדאי ליצור חשבון שירות עם פחות הרשאות ולהשתמש בו עבור הצמתים.

הגדרות לא תקינות של היקפי גישה במאגר צמתים של GKE

במאגר הצמתים באשכול GKE שלכם צוינו היקפי גישה באופן ידני, אבל ההיקפים שצוינו לא מספיקים לרישום צומת.

אם עומסי העבודה שלכם משתמשים ב-Application Default Credentials ‏ (ADC),‏ היקפי הגישה הם השיטה הקודמת למתן הרשאות לצמתים ולעומסי העבודה שפועלים בצמתים. בצמתים של GKE, תמיד צריך להשתמש לפחות בהיקפי ברירת המחדל, אחרת לא תהיה אפשרות לרשום אותם.

התובנה הזו כוללת את המידע הבא:

  • ‫GKE cluster: השם של אשכול GKE
  • מאגרי צמתים: רשימה של מאגרי צמתים עם היקפי גישה שהוגדרו בצורה שגויה

מידע נוסף זמין במאמר בנושא היקפי גישה ב-GKE.

המלצות

מחליפים את מאגר הצמתים במאגר עם היקפי גישה מספיקים. כדי ליצור מאגר צמתים עם היקפי גישה מספיקים, מבצעים אחת מהפעולות הבאות:

  • יוצרים את מאגר הצמתים החדש בלי לציין היקפי גישה. ב-Google Cloud CLI, אל תכללו את הדגל --scopes כשמפעילים את gcloud container node-pools create.

    כדי לתת הרשאה לעומסי עבודה שפועלים בצמתים, משתמשים בהרשאות של ניהול זהויות והרשאות גישה (IAM) או בבקרת גישה מבוססת-תפקידים (RBAC) של Kubernetes. ההרשאה הזו מאפשרת גישה לחשבונות שירות ספציפיים של IAM או לחשבונות שירות של Kubernetes. מידע נוסף מופיע במאמר הגדרת חשבון שירות בהתאמה אישית לעומסי עבודה.

  • ברשימת מאגרי הצמתים החדשה של היקפי גישה שצוינו באופן ידני, מוסיפים את היקפי הגישה הבאים.

    • https://www.googleapis.com/auth/devstorage.read_only
    • https://www.googleapis.com/auth/service.management.readonly
    • https://www.googleapis.com/auth/servicecontrol
    • https://www.googleapis.com/auth/trace.append
    • https://www.googleapis.com/auth/logging.write
    • https://www.googleapis.com/auth/monitoring.write