VPC ネイティブ クラスタを作成する

このページでは、Google Kubernetes Engine（GKE）で VPC ネイティブ クラスタを構成する方法について説明します。

VPC ネイティブ クラスタの利点と要件の詳細については、VPC ネイティブ クラスタの概要をご覧ください。

GKE Autopilot クラスタの場合、VPC ネイティブのネットワークはデフォルトで有効になっており、オーバーライドできません。

始める前に

作業を始める前に、次のことを確認してください。

• Google Kubernetes Engine API を有効にする。
Google Kubernetes Engine API の有効化
• このタスクに Google Cloud CLI を使用する場合は、gcloud CLI をインストールして初期化する。すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して最新のバージョンを取得する。

制限事項

• VPC ネイティブ クラスタをルートベース クラスタに変換することはできません。また、ルートベース クラスタを VPC ネイティブ クラスタに変換することもできません。

• VPC ネイティブ クラスタには VPC ネットワークが必要です。レガシー ネットワークはサポートされていません。

• GKE クラスタの場合と同様に、Service（ClusterIP）のアドレスはクラスタ内部にのみ公開されています。クラスタの内部には存在せず、クラスタと同じ VPC ネットワークとリージョン内に存在する VM インスタンスから Kubernetes Service にアクセスする必要がある場合は、内部パススルー ネットワーク ロードバランサを作成します。
• サブネット内のすべての Pod IP アドレスを使用する場合、クラスタを不安定な状態にすることなくサブネットのセカンダリ IP アドレス範囲を置き換えることはできません。ただし、連続していないマルチ Pod CIDR を使用すると、追加の Pod IP アドレス範囲を作成できます。

クラスタを作成する

このセクションでは、クラスタの作成時に次のタスクを行う方法について説明します。

• クラスタとサブネットを同時に作成する。
• 既存のサブネットにクラスタを作成する。
• クラスタを作成してコントロール プレーンの IP アドレス範囲を選択する。
• 新しいサブネットにデュアルスタック ネットワーキングを使用したクラスタを作成する（Autopilot クラスタ バージョン 1.25 以降と Standard クラスタ バージョン 1.24 以降で利用可能）。
• デュアルスタック クラスタとデュアル スタック サブネットを同時に作成する（Autopilot クラスタ バージョン 1.25 以降と Standard クラスタ バージョン 1.24 以降で使用可能）。

クラスタを作成したら、クラスタのコントロール プレーンへのアクセスを変更できます。詳細については、GKE でネットワーク分離をカスタマイズするをご覧ください。

クラスタとサブネットを同時に作成する

VPC ネイティブ GKE クラスタとサブネットを同時に作成する方法を次に示します。1 つのコマンドでこれらの 2 つのステップを実行すると、セカンダリ範囲割り当て方式は GKE によって管理されます。

共有 VPC を使用する場合、クラスタとサブネットを同時に作成することはできません。代わりに、共有 VPC ホスト プロジェクトのネットワーク管理者がサブネットを最初に作成する必要があります。その後、セカンダリ範囲割り当て方式がユーザーによって管理される既存のサブネットにクラスタを作成できます。

gcloud container clusters create CLUSTER_NAME \
    --location=COMPUTE_LOCATION \
    --enable-ip-alias \
    --create-subnetwork name=SUBNET_NAME,range=NODE_IP_RANGE \
    --cluster-ipv4-cidr=POD_IP_RANGE \
    --services-ipv4-cidr=SERVICES_IP_RANGE

{
  "name": CLUSTER_NAME,
  "description": DESCRIPTION,
  ...
  "ipAllocationPolicy": {
    "useIpAliases": true,
    "createSubnetwork": true,
    "subnetworkName": SUBNET_NAME
  },
  ...
}

