為車隊設定團隊

gcloud

建立團隊範圍

如要在機群中建立新的團隊範圍，請執行下列指令，其中 SCOPE_NAME 是您為新範圍選用的專屬識別名稱：

gcloud container fleet scopes create SCOPE_NAME

將叢集新增至團隊範圍

只有現有車隊成員可以新增至團隊範圍。這些操作說明假設您要新增至範圍的叢集已是機群成員。如要將叢集新增至機群，請按照「建立機群」中的叢集類型操作說明，註冊叢集。如先前所述，請確保新註冊的叢集已設定為使用 Google 群組控管存取權。

機群成員叢集可新增至機群主專案中的任意數量團隊範圍。

如要將叢集新增至團隊範圍，請執行下列指令：

gcloud container fleet memberships bindings create BINDING_NAME \
  --membership MEMBERSHIP_NAME \
  --scope  SCOPE_NAME \
  --location MEMBERSHIP_LOCATION

更改下列內容：

• BINDING_NAME：代表叢集與團隊範圍之間關係的名稱。建議使用 MEMBERSHIP_NAME-SCOPE_NAME。
• MEMBERSHIP_NAME：叢集在車隊中的專屬 ID (通常是叢集名稱)。
• (選用) MEMBERSHIP_LOCATION：叢集的成員資格位置。如果省略這個值，則值為 global，這是叢集註冊的預設值。

建立機群命名空間

如要在團隊範圍內建立命名空間，請執行下列指令：

gcloud container fleet scopes namespaces create NAMESPACE_NAME --scope=SCOPE_NAME

更改下列內容：

• NAMESPACE_NAME：您為機群中的命名空間選擇的專屬名稱。確認 NAMESPACE_NAME 不會與機群命名空間命名限制衝突。
• SCOPE_NAME：您要使用命名空間的團隊範圍。

這個指令會在團隊範圍內的每個叢集中，建立名為 NAMESPACE_NAME 的 Kubernetes 命名空間。授予團隊成員範圍存取權後，他們就能像使用其他 Kubernetes 命名空間一樣使用 NAMESPACE_NAME。如果您在團隊範圍內已有名為 NAMESPACE_NAME 的 Kubernetes 命名空間，系統會將其視為新艦隊命名空間的一部分。這有時稱為「加入」命名空間。

授予團隊成員團隊範圍的存取權

gcloud beta container fleet scopes add-app-operator-binding SCOPE_ID
        --role=ROLE --group=TEAM_EMAIL --project PROJECT_ID

gcloud beta container fleet scopes add-app-operator-binding SCOPE_ID
        --role=ROLE --user=USER_EMAIL --project PROJECT_ID

gcloud container fleet rbacrolebindingactuation update --allowed-custom-roles CUSTOM_ROLE --project PROJECT_ID

gcloud beta container fleet scopes add-app-operator-binding SCOPE_ID
        --custom-role=CUSTOM_ROLE --group=TEAM_EMAIL --project PROJECT_ID

gcloud beta container fleet scopes add-app-operator-binding SCOPE_ID
        --custom-role=CUSTOM_ROLE --user=USER_EMAIL --project PROJECT_ID

控制台

建立團隊範圍

1. 選取車隊主專案後，前往 Google Cloud 控制台的「團隊」部分。

   前往「Teams」(團隊)

2. 按一下頁面頂端的「建立團隊範圍」。

3. 在「團隊基本資料」頁面的「名稱」欄位中，輸入團隊範圍的專屬名稱。團隊範圍建立完成後即無法變更名稱。

4. 如要將團隊成員新增至範圍，請按一下「新增團隊成員」。

   • 在「類型」部分，選取「使用者」可新增個別團隊成員，選取「群組」則可新增 Google 群組 (建議)。
   • 在「User or Group」(使用者或群組) 專區中，輸入團隊成員或群組的電子郵件地址。
   • 在「角色」中，選取「範圍管理員」、「範圍編輯者」或「範圍檢視者」，在範圍和機群上設定多個 IAM 和 RBAC 繫結，詳情請參閱「選擇團隊存取權限」。

5. 如要在這個階段建立團隊範圍，但不新增叢集和命名空間，請按一下「建立團隊範圍」。否則，請繼續下一個章節，將叢集新增至範圍。

將叢集新增至團隊範圍

如要將叢集與團隊範圍建立關聯，叢集必須是現有機群成員。如要將叢集新增至機群，請按照「建立機群」中的叢集類型操作說明，註冊叢集。如先前所述，請確保新註冊的叢集已設定為使用 Google 群組控管存取權。

