Knotengruppen für einzelne Mandanten freigeben

Freigegebene Knotengruppen für einzelne Mandanten sind mit lokalen Knotengruppen für einzelne Mandanten vergleichbar. Beispielsweise kosten freigegebene Knotengruppen dasselbe, nutzen dasselbe Kontingent und befinden sich in einem übergeordneten Projekt in der Ressourcenhierarchie.

Der Unterschied zwischen freigegebenen Knotengruppen und lokalen Knotengruppen besteht darin, dass andere Projekte in Ihrer Organisation VM-Instanzen in den freigegebenen Knotengruppen bereitstellen können.

Wenn Sie eine Knotengruppe für mehrere Projekte oder eine Organisation freigeben, können Sie Folgendes tun:

• Knotengruppen, die Sie verwalten, in einem einzelnen Projekt konsolidieren und diese Knoten dann für andere Projekte oder die gesamte Organisation freigeben

• Kosten senken, indem Sie Knoten nach der Konsolidierung der VMs aus verschiedenen Projekten in nicht ausgelasteten Knotengruppen löschen

• Knoten für einzelne Mandanten mit einem einzigen Team verwalten

• Knoten für einzelne Mandanten für kleinere Projekte freigeben und die Grenzen der Sicherheits- und Zugriffssteuerung zwischen diesen Projekten beibehalten

• Live-Migration zwischen Knotengruppen innerhalb desselben Projekts ausführen

• Auslastung Ihrer Knotengruppen verbessern und Anzahl der reservierten Wartungsknoten reduzieren, wenn Sie die Wartungsrichtlinie Innerhalb der Knotengruppe migrieren verwenden

Das folgende Diagramm zeigt eine Knotengruppe, die für andere Projekte freigegeben ist, sodass andere Abteilungen, die VMs in diesen Projekten verwalten, VMs in einer freigegebenen Knotengruppe bereitstellen können.

Vorteile von gemeinsam genutzten Knotengruppen

In der folgenden Tabelle werden Projekte, die lokale Knotengruppen verwenden, mit Projekten verglichen, die freigegebene Knotengruppen verwenden. Beachten Sie, dass die vCPU-Unterauslastung in Projekten, die freigegebene Knotengruppen verwenden, sinkt.

Einstellungen für die Freigabe von Knotengruppen

Compute Engine verwendet die folgenden Einstellungen für die Freigabe von Knotengruppen und die Bereitstellung von VMs in den freigegebenen Knotengruppen:

• Eine Freigabeeinstellung, die Sie beim Erstellen oder Aktualisieren der Knotengruppe für einzelne Mandanten konfigurieren. Wenn Sie angeben möchten, ob die Knotengruppe für andere Projekte oder für die gesamte Organisation freigegeben werden soll, verwenden Sie die Einstellungen für die gcloud CLI (--share-setting, --share-with) oder die REST-Einstellungen (shareSetting, shareWith).

• Das standardmäßige Knotenaffinitätslabel compute.googleapis.com/project, das Sie beim Bereitstellen einer VM in einer freigegebenen Knotengruppe mithilfe von Knotenaffinitätslabels verwenden. Informationen zu den anderen Standardknotenaffinitätslabels finden Sie unter Standardaffinitätslabels.

Überlegungen zur Wartungsrichtlinie

Wenn eine Knotengruppe die Wartungsrichtlinie Innerhalb der Knotengruppe migrieren verwendet, reserviert Compute Engine mindestens einen Knoten für Live-Migrationsereignisse, sodass die Knotengruppe mindestens zwei Knoten haben muss. Sie können keine VMs auf dem reservierten Knoten planen, weshalb Knotengruppen mit dieser Wartungsrichtlinie häufig eine niedrigere Gesamtauslastung haben. Dadurch sind Arbeitslasten, für die die Wartungsrichtlinie Innerhalb der Knotengruppe migrieren gute Kandidaten für die Freigabe von Knotengruppen ist, da diese häufig den größten Vorteil aus einer verbesserten Auslastung ziehen.