クラスタを作成したら、クラスタのコントロール プレーンへのアクセスを変更できます。詳細については、GKE でネットワーク分離をカスタマイズするをご覧ください。

既存のサブネットにクラスタを作成する

セカンダリ範囲割り当て方式を選択して、既存のサブネットで VPC ネイティブ GKE クラスタを作成する方法を次の手順で示します。

module "gke" {
  source  = "terraform-google-modules/kubernetes-engine/google"
  version = "~> 12.0"

  project_id        = "PROJECT_ID"
  name              = "CLUSTER_NAME"
  region            = "COMPUTE_LOCATION"
  network           = "NETWORK_NAME"
  subnetwork        = "SUBNET_NAME"
  ip_range_pods     = "SECONDARY_RANGE_PODS"
  ip_range_services = "SECONDARY_RANGE_SERVICES"
}

{
  "name": CLUSTER_NAME,
  "description": DESCRIPTION,
  ...
  "ipAllocationPolicy": {
    "useIpAliases": true,
    "clusterIpv4CidrBlock"      : string,
    "servicesIpv4CidrBlock"     : string,
    "clusterSecondaryRangeName" : string,
    "servicesSecondaryRangeName": string,

  },
  ...
}

クラスタを作成したら、クラスタのコントロール プレーンへのアクセスを変更できます。詳細については、GKE でネットワーク分離をカスタマイズするをご覧ください。

クラスタを作成してコントロール プレーンの IP アドレス範囲を選択する

デフォルトでは、バージョン 1.29 以降のクラスタは、プライマリ サブネット範囲を使用して、コントロール プレーン エンドポイントに割り当てられた内部 IP アドレスをプロビジョニングします。このデフォルト設定をオーバーライドするには、クラスタの作成時に別のサブネット範囲を選択します。

以降のセクションでは、クラスタを作成してサブネット範囲をオーバーライドする方法について説明します。

gcloud container clusters create CLUSTER_NAME \
    --enable-private-nodes \
    --private-endpoint-subnetwork=SUBNET_NAME \
    --location=COMPUTE_LOCATION

デュアルスタック ネットワーキングを使用するクラスタを作成する

新規または既存のデュアルスタック サブネットに IPv4/IPv6 デュアルスタック ネットワークを使用するクラスタを作成できます。デュアルスタック サブネットは、Autopilot クラスタ バージョン 1.25 以降と Standard クラスタ バージョン 1.24 以降で使用できます。 デュアルスタック サブネットは、Windows Server ノードプールではサポートされていません。

デュアルスタック クラスタを設定する前に、次の操作を行うことをおすすめします。

• デュアルスタック ネットワーキングを使用する GKE クラスタのメリットと要件の詳細を確認する。
• デュアルスタック ネットワーキングの制限事項を確認する。

このセクションでは、まずデュアルスタック サブネットを作成し、このサブネットを使用してクラスタを作成します。

1. デュアルスタック サブネットを作成するには、次のコマンドを実行します。

   gcloud compute networks subnets create SUBNET_NAME \
       --stack-type=ipv4-ipv6 \
       --ipv6-access-type=ACCESS_TYPE \
       --network=NETWORK_NAME \
       --range=PRIMARY_RANGE \
       --region=COMPUTE_REGION
   

   以下を置き換えます。

   • SUBNET_NAME: 選択したサブネットの名前。
   • ACCESS_TYPE: 公共のインターネットへのルーティングの可否。内部 IPv6 アドレスの場合は INTERNAL、外部 IPv6 アドレスの場合は EXTERNAL を使用します。--ipv6-access-type が指定されていない場合、デフォルトのアクセスタイプは EXTERNAL です。
   • NETWORK_NAME: 新しいサブネットが追加されるネットワークの名前。このネットワークは、次の条件を満たしている必要があります。
     • カスタムモードの VPC ネットワークであること。詳細については、VPC ネットワークを自動モードからカスタムモードに切り替える方法をご覧ください。
     • ACCESS_TYPE を INTERNAL に置き換える場合は、ネットワークが一意のローカル IPv6 ユニキャスト アドレス（ULA）を使用していること。
   • PRIMARY_RANGE: 新しいサブネットのプライマリ IPv4 IP アドレス範囲（CIDR 表記）。詳細については、サブネットの範囲をご覧ください。
   • COMPUTE_REGION: クラスタの Compute Engine のリージョン。

2. デュアルスタック サブネットを含むクラスタを作成するには、gcloud CLI または Google Cloud コンソールを使用します。

デュアルスタック クラスタとサブネットを同時に作成する

サブネットとデュアル スタック クラスタは同時に作成できます。GKE は IPv6 サブネットを作成し、そのサブネットに外部 IPv6 プライマリ範囲を割り当てます。

共有 VPC を使用する場合、クラスタとサブネットを同時に作成することはできません。代わりに、共有 VPC ホスト プロジェクトのネットワーク管理者がデュアルスタック サブネットを最初に作成する必要があります。

• Autopilot クラスタの場合は、次のコマンドを実行します。

  gcloud container clusters create-auto CLUSTER_NAME \
      --location=COMPUTE_LOCATION \
      --network=NETWORK_NAME \
      --create-subnetwork name=SUBNET_NAME
  

  次のように置き換えます。

  • CLUSTER_NAME: 新しい Autopilot クラスタの名前。
  • COMPUTE_LOCATION: クラスタの Compute Engine のロケーション。
  • NETWORK_NAME: サブネットを含む VPC ネットワークの名前。この VPC ネットワークは、一意のローカル IPv6 ユニキャスト アドレス（ULA）を使用するカスタムモードの VPC ネットワークである必要があります。詳細については、VPC ネットワークを自動モードからカスタムモードに切り替える方法をご覧ください。
  • SUBNET_NAME: 新しいサブネットの名前。GKE は、組織のポリシーに基づいてサブネットを作成できます。
    • 組織のポリシーでデュアルスタックが許可され、ネットワークがカスタムモードの場合、GKE はデュアルスタック サブネットを作成し、そのサブネットに外部 IPv6 プライマリ範囲を割り当てます。
    • 組織のポリシーでデュアルスタックが許可されていないか、ネットワークが自動モードの場合、GKE はシングルスタック（IPv4）サブネットを作成します。

• Standard クラスタの場合は、次のコマンドを実行します。

  gcloud container clusters create CLUSTER_NAME \
      --enable-ip-alias \
      --stack-type=ipv4-ipv6 \
      --ipv6-access-type=ACCESS_TYPE \
      --network=NETWORK_NAME \
      --create-subnetwork name=SUBNET_NAME,range=PRIMARY_RANGE \
      --location=COMPUTE_LOCATION
  

  次のように置き換えます。

  • CLUSTER_NAME: 選択した新しいクラスタの名前。
  • ACCESS_TYPE: 公共のインターネットへのルーティングの可否。内部 IPv6 アドレスの場合は INTERNAL、外部 IPv6 アドレスの場合は EXTERNAL を使用します。--ipv6-access-type が指定されていない場合、デフォルトのアクセスタイプは EXTERNAL です。
  • NETWORK_NAME: 新しいサブネットが追加されるネットワークの名前。このネットワークは、次の条件を満たしている必要があります。
    • カスタムモードの VPC ネットワークであること。詳細については、VPC ネットワークを自動モードからカスタムモードに切り替える方法をご覧ください。
    • ACCESS_TYPE を INTERNAL に置き換える場合は、ネットワークが一意のローカル IPv6 ユニキャスト アドレス（ULA）を使用していること。
  • SUBNET_NAME: 選択した新しいサブネットの名前。
  • PRIMARY_RANGE: 新しいサブネットのプライマリ IPv4 アドレス範囲（CIDR 表記）。詳細については、サブネットの範囲をご覧ください。
  • COMPUTE_LOCATION: クラスタの Compute Engine のロケーション。

スタックタイプを更新する

既存のクラスタのスタックタイプを変更するか、既存のサブネットをデュアルスタック サブネットに更新できます。

既存のクラスタのスタックタイプを更新する

既存のクラスタのスタックタイプを変更する前に、次の制限事項を考慮してください。

• スタックタイプの変更は、バージョン 1.25 以降を実行している新しい GKE クラスタでサポートされています。バージョン 1.24 からバージョン 1.25 または 1.26 にアップグレードされた GKE クラスタでは、デュアルスタック ネットワークを有効にすると検証エラーが発生することがあります。 エラーが発生した場合は、Google Cloud のサポートチームにお問い合わせください。

• GKE はコントロール プレーンとノードの両方でコンポーネントを再起動させるため、スタックタイプの変更は中断を伴うオペレーションとなります。

• GKE は、ノードを再作成するときに、構成済みのメンテナンスの時間枠を考慮します。つまり、次のメンテナンスの時間枠になるまで、クラスタ スタックタイプはクラスタで動作しません。この待機を回避するには、すでにコントロール プレーンが動作している GKE バージョンを --cluster-version フラグに設定して、ノードプールを手動でアップグレードします。この回避策を行う場合は、gcloud CLI を使用する必要があります。詳細については、メンテナンス時間枠の注意点をご覧ください。

• スタックタイプを変更しても、既存の Service の IP ファミリーは自動的に変更されません。次の条件が適用されます。

  • シングル スタックをデュアルスタックに変更しても、既存の Service はシングル スタックのままです。
  • デュアルスタックをシングル スタックに変更すると、IPv6 アドレスを持つ既存の Service がエラー状態になります。この Service を削除し、正しい ipFamilies を持つ Service を作成します。詳細については、Deployment の設定方法の例をご覧ください。

既存の VPC ネイティブ クラスタを更新するには、gcloud CLI または Google Cloud コンソールを使用します。

  gcloud container clusters update CLUSTER_NAME \
      --stack-type=STACK_TYPE \
      --location=COMPUTE_LOCATION

既存のサブネットをデュアルスタックのサブネットに更新します（Autopilot クラスタ バージョン 1.25 以降と Standard クラスタ バージョン 1.24 以降で利用可能）。

既存のサブネットをデュアルスタック サブネットに更新する

既存のサブネットをデュアルスタックのサブネットに更新するには、次のコマンドを実行します。サブネットを更新しても、サブネット内の既存の IPv4 クラスタには影響しません。

gcloud compute networks subnets update SUBNET_NAME \
    --stack-type=ipv4-ipv6 \
    --ipv6-access-type=ACCESS_TYPE \
    --region=COMPUTE_REGION

以下を置き換えます。

• SUBNET_NAME: サブネットの名前。
• ACCESS_TYPE: 公共のインターネットへのルーティングの可否。内部 IPv6 アドレスの場合は INTERNAL、外部 IPv6 アドレスの場合は EXTERNAL を使用します。--ipv6-access-type が指定されていない場合、デフォルトのアクセスタイプは EXTERNAL です。
• COMPUTE_REGION: クラスタの Compute Engine のリージョン。

スタックタイプ、Pod、Service の IP アドレス範囲を確認する

VPC ネイティブ クラスタを作成すると、その Pod と Service の範囲を確認できます。

gcloud container clusters describe CLUSTER_NAME

クラスタの削除

クラスタを削除するには、クラスタの削除の手順に沿って操作します。

クラスタが削除されると、GKE は作成されたサブネットワークのクリーンアップを試行します。ただし、他のリソースによってサブネットワークが使用されている場合、GKE はそのサブネットワークを削除しないため、サブネットワークの削除はユーザー自身で管理する必要があります。

内部 IP アドレスの詳細構成

以降のセクションでは、RFC 1918 以外のプライベート IP アドレス範囲を使用する方法と、プライベートで使用されるパブリック IP アドレス範囲を有効にする方法について説明します。

RFC 1918 以外の IP アドレス範囲を使用する

GKE クラスタでは、ノード、Pod、Service に RFC 1918 以外の IP アドレス範囲を使用できます。サブネット範囲の内部 IP アドレスとして使用できる RFC 1918 以外のプライベート範囲については、VPC ネットワークのドキュメントで有効範囲をご覧ください。

この機能は、Windows Server ノードプールではサポートされていません。

RFC 1918 以外のプライベート範囲はサブネット範囲です。この範囲のみを使用するか、RFC 1918 サブネット範囲と組み合わせて使用できます。VPC ネイティブ クラスタの IP 範囲で説明しているように、ノード、Pod、Service は引き続きサブネット範囲を使用します。RFC 1918 以外の範囲を使用する場合、次の点に注意してください。

