共享单租户节点组

共享单租户节点组类似于本地单租户节点组。例如，共享节点组的费用相同，使用相同配额，并且也位于资源层次结构中的父项目下。

共享节点组和本地节点组之间的区别在于，您的组织中的其他项目可以在共享节点组中预配虚拟机 (VM) 实例。

跨多个项目或在整个组织中共享节点组可帮助您执行以下操作：

• 将您管理的节点组整合到一个项目中，然后与其他项目或整个组织共享这些节点

• 将各种项目的虚拟机合并到未充分利用的节点组后删除节点，从而降低费用

• 通过单个团队管理单租户节点

• 与较小的项目共享单租户节点，并保留这些项目之间的安全与访问权限控制边界

• 在同一项目中的节点组之间执行实时迁移

• 使用在节点组内迁移维护政策时，提高节点组的利用率并减少预留的维护节点的数量

下图展示了与其他项目共享的节点组，管理这些项目中的虚拟机的其他部门可以在共享节点组中预配虚拟机。

共享节点组的利用率优势

下表对使用本地节点组的项目和使用共享节点组的项目进行了比较。请注意，使用共享节点组的项目的 vCPU 利用率会降低。

共享节点组设置

Compute Engine 使用以下设置来共享节点组并在共享节点组中预配虚拟机：

• 您在创建或更新单租户节点组时配置的共享设置。如需指定是与其他项目还是与整个组织共享节点组，请使用 gcloud CLI 设置（--share-setting、--share-with）或 REST 设置（shareSetting、shareWith）。

• 默认 compute.googleapis.com/project 节点亲和性标签，供您在使用节点亲和性标签在共享节点组中预配虚拟机时使用。 如需了解其他默认节点亲和性标签，请参阅默认亲和性标签。

维护政策注意事项

当节点组使用在节点组内迁移维护政策时，Compute Engine 会为实时迁移事件至少预留 1 个节点，因此节点组必须至少有 2 个节点。您无法在预留节点中安排虚拟机，因此具有此维护政策的节点组通常总体利用率会较低。这使得需要在节点组内迁移维护政策的工作负载成为共享节点组的理想选择，因为它们通常可以从改进的利用率中获得最大的好处。

IAM 角色和权限

共享节点组时，请注意以下有关 IAM 角色和权限的信息：

• 如果节点组与项目共享，则任何能够在列出的项目或组织中创建虚拟机的用户都可以将这些项目中的虚拟机预配到共享节点组，而无需更改 IAM 角色或权限。

• compute.soleTenantViewer IAM 角色可让您列出和查看节点组 (gcloud CLI/REST)。您无法使用此角色修改节点组。拥有此角色或有权列出节点组的任何用户（无论他们在虚拟机上的 IAM 权限如何）都可以查看节点组中所有虚拟机的项目 ID、名称、机器类型以及有关本地 SSD 和 GPU 的信息。

限制

• 合规性制度限制：

  • 任何有权列出节点组的用户（无论他们在虚拟机上的 IAM 权限如何）都可以查看节点组中所有虚拟机的项目 ID、名称和机器类型。因此，由于跨项目信息披露的风险，在共享节点组中预配了虚拟机的项目应受相同的合规性制度约束。

• Google Cloud 控制台限制：

  • 如果您无权查看共享节点组上的虚拟机，则这些虚拟机不会显示在 Google Cloud 控制台的单租户节点页面上的虚拟机列表中。
  • 在单租户节点组页面上修改共享设置后，界面中的共享对象设置不会更新。如需查看更新后的共享对象设置，请转到单租户节点页面。
  • 与组织中的所有项目或组织中的选定项目共享节点组后，您只能看到其所属项目中的共享节点组：您无法看到它获得共享的项目中的共享节点组。如需在共享节点组上预配虚拟机，请从共享该节点组的项目中转到虚拟机实例页面，然后修改单租户节点亲和性标签。

• 共享限制：

  • 您必须更新节点组所属项目中的共享设置。
  • 使用 projects 共享设置时，您最多可以指定 100 个项目。
  • 您无法在组织之间共享节点组。例如，如果将包含共享节点组的项目从一个组织迁移到另一个组织，则还必须迁移在该共享节点组中运行虚拟机的所有项目。
  • 使用共享单租户节点组时，您无法在项目之间执行实时迁移。 如需了解详情，请参阅手动实时迁移虚拟机。

价格

共享节点组中的虚拟机不会产生额外费用，并且共享节点组本身也不会产生额外费用。如需详细了解单租户节点价格，请参阅单租户节点价格。

准备工作

• 在创建单租户节点组之前，创建单租户节点模板。
• 在单租户节点中预配虚拟机之前，请检查您的配额。根据您所预留节点的数量和大小，您可能需要申请更多配额。
• 如果您尚未设置身份验证，请进行设置。身份验证是通过其进行身份验证以访问 Google Cloud 服务和 API 的过程。如需从本地开发环境运行代码或示例，您可以按如下方式向 Compute Engine 进行身份验证。
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  如需在本地开发环境中使用本页面上的 REST API 示例，请使用您提供给 gcloud CLI 的凭据。

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  如需了解详情，请参阅 Google Cloud 身份验证文档中的使用 REST 时进行身份验证。

创建新的节点组并共享该节点组

如需创建新的节点组并将其与其他项目或整个组织共享，请使用 Google Cloud 控制台、gcloud CLI 或 REST。

gcloud compute sole-tenancy node-groups create NODE_GROUP \
    --zone=ZONE \
    --node-template=NODE_TEMPLATE \
    --target-size=SIZE \
    --share-setting=SHARE_SETTING \
    --share-with=PROJECTS

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups

{
  ...
  "name": NODE_GROUP,
  "nodeTemplate": NODE_TEMPLATE,
  "size": SIZE,
  "shareSettings": {
    "shareType": SHARE_TYPE,
    "projectMap": {
      string: {
        "projectId": PROJECTS
      },
    }
  }
  ...
}

在共享节点组中预配单租户虚拟机

如需在共享节点组中预配单租户虚拟机，请使用 Google Cloud 控制台、gcloud CLI 或 REST。

gcloud compute instances create VM_NAME \
    --machine-type=MACHINE_TYPE \
    --node-group=NODE_GROUP \
    --node-project=NODE_PROJECT

gcloud compute instances create VM_NAME \
    --machine-type=MACHINE_TYPE \
    --node-affinity-file=NODE_AFFINITY_FILE

POST https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/instances

{
  ...
  "name": VM_NAME,
  "machineType": MACHINE_TYPE,
  "scheduling": {
    ...
    "nodeAffinities": [
      {
        "key": KEY,
        "operator": OPERATOR,
        "values": [
          VALUE
        ]
      }
    ],
    ...
  },
  ...
}

查看节点组的共享设置

如需查看节点组的共享设置，请使用 Google Cloud 控制台、gcloud CLI 或 REST。

gcloud compute sole-tenancy node-groups describe NODE_GROUP

GET https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups

共享现有节点组

如需与其他项目或整个组织共享现有节点组，请使用 Google Cloud 控制台、gcloud CLI 或 REST。

gcloud compute sole-tenancy node-groups update NODE_GROUP \
    --zone=ZONE \
    --share-setting=SHARE_SETTING \
    --share-with=PROJECTS

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP

{
  "shareSettings": {
    "shareType": SHARE_TYPE,
    "projectMap": {
      string: {
        "projectId": PROJECTS
      },
    }
  }
}

停止共享节点组

如需停止与其他项目或整个组织共享节点组，请使用 gcloud CLI 或 REST。

gcloud compute sole-tenancy node-groups update NODE_GROUP \
    --zone=ZONE \
    --share-setting=local

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP

{
  "shareSettings": {
    "shareType": LOCAL
  }
}

从所属项目中删除共享节点组

如需从所属项目中删除共享节点组，请使用 Google Cloud 控制台、gcloud CLI 或 REST。在删除节点组之前，请停止该节点组中运行的所有虚拟机。

gcloud compute sole-tenancy node-groups delete NODE_GROUP

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/nodeGroups/NODE_GROUP