機群成員叢集可新增至機群主機專案中的任意數量團隊範圍，讓不同團隊在相同的叢集上執行工作負載。

1. 在「團隊基本資料」頁面中，將團隊成員新增至範圍後，按一下「繼續」。
2. 在「叢集」頁面中，您可以選取要與這個團隊範圍建立關聯的機群叢集。在「叢集」下拉式選單中，勾選要新增的叢集，然後按一下「確定」。

建立機群命名空間

團隊成員可以使用艦隊命名空間，方式與使用其他 Kubernetes 命名空間相同。建立機群命名空間時，系統會在團隊範圍內的所有叢集建立對應的 Kubernetes 命名空間 (如果尚未建立)。

1. 在「叢集」頁面中，將叢集新增至團隊範圍後，按一下「繼續」。
2. 在「命名空間」頁面中，按一下「新增命名空間」。
   • 在「名稱」中，輸入機群中命名空間的專屬名稱，或要加入的現有命名空間名稱。確認名稱不會與機群命名空間命名限制衝突。
3. 如要將更多機群命名空間新增至範圍，請重複上述步驟。
4. 如要建立團隊範圍，請按一下「建立團隊範圍」。團隊範圍建立完成後，按一下「團隊」部分中的團隊範圍名稱，即可查看及編輯團隊範圍。

Terraform

本節說明如何使用 Terraform 設定新團隊。如需更多資訊和其他範例，請參閱下列資源的參考說明文件：

• google_gke_hub_scope
• google_gke_hub_membership_binding
• google_gke_hub_namespace
• google_gke_hub_scope_rbac_role_binding
• google_gke_hub_feature_rbacrolebindingactuation

建立團隊範圍

如要建立團隊範圍，可以在 Terraform 設定中使用下列程式碼區塊。

  resource "google_gke_hub_scope" "TF_SCOPE_RESOURCE_NAME" {
    scope_id = "SCOPE_NAME"
  }

更改下列內容：

• TF_SCOPE_RESOURCE_NAME：您選擇的名稱，用於唯一識別這個區塊建立的 Terraform google_gke_hub_scope 資源。
• SCOPE_NAME：團隊範圍的專屬識別名稱。

將叢集新增至範圍

只有現有車隊成員可以新增至團隊範圍。如要將叢集新增至機群，請按照「建立機群」中的叢集類型操作說明註冊叢集。如先前所述，請確保新註冊的叢集已設定為使用 Google 群組控管存取權。

如要將叢集新增至團隊範圍，請在設定中使用下列區塊：

  resource "google_gke_hub_membership_binding" "TF_MEMBERSHIP_BINDING_RESOURCE_NAME" {
    membership_binding_id = "BINDING_NAME"
    scope = SCOPE_NAME
    membership_id = MEMBERSHIP_NAME
    location = "MEMBERSHIP_LOCATION"
  }

更改下列內容：

• TF_MEMBERSHIP_BINDING_RESOURCE_NAME：用於識別這個區塊所建立 google_gke_hub_membership_binding 資源的名稱。
• BINDING_NAME：代表叢集和範圍之間關係的名稱。建議使用 MEMBERSHIP_NAME-SCOPE_NAME。
• SCOPE_NAME：團隊範圍的名稱。
• MEMBERSHIP_NAME：叢集在車隊中的專屬 ID (通常是叢集名稱)。
• MEMBERSHIP_LOCATION：叢集的成員位置。

建立機群命名空間

團隊成員可以像使用其他 Kubernetes 命名空間一樣，使用叢集組命名空間。您可以建立新的命名空間，或是加入現有命名空間。建立機群命名空間時，系統會在團隊範圍內的所有叢集建立對應的 Kubernetes 命名空間 (如果該命名空間尚不存在)。

如要建立 Fleet 命名空間，請在設定中使用下列程式碼區塊：

  resource "google_gke_hub_namespace" "TF_NAMESPACE_RESOURCE_NAME" {
    scope_namespace_id = "NAMESPACE_NAME"
    scope_id = SCOPE_NAME
    scope = SCOPE_NAME
  }

更改下列內容：

• TF_NAMESPACE_RESOURCE_NAME：用於識別這個區塊所建立 google_gke_hub_namespace 資源的名稱。
• NAMESPACE_NAME：您為車隊命名空間選擇的專屬名稱。請確認這個名稱不會與車隊命名空間命名限制衝突。
• SCOPE_NAME：要在其中建立 Fleet 命名空間的團隊範圍名稱。

授予範圍存取權

module "TF_SCOPE_RESOURCE_NAME_USER_EMAIL" {
  source           = "terraform-google-modules/kubernetes-engine/google//modules/fleet-app-operator-binding"

  scope_id = "SCOPE_NAME"
  user = "USER_EMAIL"
  role = "ROLE"
}

resource "google_gke_hub_feature" "rbacrolebindingactuation" {
  name = "rbacrolebindingactuation"
  location = "global"
  spec {
    rbacrolebindingactuation {
      allowed_custom_roles = ["CUSTOM_ROLE"]
    }
  }
}

resource "google_gke_hub_scope_rbac_role_binding" "BINDING_NAME" {
  scope_id = "SCOPE_NAME"
  user = "USER_EMAIL"
  role {
    custom_role = "CUSTOM_ROLE"
  }
  depends_on = [google_gke_hub_feature.rbacrolebindingactuation]
}

gcloud

列出團隊範圍

如要列出車隊中的所有範圍，請執行下列指令：

gcloud container fleet scopes list

如要列出與叢集相關聯的所有範圍，請執行下列指令：

gcloud container fleet memberships bindings list --membership MEMBERSHIP_NAME

從團隊範圍中移除叢集

如要從範圍中移除叢集，請執行下列指令：

gcloud container fleet memberships bindings delete BINDING_NAME --membership MEMBERSHIP_NAME

刪除團隊範圍

如要從機群中刪除範圍，請執行下列指令：

gcloud container fleet scopes delete SCOPE_NAME

控制台

列出團隊範圍

如要查看車隊中的所有範圍，請選取車隊主機專案，然後前往 Google Cloud 控制台的「Teams」(團隊) 部分。

前往「Teams」(團隊)

「團隊」頁面會列出為車隊建立的所有團隊範圍。您可以查看每個範圍在指定時間範圍內的資源用量摘要，以及預估每月費用、錯誤數和容器重新啟動次數。

按一下「成本最佳化」，即可查看更詳細的費用相關使用率指標。

查看團隊範圍詳細資料

您可以查看每個團隊範圍的詳細資料，包括與該範圍相關聯的標籤、團隊成員和團隊範圍記錄。

1. 在「團隊」頁面上，按一下要查看詳細資料的團隊範圍。
2. 在「團隊」分頁中，您可以查看範圍標籤 (如有) 和團隊成員。
3. 按一下「監控」分頁標籤，即可查看團隊的資源使用率指標。
4. 按一下「叢集」分頁標籤，即可查看團隊範圍的叢集。
5. 按一下「命名空間」分頁，即可查看這個團隊範圍中的機群命名空間。
6. 按一下「記錄」分頁標籤，即可查看團隊範圍記錄。

在團隊範圍中新增或刪除叢集

如要在現有團隊範圍中新增或刪除叢集，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Teams」(團隊) 頁面：

   前往「Teams」(團隊)

2. 選取要新增或刪除叢集的團隊範圍。「叢集」分頁會顯示目前繫結至範圍的叢集清單。

如要將叢集新增至團隊範圍，請按照下列步驟操作：

1. 按一下頁面頂端的「新增叢集」。
2. 在「叢集」下拉式選單中，選取要新增至範圍的叢集，然後按一下「確定」。
3. 按一下「更新團隊範圍」。

如要從團隊範圍中刪除叢集，請按照下列步驟操作：

1. 選取「叢集」分頁，即可查看目前繫結至範圍的叢集清單。
2. 找出要刪除的叢集，然後按一下旁邊的「垃圾桶」圖示，再按一下「移除」確認刪除。

刪除範圍

1. 前往 Google Cloud 控制台的「Teams」(團隊) 頁面：

   前往「Teams」(團隊)

2. 選取要刪除的團隊範圍。

3. 如要刪除範圍，請按一下頁面頂端的「刪除」。

4. 輸入範圍名稱，然後再次點按「刪除」，確認刪除。

gcloud

使用下列指令管理團隊範圍內的命名空間。

列出機群命名空間

如要列出範圍內使用 fleet scopes namespaces create 建立的所有命名空間，請執行下列指令：

gcloud container fleet scopes namespaces list --scope=SCOPE_NAME

刪除機群命名空間

如要刪除車隊命名空間，請執行下列指令：

gcloud container fleet scopes namespaces delete NAMESPACE_NAME --scope=SCOPE_NAME

請注意，刪除機群命名空間的影響取決於您新增命名空間的方式：

• 如果建立新的機群命名空間：這項指令會刪除機群命名空間。系統也會一併刪除因建立 Fleet 命名空間而建立的 Kubernetes 命名空間，以及這些命名空間的工作負載。
• 如果已加入現有的 Kubernetes 命名空間：這項指令會刪除 Fleet 命名空間。您加入的原始命名空間不會遭到刪除。

控制台

如要在團隊範圍內管理機群命名空間，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Teams」(團隊) 頁面：