• サブネット範囲（RFC 1918 以外の範囲を使用するサブネット範囲を含む）は、クラスタのノードを作成する前に手動で割り当てるか、GKE によって割り当てる必要があります。クラスタを置き換えない限り、RFC 1918 以外のサブネット範囲の使用に切り替えることも、使用を停止することもできません。

• 内部パススルー ネットワーク ロードバランサは、サブネットのプライマリ IP アドレス範囲の IP アドレスのみを使用します。RFC 1918 以外のアドレスを持つ内部パススルー ネットワーク ロードバランサを作成するには、サブネットのプライマリ IP アドレス範囲を RFC 1918 以外のアドレスにする必要があります。

クラスタ外の宛先で、RFC 1918 以外のプライベート範囲からのトラフィックを受信できない可能性があります。たとえば、RFC 1112（クラス E）のプライベート範囲は通常、マルチキャスト アドレスとして使用されます。クラスタ外の宛先で、送信元が RFC 1918 以外のプライベート IP アドレスのパケットを処理できない場合、次を実行できます。

• サブネットのプライマリ IP アドレス範囲に RFC 1918 範囲を使用します。これにより、クラスタ内のノードは RFC 1918 アドレスを使用します。

• クラスタで IP マスカレード エージェントが実行され、宛先が nonMasqueradeCIDRs リストに含まれていないことを確認します。これにより、Pod から送信したパケットの送信元が SNAT によりノードアドレス（RFC 1918）に変換されます。

プライベートで使用された外部 IP アドレス範囲を有効にする

GKE クラスタは、特定の外部 IP アドレス範囲を内部のサブネット IP アドレス範囲としてプライベートに使用できます。外部 IP アドレスは、VPC ネットワークのドキュメントに記載されている特定の制限付きの範囲を除いてすべてプライベートに使用できます。 この機能は Windows Server ノードプールでサポートされていません。

プライベートで使用される外部 IP アドレス範囲を利用するには、クラスタが VPC ネイティブ クラスタである必要があります。ルートベース クラスタはサポートされていません。

プライベートで使用される外部範囲はサブネット範囲です。これらを排他的に使用することも、プライベート アドレスを使用する他のサブネット範囲と組み合わせて使用することもできます。VPC ネイティブ クラスタの IP 範囲で説明しているように、ノード、Pod、Service は引き続きサブネット範囲を使用します。外部 IP アドレスをプライベートで再利用するときは、次の点に注意してください。

• 外部 IP アドレス範囲をサブネット範囲として使用すると、クラスタはその外部範囲を使用するインターネット上のシステムと通信できなくなります。範囲は、クラスタの VPC ネットワークの内部 IP アドレス範囲になります。

• サブネット範囲（外部 IP アドレス範囲をプライベートで使用する範囲も含む）は、クラスタのノードを作成する前に、手動で割り当てるか、GKE によって割り当てる必要があります。クラスタを置き換えない限り、プライベートで使用された外部 IP 範囲の使用への切り替えや使用の停止はできません。

GKE のデフォルトでは、ノードに外部 IP の宛先への SNAT が実装されます。外部 IP アドレスを使用するように Pod CIDR を構成している場合、SNAT ルールは Pod 間トラフィックに適用されます。これを回避するには、2 つの方法があります。

• --disable-default-snat フラグを使用してクラスタを作成します。このフラグの詳細については、GKE での IP マスカレードをご覧ください。
• 少なくとも Pod CIDR、Service CIDR、ノードのサブネットの nonMasqueradeCIDRs リストに configMap ip-masq-agent を構成します。

Standard クラスタの場合、クラスタ バージョンが 1.14 以降であれば、どちらのオプションでも機能します。クラスタのバージョンが 1.14 より前の場合は、2 番目のオプション（ip-masq-agent の構成）のみを使用できます。

次のステップ

• GKE ネットワークの概要を読む。
• 内部ロード バランシングについて理解する。
• 承認済みネットワークの構成について理解する。
• クラスタ ネットワーク ポリシーの作成について理解する。