共有 VPC を使用したクラスタの設定

コンソール

1. Google Cloud コンソールのホームページに移動します。

   ホームページに移動

2. プロジェクト選択ツールで、ホスト プロジェクトとして使用するプロジェクトを選択します。

3. [プロジェクト情報] で、プロジェクトの名前、ID、番号を確認します。後で使用できるように、ID と番号をメモします。

4. サービス プロジェクトとして使用するプロジェクトのそれぞれについて、上記の手順を繰り返します。

gcloud

次のコマンドを実行して、プロジェクトの一覧を取得します。

gcloud projects list

出力に、プロジェクトの名前、ID、番号が示されます。後で使用できるように、ID と番号をメモします。

PROJECT_ID        NAME        PROJECT_NUMBER
host-123          host        1027xxxxxxxx
srv-1-456         srv-1       4964xxxxxxxx
srv-2-789         srv-2       4559xxxxxxxx

コンソール

1. Google Cloud コンソールの [API とサービス] ページに移動します。

   [API とサービス] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトとして使用するプロジェクトを選択します。

3. API のリストに [Kubernetes Engine API] が含まれている場合、この API はすでに有効にされているので、操作は必要ありません。リストに含まれていない場合は、[API とサービスの有効化] をクリックします。Kubernetes Engine API を検索します。[Kubernetes Engine API] カードをクリックし、[有効にする] をクリックします。

4. サービス プロジェクトとして選択したプロジェクトごとに、上記の手順を繰り返します。オペレーションごとに完了するまで時間がかかる場合があります。

gcloud

3 つのプロジェクトで GKE API を有効にします。オペレーションごとに完了するまで時間がかかる場合があります。

gcloud services enable container.googleapis.com --project HOST_PROJECT_ID
gcloud services enable container.googleapis.com --project SERVICE_PROJECT_1_ID
gcloud services enable container.googleapis.com --project SERVICE_PROJECT_2_ID

コンソール

1. Google Cloud コンソールで [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. add_box [VPC ネットワークを作成] をクリックします。

4. [名前] に「shared-net」と入力します。

5. [サブネット作成モード] で [カスタム] を選択します。

6. [新しいサブネット] ボックスの [名前] に「tier-1」を入力します。

7. [リージョン] でリージョンを選択します。

8. [IP スタックタイプ] で [IPv4（シングルスタック）] を選択します。

9. [IPv4 範囲] に「10.0.4.0/22」と入力します。

10. [セカンダリ IPv4 範囲を作成する] をクリックします。[サブネット範囲の名前] に「tier-1-services」と入力し、[セカンダリ IPv4 範囲] に「10.0.32.0/20」と入力します。

11. [IP の範囲を追加] をクリックします。[サブネット範囲の名前] に「tier-1-pods」と入力し、[セカンダリ IPv4 範囲] に「10.4.0.0/14」と入力します。

12. [サブネットを追加] をクリックします。

13. [名前] に「tier-2」と入力します。

14. [リージョン] で、前のサブネットに選択したのと同じリージョンを選択します。

15. [IPv4 範囲] に「172.16.4.0/22」と入力します。

16. [セカンダリ IPv4 範囲を作成する] をクリックします。[サブネット範囲の名前] に「tier-2-services」と入力し、[セカンダリ IPv4 範囲] に「172.16.16.0/20」と入力します。

17. [IP の範囲を追加] をクリックします。[サブネット範囲の名前] に「tier-2-pods」と入力し、[セカンダリ IPv4 範囲] に「172.20.0.0/14」と入力します。

18. [作成] をクリックします。

gcloud

ホスト プロジェクト内で、shared-net という名前のネットワークを作成します。

gcloud compute networks create shared-net \
    --subnet-mode custom \
    --project HOST_PROJECT_ID

新しいネットワークで、tier-1 という名前のサブネットを作成します。

gcloud compute networks subnets create tier-1 \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --range 10.0.4.0/22 \
    --region COMPUTE_REGION \
    --secondary-range tier-1-services=10.0.32.0/20,tier-1-pods=10.4.0.0/14

tier-2 という名前で別のサブネットを作成します。

gcloud compute networks subnets create tier-2 \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --range 172.16.4.0/22 \
    --region COMPUTE_REGION \
    --secondary-range tier-2-services=172.16.16.0/20,tier-2-pods=172.20.0.0/14

COMPUTE_REGION は、Compute Engine のリージョンに置き換えます。

Console

次の操作を行って共有 VPC を有効にし、サービス プロジェクトを接続してロールを付与します。

1. Google Cloud コンソールで [共有 VPC] ページに移動します。

   共有 VPC に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. [共有 VPC を設定] をクリックします。[ホスト プロジェクトを有効にする] 画面が表示されます。

4. [保存して続行] をクリックします。[サブネットを選択する] ページが表示されます。

5. [共有モード] で、[個々のサブネット] を選択します。

6. [共有するサブネット] で、[tier-1] と [tier-2] をオンにします。その他すべてのチェックボックスをオフにします。

7. [続行] をクリックします。[権限を付与する] ページが表示されます。

8. [サービス プロジェクトの接続] で、1 番目のサービス プロジェクトと 2 番目のサービス プロジェクトをオンにします。[サービス プロジェクトの接続] のその他すべてのチェックボックスをオフにします。

9. [Kubernetes Engine へのアクセス] で、[有効] をオンにします。

10. [保存] をクリックします。新しいページが表示されます。

11. [個々のサブネットに対する権限] で、[tier-1] をオンにします。

12. 右ペインで、2 番目のサービス プロジェクトに属するサービス アカウントを削除します。つまり、SERVICE_PROJECT_2_NUM を含むサービス アカウントをすべて削除します。

13. 右ペインで、1 番目のサービス プロジェクトに属する Kubernetes Engine サービス アカウントと Google API サービス アカウントの名前を見つけます。これらのサービス アカウントの名前が両方ともリストに含まれていることを確認します。いずれか一方がリストに含まれていない場合は、[メンバーを追加] でそのサービス アカウントの名前を入力し、[追加] をクリックします。

14. 中央ペインの [個々のサブネットに対する権限] で、[tier-2] をオンにし、[tier-1] をオフにします。

15. 右ペインで、1 番目のサービス プロジェクトに属するサービス アカウントを削除します。つまり、SERVICE_PROJECT_1_NUM を含むサービス アカウントをすべて削除します。

16. 右ペインで、2 番目のサービス プロジェクトに属する Kubernetes Engine サービス アカウントと Google API サービス アカウントの名前を見つけます。これらのサービス アカウントの名前が両方ともリストに含まれていることを確認します。いずれか一方がリストに含まれていない場合は、[メンバーを追加] でそのサービス アカウントの名前を入力し、[追加] をクリックします。

gcloud

1. ホスト プロジェクト内で共有 VPC を有効にします。使用するコマンドは、使用している必要な管理者ロールによって異なります。

   組織レベルで共有 VPC 管理者ロールを持っている場合

   gcloud compute shared-vpc enable HOST_PROJECT_ID
   

   フォルダレベルで共有 VPC 管理者のロールを持っている場合

   gcloud beta compute shared-vpc enable HOST_PROJECT_ID
   

2. 1 番目のサービス プロジェクトをホスト プロジェクトに接続します。

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_1_ID \
       --host-project HOST_PROJECT_ID
   

3. 2 番目のサービス プロジェクトをホスト プロジェクトに接続します。

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_2_ID \
       --host-project HOST_PROJECT_ID
   

4. 以下のとおり、tier-1 サブネットの IAM ポリシーを取得します。

   gcloud compute networks subnets get-iam-policy tier-1 \
      --project HOST_PROJECT_ID \
      --region COMPUTE_REGION
   

   出力には etag フィールドが含まれます。etag の値をメモします。

5. 次のコンテンツを含むファイルを tier-1-policy.yaml という名前で作成します。

   bindings:
   - members:
     - serviceAccount:SERVICE_PROJECT_1_NUM@cloudservices.gserviceaccount.com
     - serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com
     role: roles/compute.networkUser
   etag: ETAG_STRING
   

   ETAG_STRING は、以前にメモした etag の値に置き換えます。

6. 以下のとおり、tier-1 サブネットの IAM ポリシーを設定します。

   gcloud compute networks subnets set-iam-policy tier-1 \
       tier-1-policy.yaml \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

7. 以下のとおり、tier-2 サブネットの IAM ポリシーを取得します。

   gcloud compute networks subnets get-iam-policy tier-2 \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

   出力には etag フィールドが含まれます。etag の値をメモします。

8. 次のコンテンツを含むファイルを tier-2-policy.yaml という名前で作成します。

   bindings:
   - members:
     - serviceAccount:SERVICE_PROJECT_2_NUM@cloudservices.gserviceaccount.com
     - serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com
     role: roles/compute.networkUser
   etag: ETAG_STRING
   

   ETAG_STRING は、以前にメモした etag の値に置き換えます。

9. 以下のとおり、tier-2 サブネットの IAM ポリシーを設定します。

   gcloud compute networks subnets set-iam-policy tier-2 \
       tier-2-policy.yaml \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

コンソール

1. Google Cloud コンソールの [IAM] ページに移動します。

   [IAM] に移動

2. ホスト プロジェクトを選択します。

3. [person_add アクセスを許可] をクリックして、サービス プロジェクトの GKE サービス アカウント プリンシパル service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com を入力します。

4. プルダウン リストから Compute Security Admin ロールを選択します。

5. [保存] をクリックします。

gcloud

サービス プロジェクトの GKE サービス アカウントに、ホスト プロジェクトに対する Compute Security Admin ロールを付与します。

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
    --member=serviceAccount:service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com \
    --role=roles/compute.securityAdmin

次のように置き換えます。

• HOST_PROJECT_ID: 共有 VPC ホスト プロジェクト ID
• SERVICE_PROJECT_NUM: GKE サービス アカウントを含むサービス プロジェクトの ID

Console

ホスト プロジェクトで、上記の IAM 権限を含むカスタムロールを作成します。

1. Google Cloud コンソールで、[ロール] ページに移動します。

   [ロール] ページに移動

2. ページの上部にあるプルダウン リストからホスト プロジェクトを選択します。

3. [ロールを作成] をクリックします。

4. ロールのタイトル、説明、ID、ロールのリリース段階を入力します。ロールの作成後にロール名を変更することはできません。

5. [権限を追加] をクリックします。

6. compute.networks でフィルタし、前述の IAM 権限を選択します。

7. 必要な権限をすべて選択したら、[追加] をクリックします。

8. [作成] をクリックします。

ホスト プロジェクト内で新しく作成されたカスタムロールをサービス プロジェクトの GKE サービス アカウントに付与します。

1. Google Cloud コンソールの [IAM] ページに移動します。

   [IAM] に移動

2. ホスト プロジェクトを選択します。

3. [person_add アクセスを許可] をクリックして、サービス プロジェクトの GKE サービス アカウント プリンシパル service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com を入力します。

4. 新しく作成したカスタムロールのタイトルをフィルタして選択します。

5. [保存] をクリックします。

gcloud

1. ホスト プロジェクトで、上記の IAM 権限を含むカスタムロールを作成します。

   gcloud iam roles create ROLE_ID \
       --title="ROLE_TITLE" \
       --description="ROLE_DESCRIPTION" \
       --stage=LAUNCH_STAGE \
       --permissions=compute.networks.updatePolicy,compute.firewalls.list,compute.firewalls.get,compute.firewalls.create,compute.firewalls.update,compute.firewalls.delete \
       --project=HOST_PROJECT_ID
   

2. ホスト プロジェクト内で新しく作成されたカスタムロールをサービス プロジェクトの GKE サービス アカウントに付与します。

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member=serviceAccount:service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role=projects/HOST_PROJECT_ID/roles/ROLE_ID
   

   次のように置き換えます。

   • ROLE_ID: ロールの名前（gkeFirewallAdminなど）。
   • ROLE_TITLE: ロールのわかりやすいタイトル（GKE Firewall Admin など）
   • ROLE_DESCRIPTION: ロールに関する簡単な説明（GKE service account FW permissions など）。
   • LAUNCH_STAGE: ライフサイクルにおけるロールのリリース段階（ALPHA、BETA、GA など）
   • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクト ID
   • SERVICE_PROJECT_NUM: GKE サービス アカウントを含むサービス プロジェクトの ID

コンソール

Google Cloud コンソールを使用している場合は、Host サービス エージェント ユーザーロールを明示的に付与する必要はありません。このロールは、Google Cloud コンソールを使用してサービス プロジェクトをホスト プロジェクトに接続したときに自動的に付与されています。

gcloud

1. 最初のプロジェクトで、Host サービス エージェント ユーザーのロールをプロジェクトの GKE サービス アカウントに付与します。このロールは、ホスト プロジェクトに対して付与されます。

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

2. 2 番目のプロジェクトで、Host サービス エージェント ユーザーのロールをプロジェクトの GKE サービス アカウントに付与します。このロールは、ホスト プロジェクトに対して付与されます。

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

gcloud

gcloud container subnets list-usable \
    --project SERVICE_PROJECT_ID \
    --network-project HOST_PROJECT_ID

SERVICE_PROJECT_ID は、サービス プロジェクトのプロジェクト ID に置き換えます。

gcloud CLI コマンドで --project または --network-project オプションを省略した場合は、アクティブな構成のデフォルト プロジェクトが使用されます。ホスト プロジェクトとネットワーク プロジェクトは異なるものであるため、--project と --network-project の一方または両方を必ず指定する必要があります。

出力は次のようになります。

PROJECT: xpn-host
REGION: REGION_NAME
NETWORK: shared-net
SUBNET: tier-2
RANGE: 172.16.4.0/22

SECONDARY_RANGE_NAME: tier-2-services
IP_CIDR_RANGE: 172.20.0.0/14
STATUS: usable for pods or services

SECONDARY_RANGE_NAME: tier-2-pods
IP_CIDR_RANGE: 172.16.16.0/20
STATUS: usable for pods or services

PROJECT: xpn-host
REGION: REGION_NAME
NETWORK: shared-net
SUBNET: tier-1
RANGE: 10.0.4.0/22

SECONDARY_RANGE_NAME: tier-1-services
IP_CIDR_RANGE: 10.0.32.0/20
STATUS: usable for pods or services

SECONDARY_RANGE_NAME: tier-1-pods
IP_CIDR_RANGE: 10.4.0.0/14
STATUS: usable for pods or services

次の場合、list-usable コマンドは空のリストを返します。

• サービス プロジェクトの Kubernetes Engine サービス アカウントに、ホスト プロジェクトに対する Host サービス エージェント ユーザーのロールがない。
• ホスト プロジェクトの Kubernetes Engine サービス アカウントが存在しない（たとえば、アカウントを誤って削除した場合など）。
• Kubernetes Engine API がホスト プロジェクトで有効になっていない（ホスト プロジェクトの Kubernetes Engine サービス アカウントが存在しないことを意味します）。

詳細については、トラブルシューティングをご覧ください。

コンソール

1. Google Cloud コンソールで Google Kubernetes Engine のページに移動します。

   Google Kubernetes Engine に移動

2. プロジェクト選択ツールで、1 番目のサービス プロジェクトを選択します。

3. add_box [作成] をクリックします。

4. [Autopilot] または [Standard] セクションで、[構成] をクリックします。

5. [名前] に「tier-1-cluster」と入力します。

6. [リージョン] プルダウン リストで、サブネットに使用したのと同じリージョンを選択します。

7. ナビゲーション パネルで [ネットワーキング] をクリックします。

8. [クラスタ ネットワーキング] で [shared-net] を選択します。

9. [ノードのサブネット] で [tier-1] を選択します。

10. [高度なネットワーキングのオプション] の [クラスタのデフォルト Pod のアドレス範囲] で、[tier-1-pods] を選択します。

11. [サービス アドレス範囲] で [tier-1-services] を選択します。

12. [作成] をクリックします。

13. 作成が完了したら、クラスタのリストで [tier-1-cluster] をクリックします。

14. [クラスタの詳細] ページで [ノード] タブをクリックします。

15. [ノードプール] で、検査するノードプールの名前をクリックします。

16. [インスタンス グループ] で、検査するインスタンス グループの名前をクリックします。グループの名前の例は、gke-tier-1-cluster-default-pool-5c5add1f-grp です。

17. インスタンスのリストで、ノードの内部 IP アドレスが tier-1 サブネットのプライマリ範囲 10.0.4.0/22 に収まっていることを確認します。

gcloud

1 番目のサービス プロジェクト内で tier-1-cluster という名前のクラスタを作成します。

gcloud container clusters create-auto tier-1-cluster \
    --project=SERVICE_PROJECT_1_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT_ID/global/networks/shared-net \
    --subnetwork=projects/HOST_PROJECT_ID/regions/COMPUTE_REGION/subnetworks/tier-1 \
    --cluster-secondary-range-name=tier-1-pods \
    --services-secondary-range-name=tier-1-services

作成が完了したら、クラスタノードが tier-1 サブネットのプライマリ範囲 10.0.4.0/22 内にあることを確認します。

gcloud compute instances list --project SERVICE_PROJECT_1_ID

出力に、ノードの内部 IP アドレスが示されます。

NAME                    ZONE           ... INTERNAL_IP
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.2
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.3
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.4

コンソール

1. Google Cloud コンソールで Google Kubernetes Engine のページに移動します。

   Google Kubernetes Engine に移動

2. プロジェクト選択ツールで、2 番目のサービス プロジェクトを選択します。

3. add_box [作成] をクリックします。

4. [Standard] セクションまたは [Autopilot] セクションで、[構成] をクリックします。

5. [名前] に「tier-2-cluster」と入力します。

6. [リージョン] プルダウン リストで、サブネットに使用したのと同じリージョンを選択します。

7. ナビゲーション パネルで [ネットワーキング] をクリックします。

8. [ネットワーク] で [shared-net] を選択します。

9. [ノードのサブネット] で [tier-2] を選択します。

10. [クラスタのデフォルト Pod のアドレス範囲] で [tier-2-pods] を選択します。

11. [サービスのアドレス範囲] で [tier-2-services] を選択します。

12. [作成] をクリックします。

13. 作成が完了したら、クラスタのリストで [tier-2-cluster] をクリックします。

14. [クラスタの詳細] ページで [ノード] タブをクリックします。

15. [ノードプール] で、検査するノードプールの名前をクリックします。

16. [インスタンス グループ] で、検査するインスタンス グループの名前をクリックします。例: gke-tier-2-cluster-default-pool-5c5add1f-grp

17. インスタンスのリストで、ノードの内部 IP アドレスが tier-2 サブネットのプライマリ範囲 172.16.4.0/22 に収まっていることを確認します。

gcloud

2 番目のサービス プロジェクト内で tier-2-cluster という名前のクラスタを作成します。

gcloud container clusters create-auto tier-2-cluster \
    --project=SERVICE_PROJECT_2_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT_ID/global/networks/shared-net \
    --subnetwork=projects/HOST_PROJECT_ID/regions/COMPUTE_REGION/subnetworks/tier-2 \
    --cluster-secondary-range-name=tier-2-pods \
    --services-secondary-range-name=tier-2-services

作成が完了したら、クラスタノードが tier-2 サブネットのプライマリ範囲 172.16.4.0/22 内にあることを確認します。

gcloud compute instances list --project SERVICE_PROJECT_2_ID

出力に、ノードの内部 IP アドレスが示されます。

NAME                    ZONE           ... INTERNAL_IP
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.2
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.3
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.4

コンソール

1. Google Cloud コンソールの [ファイアウォール] ページに移動します。

   [ファイアウォール] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. VPC ネットワークのメニューで、[ファイアウォール ルールを作成] をクリックします。

4. [名前] に「my-shared-net-rule」と入力します。

5. [ネットワーク] で [shared-net] を選択します。

6. [トラフィックの方向] で [上り] をオンにします。

7. [一致したときのアクション] で [許可] をオンにします。

8. [ターゲット] で [ネットワーク上のすべてのインスタンス] を選択します。

9. [ソースフィルタ] で [IP 範囲] を選択します。

10. [ソース IP の範囲] に「0.0.0.0/0」と入力します。

11. [プロトコルとポート] で [指定したプロトコルとポート] をオンにします。ボックスに「tcp:22」と入力します。

12. [作成] をクリックします。

gcloud

共有ネットワークのファイアウォール ルールを作成します。

gcloud compute firewall-rules create my-shared-net-rule \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --direction INGRESS \
    --allow tcp:22

コンソール

1. Google Cloud コンソールで Google Kubernetes Engine のページに移動します。

   Google Kubernetes Engine に移動

2. プロジェクト選択ツールで、1 番目のサービス プロジェクトを選択します。

3. [tier-1-cluster] をクリックします。

4. [クラスタの詳細] ページで [ノード] タブをクリックします。

5. [ノードプール] でノードプールの名前をクリックします。

6. [インスタンス グループ] で、インスタンス グループの名前をクリックします。たとえば、gke-tier-1-cluster-default-pool-faf87d48-grp などです。

7. インスタンスのリストで、ノードの内部 IP アドレスをメモしておきます。これらのアドレスは 10.0.4.0/22 の範囲内にあります。

8. いずれかのノードで [SSH] をクリックします。SSH で使用する TCP ポート 22 はファイアウォール ルールで許可されているため、SSH で接続できます。

gcloud

1 番目のサービス プロジェクト内でノードを一覧表示します。

gcloud compute instances list --project SERVICE_PROJECT_1_ID

出力に、クラスタに含まれるノードの名前が示されます。

NAME                                           ...
gke-tier-1-cluster-default-pool-faf87d48-3mf8  ...
gke-tier-1-cluster-default-pool-faf87d48-q17k  ...
gke-tier-1-cluster-default-pool-faf87d48-x9rk  ...

SSH を使用していずれかのノードに接続します。

gcloud compute ssh NODE_NAME \
    --project SERVICE_PROJECT_1_ID \
    --zone COMPUTE_ZONE