IAM-Rollen und -Berechtigungen

Beachten Sie beim Freigeben einer Knotengruppe die folgenden Informationen zu IAM-Rollen und -Berechtigungen:

• Wenn eine Knotengruppe für ein Projekt freigegeben wird, kann jeder Nutzer, der VMs in den aufgelisteten Projekten oder in der Organisation erstellen kann, VMs aus diesen Projekten in der freigegebenen Knotengruppe ohne Änderungen an IAM-Rollen oder -Berechtigungen bereitstellen.

• Mit der IAM-Rolle compute.soleTenantViewer können Sie Knotengruppen auflisten und ansehen (gcloud CLI/ REST). Mit dieser Rolle können Sie Knotengruppen nicht ändern. Jeder Nutzer mit dieser Rolle oder mit der Berechtigung, Knotengruppen aufzulisten, kann unabhängig von den IAM-Berechtigungen für die VM die Projekt-ID, den Namen, den Maschinentyp und Informationen über lokale SSDs und GPUs für alle VMs in der Knotengruppe anzeigen.

Beschränkungen

• Einschränkungen durch die Complianceregelung:

  • Unabhängig von den IAM-Berechtigungen auf der VM kann jeder Nutzer mit Berechtigungen zum Auflisten von Knotengruppen die Projekt-ID, den Namen und den Maschinentyp für alle VMs in der Knotengruppe aufrufen. Aufgrund des Risikos der projektübergreifenden Informationsoffenlegung sollten Projekte, in denen VMs in gemeinsam genutzten Knotengruppen bereitgestellt werden, der selben Complianceregelung unterliegen.

• Einschränkungen durch die Google Cloud Console:

  • Wenn Sie keine Berechtigung zum Aufrufen von VMs in der freigegebenen Knotengruppe haben, werden diese VMs nicht in der VM-Liste auf der Seite Knoten für einzelne Mandanten in der Google Cloud Console angezeigt.
  • Nachdem Sie die Freigabeeinstellungen auf der Seite Knotengruppen für einzelne Mandanten geändert haben, wird die Einstellung Freigegeben für in der Benutzeroberfläche nicht aktualisiert. Die aktualisierte Einstellung Freigegeben für finden Sie auf der Seite Knoten für einzelne Mandanten.
  • Nachdem Sie eine Knotengruppe für alle Projekte innerhalb einer Organisation oder für ausgewählte Projekte innerhalb einer Organisation freigegeben haben, können Sie die freigegebene Knotengruppe nur vom zugehörigen Projekt aus sehen. Sie können die freigegebene Knotengruppe nicht von den Projekten aus sehen, für die sie freigegeben wurde. Rufen Sie zum Bereitstellen einer VM in der freigegebenen Knotengruppe aus dem Projekt, für das die Knotengruppe freigegeben ist, die Seite VM-Instanzen auf und ändern Sie dann die Affinitätslabels von Knoten für einzelne Mandanten.

• Einschränkungen bei der Freigabe:

  • Sie müssen die Freigabeeinstellungen aus dem Projekt aktualisieren, zu dem die Knotengruppe gehört.
  • Wenn Sie die Freigabeeinstellung projects verwenden, können Sie maximal 100 Projekte angeben.
  • Sie können Knotengruppen nicht für mehrere Organisationen freigeben. Wenn Sie beispielsweise ein Projekt von einer Organisation zu einer anderen migrierenund das Projekt eine gemeinsam genutzte Knotengruppe enthält, müssen Sie auch alle Projekte migrieren, deren VMs in dieser gemeinsam genutzten Knotengruppe ausgeführt werden.
  • Sie können keine Live-Migration zwischen Projekten ausführen, wenn Sie freigegebene Knotengruppen für einzelne Mandanten verwenden. Weitere Informationen finden Sie unter VMs manuell live migrieren.

Preise

Für VMs in freigegebenen Knotengruppen fallen keine zusätzlichen Gebühren an. Für die Freigabe von Knotengruppen fallen keine zusätzlichen Gebühren an. Mehr zu den Preisen für Knoten für einzelne Mandanten finden Sie unter Preise für Knoten für einzelne Mandanten.

Hinweise

• Bevor Sie eine Knotengruppe für einzelne Mandanten erstellen, erstellen Sie eine Knotenvorlage für einzelne Mandanten.
• Prüfen Sie Ihr Kontingent, bevor Sie VMs auf einem Knoten für einen einzelnen Mandanten bereitstellen. Je nach Anzahl und Größe der reservierten Knoten müssen Sie zusätzliche Kontingente anfordern.
• Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud-Dienste und APIs überprüft. Zur Ausführung von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich bei Compute Engine authentifizieren. Wählen Sie dazu eine der folgenden Optionen aus:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.

Neue Knotengruppe erstellen und freigeben

Wenn Sie eine neue Knotengruppe erstellen und für andere Projekte oder die gesamte Organisation freigeben möchten, verwenden Sie die Google Cloud Console, die gcloud CLI oder REST.

gcloud compute sole-tenancy node-groups create NODE_GROUP \
    --zone=ZONE \
    --node-template=NODE_TEMPLATE \
    --target-size=SIZE \
    --share-setting=SHARE_SETTING \
    --share-with=PROJECTS

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups

{
  ...
  "name": NODE_GROUP,
  "nodeTemplate": NODE_TEMPLATE,
  "size": SIZE,
  "shareSettings": {
    "shareType": SHARE_TYPE,
    "projectMap": {
      string: {
        "projectId": PROJECTS
      },
    }
  }
  ...
}

VM für einzelne Mandanten in einer freigegebenen Knotengruppe bereitstellen

Wenn Sie eine VM für einzelne Mandanten in einer freigegebenen Knotengruppe bereitstellen möchten, verwenden Sie die Google Cloud Console, die gcloud CLI oder REST.

gcloud compute instances create VM_NAME \
    --machine-type=MACHINE_TYPE \
    --node-group=NODE_GROUP \
    --node-project=NODE_PROJECT

gcloud compute instances create VM_NAME \
    --machine-type=MACHINE_TYPE \
    --node-affinity-file=NODE_AFFINITY_FILE

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/instances

{
  ...
  "name": VM_NAME,
  "machineType": MACHINE_TYPE,
  "scheduling": {
    ...
    "nodeAffinities": [
      {
        "key": KEY,
        "operator": OPERATOR,
        "values": [
          VALUE
        ]
      }
    ],
    ...
  },
  ...
}

Freigabeeinstellungen einer Knotengruppe ansehen

Verwenden Sie die Google Cloud Console, die gcloud CLI oder REST, um sich die Freigabeeinstellungen einer Knotengruppe anzusehen.

gcloud compute sole-tenancy node-groups describe NODE_GROUP

GET https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups

Vorhandene Knotengruppe freigeben

Verwenden Sie die Google Cloud Console, die gcloud CLI oder REST, um eine vorhandene Knotengruppe für andere Projekte oder die gesamte Organisation freizugeben.

gcloud compute sole-tenancy node-groups update NODE_GROUP \
    --zone=ZONE \
    --share-setting=SHARE_SETTING \
    --share-with=PROJECTS

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP

{
  "shareSettings": {
    "shareType": SHARE_TYPE,
    "projectMap": {
      string: {
        "projectId": PROJECTS
      },
    }
  }
}

Freigabe einer Knotengruppe beenden

Wenn Sie die Freigabe einer Knotengruppe für andere Projekte oder die gesamte Organisation beenden möchten, verwenden Sie die gcloud CLI oder REST.

gcloud compute sole-tenancy node-groups update NODE_GROUP \
    --zone=ZONE \
    --share-setting=local

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP

{
  "shareSettings": {
    "shareType": LOCAL
  }
}

Freigegebene Knotengruppe aus dem Inhaberprojekt löschen

Verwenden Sie die Google Cloud Console, die gcloud CLI oder REST, um eine freigegebene Knotengruppe aus dem Inhaberprojekt zu löschen. Beenden Sie vor dem Löschen einer Knotengruppe alle VMs, die in der Knotengruppe ausgeführt werden.

gcloud compute sole-tenancy node-groups delete NODE_GROUP

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP