공유 VPC를 사용하여 클러스터 설정

콘솔

1. Google Cloud 콘솔의 홈페이지로 이동합니다.

   홈페이지로 이동

2. 프로젝트 선택기에서 호스트 프로젝트로 선택한 프로젝트를 선택합니다.

3. 프로젝트 정보에서 프로젝트 이름, 프로젝트 ID, 프로젝트 번호를 볼 수 있습니다. 나중을 위해 ID와 번호를 기록해 둡니다.

4. 서비스 프로젝트로 선택한 각 프로젝트의 동일한 작업을 수행합니다.

gcloud

다음 명령어를 사용하여 프로젝트를 나열합니다.

gcloud projects list

출력에 프로젝트 이름, ID, 번호가 표시됩니다. 나중을 위해 ID와 번호를 기록해 둡니다.

PROJECT_ID        NAME        PROJECT_NUMBER
host-123          host        1027xxxxxxxx
srv-1-456         srv-1       4964xxxxxxxx
srv-2-789         srv-2       4559xxxxxxxx

콘솔

1. Google Cloud 콘솔의 API 및 서비스 페이지로 이동합니다.

   API 및 서비스로 이동합니다.

2. 프로젝트 선택기에서 호스트 프로젝트로 선택한 프로젝트를 선택합니다.

3. Kubernetes Engine API가 API 목록에 있으면 이미 사용 설정된 것이므로 아무 것도 수행할 필요가 없습니다. 목록에 없으면 API 및 서비스 사용을 클릭합니다. Kubernetes Engine API를 검색합니다. Kubernetes Engine API 카드를 클릭하고 사용을 클릭합니다.

4. 서비스 프로젝트로 선택한 프로젝트마다 이 단계를 반복합니다. 각 작업을 완료하려면 시간이 걸릴 수 있습니다.

gcloud

3개의 프로젝트에 GKE API를 사용 설정합니다. 각 작업을 완료하려면 시간이 걸릴 수 있습니다.

gcloud services enable container.googleapis.com --project HOST_PROJECT_ID
gcloud services enable container.googleapis.com --project SERVICE_PROJECT_1_ID
gcloud services enable container.googleapis.com --project SERVICE_PROJECT_2_ID

콘솔

1. Google Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

   VPC 네트워크로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. add_box VPC 네트워크 만들기를 클릭합니다.

4. 이름에 shared-net를 입력합니다.

5. 서브넷 생성 모드 아래에서 커스텀을 선택합니다.

6. 새 서브넷 상자의 이름에 tier-1을 입력합니다.

7. 리전에서 리전을 선택합니다.

8. IP 스택 유형에서 IPv4(단일 스택)를 선택합니다.

9. IPv4 범위에 10.0.4.0/22를 입력합니다.

10. 보조 IPv4 범위 만들기를 클릭합니다. 서브넷 범위 이름에 tier-1-services를 입력하고, 보조 IPv4 범위에 10.0.32.0/20를 입력합니다.

11. IP 범위 추가를 클릭합니다. 서브넷 범위 이름에 tier-1-pods을 입력하고, 보조 IPv4 범위에 10.4.0.0/14를 입력합니다.

12. 서브넷 추가를 클릭합니다.

13. 이름에 tier-2를 입력합니다.

14. 리전에서 이전 서브넷에 선택한 것과 동일한 리전을 선택합니다.

15. IPv4 범위에 172.16.4.0/22를 입력합니다.

16. 보조 IPv4 범위 만들기를 클릭합니다. 서브넷 범위 이름에 tier-2-services를 입력하고, 보조 IPv4 범위에 172.16.16.0/20를 입력합니다.

17. IP 범위 추가를 클릭합니다. 서브넷 범위 이름에 tier-2-pods를 입력하고, 보조 IPv4 범위에 172.20.0.0/14를 입력합니다.

18. 만들기를 클릭합니다.

gcloud

호스트 프로젝트에서 이름이 shared-net인 네트워크를 만듭니다.

gcloud compute networks create shared-net \
    --subnet-mode custom \
    --project HOST_PROJECT_ID

새 네트워크에서 이름이 tier-1인 서브넷을 만듭니다.

gcloud compute networks subnets create tier-1 \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --range 10.0.4.0/22 \
    --region COMPUTE_REGION \
    --secondary-range tier-1-services=10.0.32.0/20,tier-1-pods=10.4.0.0/14

이름이 tier-2인 다른 서브넷을 만듭니다.

gcloud compute networks subnets create tier-2 \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --range 172.16.4.0/22 \
    --region COMPUTE_REGION \
    --secondary-range tier-2-services=172.16.16.0/20,tier-2-pods=172.20.0.0/14

COMPUTE_REGION을 Compute Engine 리전으로 바꿉니다.

콘솔

다음 단계를 수행하여 공유 VPC를 사용 설정하고, 서비스 프로젝트를 연결하고, 역할을 부여하세요.

1. Google Cloud 콘솔의 공유 VPC 페이지로 이동합니다.

   공유 VPC로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. 공유 VPC 설정을 클릭합니다. 호스트 프로젝트 사용 설정 화면이 표시됩니다.

4. 저장하고 계속하기를 클릭합니다. 서브넷 선택 페이지가 표시됩니다.

5. 공유 모드 아래에서 개별 서브넷을 선택합니다.

6. 공유할 서브넷 아래에서 tier-1 및 tier-2를 선택합니다. 다른 체크박스는 모두 지웁니다.

7. 계속을 클릭합니다. 권한 부여 페이지가 표시됩니다.

8. 서비스 프로젝트 연결 아래에서 첫 번째 서비스 프로젝트 및 두 번째 서비스 프로젝트를 선택합니다. 서비스 프로젝트 연결 아래에서 다른 체크박스는 모두 지웁니다.

9. Kubernetes Engine 액세스 아래에서 사용 설정을 선택합니다.

10. Save(저장)를 클릭합니다. 새 페이지가 표시됩니다.

11. 개별 서브넷 권한 아래에서 tier-1을 선택합니다.

12. 오른쪽 창에서 두 번째 서비스 프로젝트에 속하는 서비스 계정을 삭제합니다. 즉, SERVICE_PROJECT_2_NUM이 포함된 서비스 계정을 삭제합니다.

13. 오른쪽 창에서 첫 번째 서비스 프로젝트에 속하는 Kubernetes Engine 및 Google API 서비스 계정 이름을 찾습니다. 목록에서 서비스 계정 이름을 모두 확인할 수 있습니다. 둘 중 하나라도 목록에 없으면, 구성원 추가 아래에 서비스 계정 이름을 입력하고 추가를 클릭합니다.

14. 가운데 창의 개별 서브넷 권한 아래에서 tier-2를 선택하고 tier-1을 선택 해제합니다.

15. 오른쪽 창에서 첫 번째 서비스 프로젝트에 속하는 서비스 계정을 삭제합니다. 즉, SERVICE_PROJECT_1_NUM이 포함된 서비스 계정을 삭제합니다.

16. 오른쪽 창에서 두 번째 서비스 프로젝트에 속하는 Kubernetes Engine 및 Google API 서비스 계정 이름을 찾습니다. 목록에서 서비스 계정 이름을 모두 확인할 수 있습니다. 둘 중 하나라도 목록에 없으면, 구성원 추가 아래에 서비스 계정 이름을 입력하고 추가를 클릭합니다.

gcloud

1. 호스트 프로젝트에서 공유 VPC를 사용 설정합니다. 사용되는 명령어는 사용자에게 있는 필요한 관리 역할에 따라 달라집니다.

   조직 수준에서 공유 VPC 관리자 역할이 있는 경우

   gcloud compute shared-vpc enable HOST_PROJECT_ID
   

   폴더 수준에서 공유 VPC 관리자 역할이 있는 경우

   gcloud beta compute shared-vpc enable HOST_PROJECT_ID
   

2. 첫 번째 서비스 프로젝트를 호스트 프로젝트에 연결합니다.

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_1_ID \
       --host-project HOST_PROJECT_ID
   

3. 두 번째 서비스 프로젝트를 호스트 프로젝트에 연결합니다.

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_2_ID \
       --host-project HOST_PROJECT_ID
   

4. tier-1 서브넷의 IAM 정책을 가져옵니다.

   gcloud compute networks subnets get-iam-policy tier-1 \
      --project HOST_PROJECT_ID \
      --region COMPUTE_REGION
   

   출력에 etag 필드가 포함됩니다. etag 값을 기록해 둡니다.

5. 다음 내용이 포함된 tier-1-policy.yaml이라는 파일을 만듭니다.

   bindings:
   - members:
     - serviceAccount:SERVICE_PROJECT_1_NUM@cloudservices.gserviceaccount.com
     - serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com
     role: roles/compute.networkUser
   etag: ETAG_STRING
   

   ETAG_STRING을 앞에서 기록해 둔 etag 값으로 바꿉니다.

6. tier-1 서브넷의 IAM 정책을 설정합니다.

   gcloud compute networks subnets set-iam-policy tier-1 \
       tier-1-policy.yaml \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

7. tier-2 서브넷의 IAM 정책을 가져옵니다.

   gcloud compute networks subnets get-iam-policy tier-2 \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

   출력에 etag 필드가 포함됩니다. etag 값을 기록해 둡니다.

8. 다음 내용이 포함된 tier-2-policy.yaml이라는 파일을 만듭니다.

   bindings:
   - members:
     - serviceAccount:SERVICE_PROJECT_2_NUM@cloudservices.gserviceaccount.com
     - serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com
     role: roles/compute.networkUser
   etag: ETAG_STRING
   

   ETAG_STRING을 앞에서 기록해 둔 etag 값으로 바꿉니다.

9. tier-2 서브넷의 IAM 정책을 설정합니다.

   gcloud compute networks subnets set-iam-policy tier-2 \
       tier-2-policy.yaml \
       --project HOST_PROJECT_ID \
       --region COMPUTE_REGION
   

콘솔

1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

   IAM으로 이동

2. 호스트 프로젝트를 선택합니다.

3. person_add 액세스 권한 부여를 클릭한 다음 서비스 프로젝트의 GKE 서비스 계정 주 구성원인 service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com을 입력합니다.

4. 드롭다운 목록에서 Compute Security Admin 역할을 선택합니다.

5. Save(저장)를 클릭합니다.

gcloud

서비스 프로젝트의 GKE 서비스 계정에 호스트 프로젝트 내에서 Compute Security Admin 역할을 부여합니다.

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
    --member=serviceAccount:service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com \
    --role=roles/compute.securityAdmin

다음을 바꿉니다.

• HOST_PROJECT_ID: 공유 VPC 호스트 프로젝트 ID입니다.
• SERVICE_PROJECT_NUM: GKE 서비스 계정이 포함된 서비스 프로젝트의 ID입니다.

콘솔

앞에서 언급한 IAM 권한이 포함된 호스트 프로젝트 내에 커스텀 역할을 만듭니다.

1. Google Cloud 콘솔에서 역할 페이지로 이동합니다.

   역할 페이지로 이동

2. 페이지 상단의 드롭다운 목록을 사용하여 호스트 프로젝트를 선택합니다.

3. 역할 만들기를 클릭합니다.

4. 역할의 제목, 설명, ID, 역할 실행 단계를 입력합니다. 역할을 만든 후에는 역할 이름을 변경할 수 없습니다.

5. 권한 추가를 클릭합니다.

6. compute.networks를 필터링하고 이전에 언급된 IAM 권한을 선택합니다.

7. 모든 필수 권한을 선택한 후 추가를 클릭합니다.

8. 만들기를 클릭합니다.

호스트 프로젝트 내에서 새로 생성된 커스텀 역할을 서비스 프로젝트의 GKE 서비스 계정에 부여합니다.

1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

   IAM으로 이동

2. 호스트 프로젝트를 선택합니다.

3. person_add 액세스 권한 부여를 클릭한 다음 서비스 프로젝트의 GKE 서비스 계정 주 구성원인 service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com을 입력합니다.

4. 새로 만든 커스텀 역할의 제목을 필터링하여 선택합니다.

5. Save(저장)를 클릭합니다.

gcloud

1. 앞에서 언급한 IAM 권한이 포함된 호스트 프로젝트 내에 커스텀 역할을 만듭니다.

   gcloud iam roles create ROLE_ID \
       --title="ROLE_TITLE" \
       --description="ROLE_DESCRIPTION" \
       --stage=LAUNCH_STAGE \
       --permissions=compute.networks.updatePolicy,compute.firewalls.list,compute.firewalls.get,compute.firewalls.create,compute.firewalls.update,compute.firewalls.delete \
       --project=HOST_PROJECT_ID
   

2. 호스트 프로젝트 내에서 새로 생성된 커스텀 역할을 서비스 프로젝트의 GKE 서비스 계정에 부여합니다.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member=serviceAccount:service-SERVICE_PROJECT_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role=projects/HOST_PROJECT_ID/roles/ROLE_ID
   

   다음을 바꿉니다.

   • ROLE_ID: 역할의 이름입니다(예: gkeFirewallAdmin).
   • ROLE_TITLE은 역할의 별칭입니다(예: GKE Firewall Admin).
   • ROLE_DESCRIPTION은 역할에 대한 간단한 설명입니다(예: GKE service account FW permissions).
   • LAUNCH_STAGE: 수명 주기에서 역할의 출시 단계입니다(예: ALPHA, BETA 또는 GA).
   • HOST_PROJECT_ID: 공유 VPC 호스트 프로젝트 ID입니다.
   • SERVICE_PROJECT_NUM: GKE 서비스 계정이 포함된 서비스 프로젝트의 ID입니다.

콘솔

Google Cloud 콘솔을 사용한 경우에는 호스트 서비스 에이전트 사용자 역할을 명시적으로 부여할 필요가 없습니다. 이 작업은 사용자가 Google Cloud 콘솔을 사용해서 호스트 프로젝트에 서비스 프로젝트를 연결할 때 자동으로 수행되었습니다.

gcloud

1. 첫 번째 프로젝트의 GKE 서비스 계정에 호스트 서비스 에이전트 사용자 역할을 부여합니다. 이 역할은 호스트 프로젝트에 부여됩니다.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

2. 두 번째 프로젝트의 GKE 서비스 계정에 호스트 서비스 에이전트 사용자 역할을 부여합니다. 이 역할은 호스트 프로젝트에 부여됩니다.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

gcloud

gcloud container subnets list-usable \
    --project SERVICE_PROJECT_ID \
    --network-project HOST_PROJECT_ID

SERVICE_PROJECT_ID를 서비스 프로젝트의 프로젝트 ID로 바꿉니다.

--project 또는 --network-project 옵션을 생략할 경우, gcloud CLI 명령어는 활성 구성의 기본 프로젝트를 사용합니다. 호스트 프로젝트와 네트워크 프로젝트는 서로 다르므로, --project 또는 --network-project를 지정하거나 둘 다 지정해야 합니다.

출력은 다음과 비슷합니다.

PROJECT: xpn-host
REGION: REGION_NAME
NETWORK: shared-net
SUBNET: tier-2
RANGE: 172.16.4.0/22

SECONDARY_RANGE_NAME: tier-2-services
IP_CIDR_RANGE: 172.20.0.0/14
STATUS: usable for pods or services

SECONDARY_RANGE_NAME: tier-2-pods
IP_CIDR_RANGE: 172.16.16.0/20
STATUS: usable for pods or services

PROJECT: xpn-host
REGION: REGION_NAME
NETWORK: shared-net
SUBNET: tier-1
RANGE: 10.0.4.0/22

SECONDARY_RANGE_NAME: tier-1-services
IP_CIDR_RANGE: 10.0.32.0/20
STATUS: usable for pods or services

SECONDARY_RANGE_NAME: tier-1-pods
IP_CIDR_RANGE: 10.4.0.0/14
STATUS: usable for pods or services

list-usable 명령어는 다음 상황에서 빈 목록을 반환합니다.

• 서비스 프로젝트의 Kubernetes Engine 서비스 계정에 호스트 프로젝트의 호스트 서비스 에이전트 사용자 역할이 없는 경우
• 호스트 프로젝트의 Kubernetes Engine 서비스 계정이 없는 경우(예: 계정을 실수로 삭제한 경우)
• 호스트 프로젝트에서 Kubernetes Engine API가 사용 설정되지 않은 경우, 호스트 프로젝트의 Kubernetes Engine 서비스 계정이 없는 것입니다.

자세한 내용은 문제 해결 섹션을 참조하세요.

콘솔

1. Google Cloud 콘솔에서 Google Kubernetes Engine 페이지로 이동합니다.

   Google Kubernetes Engine으로 이동

2. 프로젝트 선택기에서 첫 번째 서비스 프로젝트를 선택합니다.

3. add_box 만들기를 클릭합니다.

4. Autopilot 또는 Standard 섹션에서 구성을 클릭합니다.

5. 이름에 tier-1-cluster를 입력합니다.

6. 리전 드롭다운 목록에서 서브넷에 사용한 것과 동일한 리전을 선택합니다.

7. 탐색창에서 네트워킹을 클릭합니다.

8. 나와 공유된 네트워크(호스트 프로젝트에서)를 선택합니다.

9. 네트워크로 shared-net을 선택합니다.

10. 노드 서브넷으로 tier-1을 선택합니다.

11. 포드 보조 CIDR 범위로 tier-1-pods를 선택합니다.

12. 서비스 보조 CIDR 범위로 tier-1-services를 선택합니다.

13. 만들기를 클릭합니다.

14. 만들기가 완료되면 클러스터 목록에서 tier-1-cluster를 클릭합니다.

15. 클러스터 세부정보 페이지에서 노드 탭을 클릭합니다.

16. 노드 풀 아래에서 검사하려는 노드 풀의 이름을 클릭합니다.

17. 인스턴스 그룹에서 검사할 인스턴스 그룹의 이름을 클릭합니다. 예: gke-tier-1-cluster-default-pool-5c5add1f-grp.

18. 인스턴스 목록에서 노드의 내부 IP 주소가 tier-1 서브넷의 기본 범위인 10.0.4.0/22에 있는지 확인합니다.

gcloud

첫 번째 서비스 프로젝트에서 이름이 tier-1-cluster인 클러스터를 만듭니다.

gcloud container clusters create-auto tier-1-cluster \
    --project=SERVICE_PROJECT_1_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT_ID/global/networks/shared-net \
    --subnetwork=projects/HOST_PROJECT_ID/regions/COMPUTE_REGION/subnetworks/tier-1 \
    --cluster-secondary-range-name=tier-1-pods \
    --services-secondary-range-name=tier-1-services

만들기가 완료되면 클러스터 노드가 tier-1 서브넷의 기본 범위인 10.0.4.0/22에 있는지 확인합니다.

gcloud compute instances list --project SERVICE_PROJECT_1_ID

출력에는 노드의 내부 IP 주소가 표시됩니다.

NAME                    ZONE           ... INTERNAL_IP
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.2
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.3
gke-tier-1-cluster-...  ZONE_NAME      ... 10.0.4.4

콘솔

1. Google Cloud 콘솔에서 Google Kubernetes Engine 페이지로 이동합니다.

   Google Kubernetes Engine으로 이동

2. 프로젝트 선택기에서 두 번째 서비스 프로젝트를 선택합니다.

3. add_box 만들기를 클릭합니다.

4. Standard 또는 Autopilot 섹션에서 구성을 클릭합니다.

5. 이름에 tier-2-cluster를 입력합니다.

6. 리전 드롭다운 목록에서 서브넷에 사용한 것과 동일한 리전을 선택합니다.

7. 탐색창에서 네트워킹을 클릭합니다.

8. 네트워크로 shared-net을 선택합니다.

9. 노드 서브넷으로 tier-2를 선택합니다.

10. 포드 보조 CIDR 범위로 tier-2-pods를 선택합니다.

11. 서비스 보조 CIDR 범위로 tier-2-services를 선택합니다.

12. 만들기를 클릭합니다.

13. 만들기가 완료되면 클러스터 목록에서 tier-2-cluster를 클릭합니다.

14. 클러스터 세부정보 페이지에서 노드 탭을 클릭합니다.

15. 노드 풀 아래에서 검사하려는 노드 풀의 이름을 클릭합니다.

16. 인스턴스 그룹에서 검사할 인스턴스 그룹의 이름을 클릭합니다. 예를 들면 gke-tier-2-cluster-default-pool-5c5add1f-grp입니다.

17. 인스턴스 목록에서 노드의 내부 IP 주소가 tier-2 서브넷의 기본 범위인 172.16.4.0/22에 있는지 확인합니다.

gcloud

두 번째 서비스 프로젝트에서 이름이 tier-2-cluster인 클러스터를 만듭니다.

gcloud container clusters create-auto tier-2-cluster \
    --project=SERVICE_PROJECT_2_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT_ID/global/networks/shared-net \
    --subnetwork=projects/HOST_PROJECT_ID/regions/COMPUTE_REGION/subnetworks/tier-2 \
    --cluster-secondary-range-name=tier-2-pods \
    --services-secondary-range-name=tier-2-services

만들기가 완료되면 클러스터 노드가 tier-2 서브넷의 기본 범위인 172.16.4.0/22에 있는지 확인합니다.

gcloud compute instances list --project SERVICE_PROJECT_2_ID

출력에는 노드의 내부 IP 주소가 표시됩니다.

NAME                    ZONE           ... INTERNAL_IP
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.2
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.3
gke-tier-2-cluster-...  ZONE_NAME      ... 172.16.4.4

콘솔

1. Google Cloud 콘솔의 방화벽 페이지로 이동합니다.

   방화벽으로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. VPC 네트워킹 메뉴에서 방화벽 규칙 만들기를 클릭합니다.

4. 이름에 my-shared-net-rule을 입력합니다.

5. 네트워크로 shared-net을 선택합니다.

6. 트래픽 방향으로 수신을 선택합니다.

7. 일치 시 작업으로 허용을 선택합니다.

8. 대상으로 네트워크의 모든 인스턴스를 선택합니다.

9. 소스 필터로 IP 범위를 선택합니다.

10. 소스 IP 범위에 0.0.0.0/0을 입력합니다.

11. 프로토콜 및 포트로 지정된 프로토콜 및 포트를 선택합니다. 상자에 tcp:22를 입력합니다.

12. 만들기를 클릭합니다.

gcloud

공유 네트워크에 대한 방화벽 규칙을 만듭니다.

gcloud compute firewall-rules create my-shared-net-rule \
    --project HOST_PROJECT_ID \
    --network shared-net \
    --direction INGRESS \
    --allow tcp:22

콘솔

1. Google Cloud 콘솔에서 Google Kubernetes Engine 페이지로 이동합니다.

   Google Kubernetes Engine으로 이동

2. 프로젝트 선택기에서 첫 번째 서비스 프로젝트를 선택합니다.

3. tier-1-cluster를 클릭합니다.

4. 클러스터 세부정보 페이지에서 노드 탭을 클릭합니다.

5. 노드 풀 아래에서 노드 풀 이름을 클릭합니다.

6. 인스턴스 그룹에서 인스턴스 그룹의 이름을 클릭합니다. 예: gke-tier-1-cluster-default-pool-faf87d48-grp.

7. 인스턴스 목록에서 노드의 내부 IP 주소를 기록해 둡니다. 이러한 주소는 10.0.4.0/22 범위에 있습니다.

8. 노드 중 하나의 SSH를 클릭합니다. 방화벽 규칙에서 허용되는 TCP 포트 22가 SSH에 사용되기 때문에 이 작업은 성공합니다.

gcloud

첫 번째 서비스 프로젝트에서 노드를 나열합니다.

gcloud compute instances list --project SERVICE_PROJECT_1_ID

출력에는 클러스터에 있는 노드 이름이 포함됩니다.

NAME                                           ...
gke-tier-1-cluster-default-pool-faf87d48-3mf8  ...
gke-tier-1-cluster-default-pool-faf87d48-q17k  ...
gke-tier-1-cluster-default-pool-faf87d48-x9rk  ...

SSH를 사용하여 노드 중 하나에 연결합니다.

gcloud compute ssh NODE_NAME \
    --project SERVICE_PROJECT_1_ID \
    --zone COMPUTE_ZONE

다음을 바꿉니다.

• NODE_NAME: 노드 중 하나의 이름입니다.
• COMPUTE_ZONE: 리전 내 Compute Engine 영역의 이름입니다.

콘솔

1. Google Cloud 콘솔에서 Google Kubernetes Engine 페이지로 이동합니다.

   Google Kubernetes Engine으로 이동

2. add_box 만들기를 클릭합니다.

3. Autopilot 또는 Standard 섹션에서 구성을 클릭합니다.

4. 이름에 private-cluster-vpc를 입력합니다.

5. 탐색창에서 네트워킹을 클릭합니다.

6. 비공개 클러스터를 선택합니다.

7. (Autopilot 선택사항): 컨트롤 플레인 IP 범위를 172.16.0.16/28로 설정합니다.

8. 네트워크 드롭다운 목록에서 이전에 만든 VPC 네트워크를 선택합니다.

9. 노드 서브넷 드롭다운 목록에서 이전에 만든 공유 서브넷을 선택합니다.

10. 필요에 따라 클러스터를 구성합니다.

11. 만들기를 클릭합니다.

gcloud

다음 명령어를 실행하여 사전 정의된 공유 VPC에 private-cluster-vpc라는 클러스터를 만듭니다.

gcloud container clusters create-auto private-cluster-vpc \
    --project=PROJECT_ID \
    --location=COMPUTE_REGION \
    --network=projects/HOST_PROJECT/global/networks/shared-net \
    --subnetwork=SHARED_SUBNETWORK \
    --cluster-secondary-range-name=tier-1-pods \
    --services-secondary-range-name=tier-1-services \
    --enable-private-nodes \
    --master-ipv4-cidr=172.16.0.0/28

콘솔

1. Google Cloud 콘솔에서 Google Kubernetes Engine 페이지로 이동합니다.

   Google Kubernetes Engine으로 이동

2. 프로젝트 선택기에서 첫 번째 서비스 프로젝트를 선택합니다.

3. tier-1-cluster를 선택하고 삭제를 클릭합니다.

4. 프로젝트 선택기에서 두 번째 서비스 프로젝트를 선택합니다.

5. tier-2-cluster를 선택하고 삭제를 클릭합니다.

gcloud

gcloud container clusters delete tier-1-cluster \
    --project SERVICE_PROJECT_1_ID \
    --zone COMPUTE_ZONE

gcloud container clusters delete tier-2-cluster \
    --project SERVICE_PROJECT_2_ID \
    --zone COMPUTE_ZONE

콘솔

1. Google Cloud 콘솔의 공유 VPC 페이지로 이동합니다.

   공유 VPC로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. 공유 VPC 사용 중지를 클릭합니다.

4. 필드에 HOST_PROJECT_ID를 입력하고 사용 중지를 클릭합니다.

gcloud

gcloud compute shared-vpc associated-projects remove SERVICE_PROJECT_1_ID \
    --host-project HOST_PROJECT_ID

gcloud compute shared-vpc associated-projects remove SERVICE_PROJECT_2_ID \
    --host-project HOST_PROJECT_ID

gcloud compute shared-vpc disable HOST_PROJECT_ID

콘솔

1. Google Cloud 콘솔의 방화벽 페이지로 이동합니다.

   방화벽으로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. 규칙 목록에서 my-shared-net-rule, my-shared-net-rule-2, my-shared-net-rule-3을 선택합니다.

4. 삭제를 클릭합니다.

gcloud

방화벽 규칙을 삭제합니다.

gcloud compute firewall-rules delete \
    my-shared-net-rule \
    my-shared-net-rule-2 \
    my-shared-net-rule-3 \
    --project HOST_PROJECT_ID

콘솔

1. Google Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

   VPC 네트워크로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. 네트워크 목록에서 share-net을 선택합니다.

4. VPC 네트워크 삭제를 클릭합니다.

gcloud

gcloud compute networks subnets delete tier-1 \
    --project HOST_PROJECT_ID \
    --region COMPUTE_REGION

gcloud compute networks subnets delete tier-2 \
    --project HOST_PROJECT_ID \
    --region COMPUTE_REGION

gcloud compute networks delete shared-net --project HOST_PROJECT_ID

콘솔

1. Google Cloud 콘솔의 IAM 페이지로 이동합니다.

   IAM으로 이동

2. 프로젝트 선택기에서 호스트 프로젝트를 선택합니다.

3. 구성원 목록에서 service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com에 Kubernetes Engine 호스트 서비스 에이전트 사용자 역할이 부여되었음을 나타내는 행을 선택합니다.

4. service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com에 Kubernetes Engine 호스트 서비스 에이전트 사용자 역할이 부여되었음을 나타내는 행을 선택합니다.

5. 액세스 권한 삭제를 클릭합니다.

gcloud

1. 첫 번째 서비스 프로젝트의 GKE 서비스 계정에서 호스트 에이전트 사용자 역할을 삭제합니다.

   gcloud projects remove-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_1_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser
   

2. 두 번째 서비스 프로젝트의 GKE 서비스 계정에서 호스트 서비스 에이전트 사용자 역할을 삭제합니다.

   gcloud projects remove-iam-policy-binding HOST_PROJECT_ID \
       --member serviceAccount:service-SERVICE_PROJECT_2_NUM@container-engine-robot.iam.gserviceaccount.com \
       --role roles/container.hostServiceAgentUser