   前往「Teams」(團隊)

2. 選取要管理車隊命名空間的團隊範圍。

列出機群命名空間

在團隊範圍內，選取「命名空間」分頁，即可查看這個範圍內建立的命名空間清單。

查看命名空間詳細資料

針對每個機群命名空間，您可以查看與該命名空間相關聯的標籤，以及依命名空間篩選的工作負載和記錄。

1. 選取「命名空間」分頁，系統會顯示在團隊範圍內建立的機群命名空間清單。
2. 按一下要查看詳細資料的車隊命名空間。
3. 在「詳細資料」分頁中，您可以查看車隊命名空間和範圍標籤。
   • 如要查看這個命名空間的工作負載，請按一下「View Workloads」(查看工作負載)。
   • 在「工作負載」頁面中，您可以看到已依命名空間和與該命名空間團隊範圍相關聯的叢集篩選的工作負載。
4. 在「記錄」分頁中，您可以依命名空間查看車隊範圍記錄。

將機群命名空間新增至團隊範圍

1. 如要新增機群命名空間，請按一下頁面頂端的「新增命名空間」。
2. 輸入新機群命名空間的名稱，並確保名稱符合機群命名空間命名限制。如要新增更多命名空間，請按一下「新增命名空間」。
3. 按一下「更新團隊範圍」。

刪除機群命名空間

1. 選取「命名空間」分頁，系統會顯示在團隊範圍內建立的機群命名空間清單。
2. 按一下要刪除的命名空間旁邊的「垃圾桶」圖示。
3. 輸入命名空間名稱，然後再次點按「Delete」(刪除)，確認要刪除。

請注意，這麼做會產生什麼影響，取決於您新增命名空間的方式：

• 如果建立新的機群命名空間：系統會刪除機群命名空間。建立艦隊命名空間時建立的 Kubernetes 命名空間也會一併刪除，連同工作負載。
• 如果已加入現有 Kubernetes 命名空間：系統會刪除機群命名空間。不過，您加入的原始命名空間不會遭到刪除。

更新機群命名空間名稱

機群命名空間一經建立即無法編輯。如要更新機群命名空間名稱，請刪除命名空間，並在團隊範圍內建立新命名空間。

gcloud

列出團隊成員

如要使用 add-app-operator-binding 指令列出所有獲准存取團隊範圍的團隊成員，以及他們的權限角色，請使用下列指令：

gcloud beta container fleet scopes list-app-operator-bindings SCOPE_NAME

更改下列內容：

• SCOPE_NAME：團隊範圍的專屬 ID。

移除小組成員

如要移除團隊成員的範圍存取權 (以 add-app-operator-binding 授予)，請使用下列指令：

gcloud beta container fleet scopes remove-app-operator-binding SCOPE_NAME \
   --group=TEAM_EMAIL

或

gcloud beta container fleet scopes remove-app-operator-binding SCOPE_NAME \
   --user=USER_EMAIL

更改下列內容：

• SCOPE_NAME：團隊範圍的專屬 ID。
• TEAM_EMAIL 或 USER_EMAIL：要從團隊中移除的群組或使用者電子郵件地址。

如果團隊成員是透過 rbacrolebindings create 指令取得存取權，請改用 rbacrolebindings delete 指令移除團隊成員。

更新團隊範圍存取權

如要更新團隊範圍存取權 (例如授予團隊成員不同角色，或更新群組電子郵件地址)，請按照上一節所述，從範圍中移除團隊成員，然後使用新詳細資料再次授予存取權。

如果團隊成員是透過 rbacrolebindings create 指令取得存取權，請改用 rbacrolebindings update 指令更新成員的存取權。

控制台

新增或移除團隊成員

如要在團隊範圍內管理團隊成員，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Teams」(團隊) 頁面：

   前往「Teams」(團隊)

2. 選取要管理成員的團隊範圍。

如要將新團隊成員新增至範圍，請按照下列步驟操作：

1. 按一下頁面頂端的「新增團隊成員」。請按照「建立團隊範圍」一節的詳細說明操作。
2. 按一下「更新團隊範圍」。

如要從範圍中移除團隊成員，請按照下列步驟操作：

1. 在「團隊」分頁中，找出要從團隊範圍移除的團隊成員，然後按一下旁邊的「垃圾桶」圖示。
2. 點選「刪除」即可確認刪除。

您無法在 Google Cloud 控制台中編輯團隊成員的詳細資料。如要在 Google Cloud 控制台中更新範圍存取權 (例如授予團隊成員不同角色，或更新群組電子郵件地址)，請從範圍中移除團隊成員，然後使用新詳細資料重新新增。