Halaman ini diterjemahkan oleh Cloud Translation API.

Membuat cluster admin

Di Google Distributed Cloud, Anda menyiapkan cluster admin untuk mengelola cluster lain secara aman. Anda dapat membuat, memperbarui, mengupgrade, atau menghapus cluster pengguna dari cluster admin. Cluster pengguna menjalankan workload secara terpisah dari administrasi, sehingga informasi sensitif terlindungi.

Cluster admin yang mengelola workload multi-cluster dapat memberikan keandalan ketersediaan tinggi (HA). Dalam cluster HA, jika satu node bidang kontrol gagal, node lainnya akan terus berfungsi.

Cluster admin di lingkungan multi-cluster memberikan keamanan mendasar terbaik. Karena akses ke data administrasi dipisahkan dari beban kerja, orang yang mengakses beban kerja pengguna tidak memiliki akses ke data administratif sensitif, seperti kunci SSH dan data akun layanan. Akibatnya, ada beberapa pertimbangan antara keamanan dan resource yang diperlukan, karena cluster admin terpisah berarti Anda memerlukan resource khusus untuk pengelolaan dan workload.

Anda membuat cluster admin menggunakan perintah bmctl. Setelah membuat cluster admin, Anda membuat cluster pengguna untuk menjalankan beban kerja.

Prasyarat:

bmctl terbaru didownload (gs://anthos-baremetal-release/bmctl/1.32.200-gke.104/linux-amd64/bmctl) dari Cloud Storage.
Workstation yang menjalankan bmctl memiliki konektivitas jaringan ke semua node di cluster pengguna target.
Workstation yang menjalankan bmctl memiliki konektivitas jaringan ke server API cluster (VIP bidang kontrol).
Kunci SSH yang digunakan untuk membuat cluster Admin tersedia untuk root atau pengguna non-root dengan hak istimewa sudo tanpa sandi di semua node dalam cluster admin target.
Akun layanan connect-register dikonfigurasi untuk digunakan dengan Connect.

Lihat panduan memulai Google Distributed Cloud untuk mengetahui petunjuk langkah demi langkah yang lebih lengkap dalam membuat cluster hibrida. Membuat cluster admin mirip dengan membuat cluster hybrid, kecuali Anda tidak menjalankan workload di cluster admin.

Mengaktifkan SELinux

Jika ingin mengaktifkan SELinux untuk mengamankan container, Anda harus memastikan bahwa SELinux diaktifkan dalam mode Enforced di semua mesin host Anda. Mulai dari rilis Google Distributed Cloud 1.9.0 atau yang lebih baru, Anda dapat mengaktifkan atau menonaktifkan SELinux sebelum atau setelah pembuatan cluster atau upgrade cluster. SELinux diaktifkan secara default di Red Hat Enterprise Linux (RHEL). Jika SELinux dinonaktifkan di komputer host Anda atau Anda tidak yakin, lihat Mengamankan penampung Anda menggunakan SELinux untuk mengetahui petunjuk cara mengaktifkannya.

Google Distributed Cloud hanya mendukung SELinux di sistem RHEL.

Login ke gcloud CLI dan buat file konfigurasi cluster admin

Tetapkan kredensial default yang dapat digunakan Google Distributed Cloud untuk membuat cluster dengan perintah berikut:
```
gcloud auth application-default login
```
Untuk menggunakan fitur pengaktifan API otomatis dan pembuatan akun layanan di halaman ini, berikan peran Project Owner kepada akun utama tersebut. Jika akun utama tidak dapat memiliki peran Project Owner, selesaikan langkah berikutnya.
Untuk memastikan pembuatan cluster berhasil tanpa memberikan peran Project Owner, tambahkan peran IAM berikut ke akun utama:
- Service Account Admin
- Service Account Key Admin
- Project IAM Admin
- Compute Viewer
- Service Usage Admin
Jika akun utama adalah akun layanan dengan peran tersebut, Anda dapat menjalankan:
```
export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE
```
Ganti JSON_KEY_FILE dengan jalur ke file kunci JSON akun layanan Anda.
Dapatkan ID project Google Cloud Anda dan simpan di variabel lingkungan untuk digunakan saat pembuatan cluster:
```
export CLOUD_PROJECT_ID=$(gcloud config get-value project)
```

Buat konfigurasi cluster admin dengan `bmctl`

Setelah login ke gcloud CLI dan menyiapkan project, Anda dapat membuat file konfigurasi cluster dengan perintah bmctl.

Dalam contoh berikut, semua akun layanan dibuat secara otomatis oleh perintah bmctl create config:

bmctl create config -c ADMIN_CLUSTER_NAME --enable-apis \
    --create-service-accounts --project-id=CLOUD_PROJECT_ID

Ganti kode berikut:

ADMIN_CLUSTER_NAME: nama cluster baru.
CLOUD_PROJECT_ID: Google Cloud project ID Anda atau variabel lingkungan $CLOUD_PROJECT_ID.

Berikut contoh untuk membuat file konfigurasi untuk cluster admin bernama admin1 yang terkait dengan project ID my-gcp-project:

bmctl create config -c admin1 --create-service-accounts --enable-apis --project-id=my-gcp-project

File ditulis ke bmctl-workspace/admin1/admin1.yaml.

Sebagai alternatif untuk mengaktifkan API dan membuat akun layanan secara otomatis, Anda juga dapat memberikan izin IAM yang tepat untuk akun layanan yang sudah ada. Artinya, Anda dapat melewati pembuatan akun layanan otomatis pada contoh sebelumnya dalam perintah bmctl:

bmctl create config -c admin1 --project-id=my-gcp-project

Edit file konfigurasi cluster

Setelah memiliki file konfigurasi cluster, edit file tersebut untuk melakukan perubahan berikut:

Berikan kunci pribadi SSH untuk mengakses node cluster admin:

# bmctl configuration variables. Because this section is valid YAML but not a valid Kubernetes
# resource, this section can only be included when using bmctl to
# create the initial admin/admin cluster. Afterwards, when creating user clusters by directly
# applying the cluster and node pool resources to the existing cluster, you must remove this
# section.
gcrKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-gcr.json
sshPrivateKeyPath: /path/to/your/ssh_private_key
gkeConnectAgentServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-connect.json
gkeConnectRegisterServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-register.json
cloudOperationsServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-cloud-ops.json

Daftarkan cluster Anda ke fleet. Project ID yang Anda tentukan dalam perintah bmctl create config akan otomatis ditambahkan ke kolom gkeConnect.projectID dalam file konfigurasi cluster. Project ini disebut sebagai project host fleet.
- Jika membuat file konfigurasi menggunakan fitur pengaktifan API otomatis dan pembuatan Akun Layanan, Anda dapat melewati langkah ini.
- Jika Anda membuat file konfigurasi tanpa menggunakan fitur pengaktifan API otomatis dan pembuatan Akun Layanan, lihat kunci JSON akun layanan yang didownload di kolom gkeConnectAgentServiceAccountKeyPath dan gkeConnectRegisterServiceAccountKeyPath yang sesuai pada file konfigurasi cluster.
- Secara opsional, Anda dapat menambahkan gkeConnect.location ke spesifikasi cluster untuk menentukan region Google Cloud tempat layanan Fleet dan Connect berjalan. Keanggotaan regional ini membatasi traffic layanan fleet ke wilayah Anda. Jika Anda menyertakan gkeConnect.location dalam spesifikasi cluster, region yang Anda tentukan harus sama dengan region yang dikonfigurasi di clusterOperations.location. Jika region tidak sama, pembuatan cluster akan gagal.

Periksa untuk memastikan konfigurasi menentukan jenis cluster admin (nilai default):

spec:
  # Cluster type. This can be:
  #   1) admin:  to create an admin cluster. This can later be used to create user clusters.
  #   2) user:   to create a user cluster. Requires an existing admin cluster.
  #   3) hybrid: to create a hybrid cluster that runs admin cluster components and user workloads.
  #   4) standalone: to create a cluster that manages itself, runs user workloads, but does not manage other clusters.
  type: admin

Jika GKE On-Prem API diaktifkan di projectGoogle Cloud , semua cluster dalam project tersebut akan otomatis didaftarkan ke GKE On-Prem API di region yang dikonfigurasi di clusterOperations.location.
- Jika Anda ingin mendaftarkan semua cluster dalam project di GKE On-Prem API, pastikan untuk melakukan langkah-langkah di Sebelum memulai untuk mengaktifkan dan menggunakan GKE On-Prem API dalam project.
- Jika Anda tidak ingin mendaftarkan cluster di GKE On-Prem API, sertakan bagian ini dan tetapkan gkeOnPremAPI.enabled ke false. Jika Anda tidak ingin mendaftarkan cluster apa pun dalam project, nonaktifkan gkeonprem.googleapis.com (nama layanan untuk GKE On-Prem API) dalam project. Untuk mengetahui petunjuknya, lihat Menonaktifkan layanan.
Ubah file konfigurasi untuk menentukan bidang kontrol ketersediaan tinggi multi-node. Tentukan jumlah node ganjil untuk memiliki kuorum mayoritas bagi HA:
```
  # Control plane configuration
  controlPlane:
    nodePoolSpec:
      nodes:
      # Control plane node pools. Typically, this is either a single machine
      # or 3 machines if using a high availability deployment.
      - address: 10.200.0.4
      - address: 10.200.0.5
      - address: 10.200.0.6
```
Catatan: Jika Anda memiliki jumlah node genap untuk sementara saat menambahkan atau menghapus node untuk pemeliharaan atau penggantian, deployment Anda akan tetap memiliki HA selama Anda memiliki kuorum yang cukup.
Tentukan kepadatan pod node cluster:
```
....
# NodeConfig specifies the configuration that applies to all nodes in the cluster.
nodeConfig:
  # podDensity specifies the pod density configuration.
  podDensity:
    # maxPodsPerNode specifies at most how many pods can be run on a single node.
    maxPodsPerNode: 250
....
```
Untuk cluster admin, nilai yang diizinkan untuk maxPodsPerNode adalah 32-250 untuk cluster HA dan 64-250 untuk cluster non-HA. Nilai default jika tidak ditentukan adalah 110. Setelah cluster dibuat, nilai ini tidak dapat diperbarui.

Kepadatan Pod juga dibatasi oleh resource IP yang tersedia di cluster Anda. Untuk mengetahui detailnya, lihat Jaringan pod.

Buat cluster admin dengan konfigurasi cluster

Gunakan perintah bmctl untuk men-deploy cluster:

bmctl create cluster -c ADMIN_CLUSTER_NAME

ADMIN_CLUSTER_NAME menentukan nama cluster yang dibuat di bagian sebelumnya.

Berikut contoh perintah untuk membuat cluster yang disebut admin1:

bmctl create cluster -c admin1

Contoh konfigurasi cluster admin

Untuk contoh konfigurasi cluster admin, lihat Cluster admin di Contoh konfigurasi cluster.