コンテナ化されたウェブサーバー アプリをデプロイする

マネージド Harbor レジストリを作成する

GDC air-gapped は、Harbor as a Service を提供します。これは、Harbor を使用してコンテナ イメージを保存および管理できるフルマネージド サービスです。

Harbor as a Service を使用するには、まず Harbor レジストリ インスタンスと Harbor プロジェクトを作成する必要があります。

Harbor レジストリ インスタンスを作成する

Harbor コンテナ レジストリ インスタンスを作成する手順は次のとおりです。

レジストリに Harbor プロジェクトを作成する

コンテナ イメージを管理するには、Harbor レジストリ インスタンス内に Harbor プロジェクトを作成する必要があります。

Configure Docker

Harbor レジストリで Docker を使用するには、次の手順を行います。

1. Harbor as a Service を信頼するように Docker を構成します。詳細については、Harbor ルート CA を信頼するように Docker を構成するをご覧ください。

2. Harbor に対する Docker 認証を構成します。詳細については、Harbor レジストリ インスタンスに対する Docker 認証を構成するをご覧ください。

Kubernetes イメージ pull シークレットを作成する

非公開の Harbor プロジェクトを使用しているため、Kubernetes イメージ pull シークレットを作成する必要があります。

1. サービス アカウントとして機能する Harbor プロジェクト ロボット アカウントを追加します。

   1. Harbor コンソールで、Harbor プロジェクトを選択します。

   2. [ロボット アカウント] をクリックします。

   3. [New Robot Account] を選択します。

   4. 新しいロボット アカウントに名前を付け、追加の設定を定義します。

   5. [追加] をクリックします。

   6. ロボット アカウントの名前とシークレットが成功画面に表示されます。次のステップで参照するため、この画面を開いたままにしておきます。

   詳細については、Harbor のドキュメント（https://goharbor.io/docs/2.8.0/working-with-projects/project-configuration/create-robot-accounts/#add-a-robot-account）をご覧ください。

2. 新しいターミナル ウィンドウで、Harbor プロジェクトのロボット アカウントとシークレット トークンを使用して Docker にログインします。

   docker login ${INSTANCE_URL}
   

   プロンプトが表示されたら、前の手順で Harbor コンソールの成功画面から提供されたロボット プロジェクト名を [Username] に、シークレット トークンを [Password] に挿入します。

3. イメージ pull シークレットに任意の名前を設定します。

   export SECRET=SECRET
   

4. イメージ pull に必要なシークレットを作成します。

   kubectl create secret docker-registry ${SECRET}  \
       --from-file=.dockerconfigjson=DOCKER_CONFIG \
       -n ${NAMESPACE}
   

   DOCKER_CONFIG は、.docker/config.json ファイルのパスに置き換えます。

5. Secret が GDC プロジェクトの Namespace に存在することを確認します。

   kubectl get secrets -n ${NAMESPACE}
   

   出力は次のようになります。

   NAME          TYPE                               DATA     AGE
   my-secret     kubernetes.io/dockerconfigjson     1        23s
   

コンテナ イメージをマネージド Harbor レジストリに push する

このチュートリアルでは、nginx ウェブサーバー イメージをダウンロードしてマネージド Harbor レジストリに push し、それを使用してサンプル nginx ウェブサーバー アプリを Kubernetes クラスタにデプロイします。nginx ウェブサーバー アプリは、一般公開されている Docker Hub リポジトリから入手できます。

1. 外部ネットワークを使用して、Docker Hub からローカル ワークステーションに nginx イメージを pull します。

   docker pull nginx
   

2. ローカル イメージにリポジトリ名でタグ付けします。

   docker tag nginx ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25
   

3. nginx コンテナ イメージをマネージド Harbor レジストリに push します。

   docker push ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25
   

Kubernetes クラスタの作成

nginx コンテナ イメージがマネージド Harbor レジストリに保存され、アクセスできるようになったので、nginx ウェブサーバーを実行する Kubernetes クラスタを作成します。

Kubernetes クラスタの作成の詳細については、Kubernetes クラスタを作成するをご覧ください。

サンプル コンテナアプリをデプロイする

これで、nginx コンテナ イメージを Kubernetes クラスタにデプロイする準備が整いました。

Kubernetes では、アプリケーションは Pod リソースとして表されます。これは、1 つ以上のコンテナを保持するスケーラブルな単位です。Pod は、Kubernetes でデプロイ可能な最小単位です。通常は、Pod をレプリカのセットとしてデプロイし、クラスタ全体で一緒にスケーリングと分散を行えます。レプリカのセットをデプロイする 1 つの方法は、Kubernetes Deployment を使用することです。

このセクションでは、クラスタで nginx コンテナアプリを実行する Kubernetes Deployment を作成します。この Deployment にはレプリカ（Pod）があります。1 つの Deployment Pod には、nginx コンテナ イメージという 1 つのコンテナのみが含まれます。また、クライアントが Deployment の Pod にリクエストを安定して送信できるようにする Service リソースも作成します。

nginx ウェブサーバーを Kubernetes クラスタにデプロイします。

1. Kubernetes クラスタにログインし、ユーザー ID を使用して kubeconfig ファイルを生成します。kubeconfig パスを環境変数として設定します。

   export KUBECONFIG=CLUSTER_KUBECONFIG_PATH
   

2. Kubernetes の Deployment カスタム リソースと Service カスタム リソースを作成してデプロイします。

   kubectl --kubeconfig ${KUBECONFIG} -n ${NAMESPACE} \
   create -f - <<EOF
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx-deployment
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: ${INSTANCE_URL}/${HARBOR_PROJECT}/nginx:1.25
           ports:
           - containerPort: 80
         imagePullSecrets:
         - name: ${SECRET}
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx-service
   spec:
     selector:
       app: nginx
     ports:
       - port: 80
         protocol: TCP
     type: LoadBalancer
   EOF
   

3. デプロイによって Pod が作成されたことを確認します。

   kubectl get pods -l app=nginx -n ${NAMESPACE}
   

   出力は次のようになります。

   NAME                                READY     STATUS    RESTARTS   AGE
   nginx-deployment-1882529037-6p4mt   1/1       Running   0          1h
   nginx-deployment-1882529037-p29za   1/1       Running   0          1h
   nginx-deployment-1882529037-s0cmt   1/1       Running   0          1h
   

4. すべてのネットワーク トラフィックを Namespace に許可するネットワーク ポリシーを作成します。

   kubectl --kubeconfig ${KUBECONFIG} -n ${NAMESPACE} \
   create -f - <<EOF
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     annotations:
     name: allow-all
   spec:
     ingress:
     - from:
       - ipBlock:
           cidr: 0.0.0.0/0
     podSelector: {}
     policyTypes:
     - Ingress
   EOF
   

5. nginx サービスの IP アドレスをエクスポートします。

     export IP=`kubectl --kubeconfig=${KUBECONFIG} get service nginx-service \
         -n ${NAMESPACE} -o jsonpath='{.status.loadBalancer.ingress[*].ip}'`
   

6. curl を使用して nginx サーバーの IP アドレスをテストします。

     curl http://$IP