次のように置き換えます。

• NODE_NAME: いずれかのノードの名前。
• COMPUTE_ZONE: リージョン内の Compute Engine ゾーンの名前。

コンソール

1. Google Cloud コンソールで Google Kubernetes Engine のページに移動します。

   Google Kubernetes Engine に移動

2. add_box [作成] をクリックします。

3. [Autopilot] または [Standard] セクションで、[構成] をクリックします。

4. [名前] に「cluster-vpc」と入力します。

5. ナビゲーション パネルで [ネットワーキング] をクリックします。

6. [限定公開クラスタ] を選択します。

7. （Autopilot の場合は省略可）: [コントロール プレーンの IP 範囲] を 172.16.0.16/28 に設定します。

8. [ネットワーク] プルダウン リストで、以前に作成した VPC ネットワークを選択します。

9. [ノードのサブネット] プルダウン リストで、以前に作成した共有サブネットを選択します。

10. 必要に応じてクラスタを構成します。

11. [作成] をクリックします。

gcloud

次のコマンドを実行して、事前定義の共有 VPC に cluster-vpc という名前のクラスタを作成します。

gcloud container clusters create-auto private-cluster-vpc \
    --project=PROJECT_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT/global/networks/shared-net \
    --subnetwork=SHARED_SUBNETWORK \
    --cluster-secondary-range-name=tier-1-pods \
    --services-secondary-range-name=tier-1-services \
    --enable-private-nodes \
    --master-ipv4-cidr=172.16.0.0/28

コンソール

1. Google Cloud コンソールで Google Kubernetes Engine のページに移動します。

   Google Kubernetes Engine に移動

2. プロジェクト選択ツールで、1 番目のサービス プロジェクトを選択します。

3. tier-1-cluster を選択し、[削除] をクリックします。

4. プロジェクト選択ツールで、2 番目のサービス プロジェクトを選択します。

5. tier-2-cluster を選択して、[削除] をクリックします。

gcloud

gcloud container clusters delete tier-1-cluster \
    --project SERVICE_PROJECT_1_ID \
    --zone COMPUTE_ZONE

gcloud container clusters delete tier-2-cluster \
    --project SERVICE_PROJECT_2_ID \
    --zone COMPUTE_ZONE

コンソール

1. Google Cloud コンソールで [共有 VPC] ページに移動します。

   共有 VPC に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. [共有 VPC を無効にする] をクリックします。

4. フィールドに「HOST_PROJECT_ID」と入力し、[無効にする] をクリックします。

gcloud

gcloud compute shared-vpc associated-projects remove SERVICE_PROJECT_1_ID \
    --host-project HOST_PROJECT_ID

gcloud compute shared-vpc associated-projects remove SERVICE_PROJECT_2_ID \
    --host-project HOST_PROJECT_ID

gcloud compute shared-vpc disable HOST_PROJECT_ID

コンソール

1. Google Cloud コンソールの [ファイアウォール] ページに移動します。

   [ファイアウォール] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. ルールのリストで、my-shared-net-rule、my-shared-net-rule-2、my-shared-net-rule-3 を選択します。

4. [削除] をクリックします。

gcloud

ファイアウォール ルールを削除します。

gcloud compute firewall-rules delete \
    my-shared-net-rule \
    my-shared-net-rule-2 \
    my-shared-net-rule-3 \
    --project HOST_PROJECT_ID

コンソール

1. Google Cloud コンソールで [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. ネットワークのリストで shared-net を選択します。

4. [VPC ネットワークを削除] をクリックします。

gcloud

gcloud compute networks subnets delete tier-1 \
    --project HOST_PROJECT_ID \
    --region COMPUTE_REGION

gcloud compute networks subnets delete tier-2 \
    --project HOST_PROJECT_ID \
    --region COMPUTE_REGION

gcloud compute networks delete shared-net --project HOST_PROJECT_ID

コンソール

1. Google Cloud コンソールで [IAM] ページに移動します。

   [IAM] に移動

2. プロジェクト選択ツールで、ホスト プロジェクトを選択します。

3. メンバーのリストから、service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com に Kubernetes Engine Host サービス エージェント ユーザーのロールが付与されていることを示す行を選択します。

4. service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com に Kubernetes Engine Host サービス エージェント ユーザーのロールが付与されていることを示す行を選択します。

5. [アクセス権を削除] をクリックします。

gcloud

1. 1 番目のサービス プロジェクトの GKE サービス アカウントから Host サービス エージェント ユーザーのロールを削除します。

   gcloud projects remove-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

2. 2 番目のサービス プロジェクトの GKE サービス アカウントから Host サービス エージェント ユーザーのロールを削除します。

   gcloud projects remove-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser