Une automáticamente los nodos de Windows Server de GKE a un dominio administrado de Microsoft AD

En esta página, se explica cómo unir nodos de Windows Server en tu clúster de Google Kubernetes Engine (GKE) a un dominio de Microsoft AD administrado con la unión automatizada a dominios .

Cómo Microsoft AD administrado une automáticamente los nodos de Windows Server a un dominio

Cuando creas un grupo de nodos en tu cuenta de GKE clúster, puedes usar el secuencias de comandos prediseñadas que están disponibles desde Microsoft AD administrado para unir automáticamente tu dominio de Microsoft AD administrado. Después de que GKE crea el grupo de nodos, Microsoft AD administrado inicia la solicitud de unión de dominios y, luego, intenta unir los nodos con tu dominio. Si la solicitud de unión de dominio se realiza correctamente, Microsoft AD administrado une los nodos a tu dominio. Si falla la solicitud de unión al dominio, los nodos creados siguen ejecutándose. Debes verificar los registros para identificar y solucionar el problema. antes de volver a crear el grupo de nodos. Para obtener más información, consulta Cómo ver los registros de depuración.

Debes limpiar la información sobre los nodos no unidos manualmente de Microsoft AD administrado en algunas situaciones específicas. Para obtener más información, consulta Cómo limpiar las VMs que no se unieron.

No puedes actualizar un grupo de nodos existente con las secuencias de comandos de unión al dominio para unir automáticamente los nodos existentes con su dominio.

La función de unión automatizada de dominios no configura GKE nodos que se ejecutarán gMSA para la autenticación. Sin embargo, puedes crear manualmente una gMSA en Microsoft AD administrado y configurar los nodos de GKE para usar la gMSA. Información sobre la configuración de gMSA para los nodos de GKE, consulta Configura gMSA para Pods de Windows contenedores.

Antes de comenzar

  1. Crea una cuenta de Microsoft AD administrada dominio.

  2. Crea un clúster de GKE con el nodo de Windows Server grupos.

  3. Asegúrate de que los nodos de Windows Server se ejecuten en una versión de Windows que Microsoft AD administrado admite.

  4. Configurar dominio intercambio de tráfico entre Dominio de Microsoft AD administrado y de los nodos de servicio o que ambos Dominio de Microsoft AD administrado y los nodos en la misma red.

  5. Crear una cuenta de servicio con el dominio de identidades administradas de Google Cloud Unir (roles/managedidentities.domainJoin) rol de IAM en el que tenga el dominio de Microsoft AD administrado. Para obtener más información, consulta Roles de identidades administradas en la nube.

  6. Configura el permiso de acceso completo de cloud-platform en los nodos de Windows Server. Para obtener más información, consulta Autorización.

Metadatos

Necesitas las siguientes claves de metadatos para unir los nodos de Windows Server a un dominio.

  • windows-startup-script-url
  • managed-ad-domain
  • Opcional: enable-guest-attributes
  • Opcional: managed-ad-ou-name
  • Opcional: managed-ad-force

Para obtener más información sobre estas claves de metadatos, consulta Metadatos.

La solicitud para unirse al dominio falla cuando la cuenta de computadora de un nodo de Windows Server ya existe en Microsoft AD administrado. Para Microsoft AD administrado reutilizar la cuenta de computadora existente durante el proceso de unión al dominio, puedes usar la clave de metadatos managed-ad-force cuando crees el nodo grupo de instancias.

Únete a nodos de Windows Server

Puedes configurar estos metadatos claves cuando agregar un grupo de nodos de Windows Server a tu clúster de GKE. Esta En la sección correspondiente, se ilustra cómo usar estas claves de metadatos en gcloud CLI comandos cuando creas un grupo de nodos.

Sin embargo, puedes usar estas claves de metadatos cuando crees un grupo de nodos con el otras opciones disponibles. Para obtener más información, consulta Cómo agregar y administrar nodos grupos.

Para crear un grupo de nodos y unirte a los nodos de Windows Server, ejecuta el siguiente comando: Comando de gcloud CLI:

gcloud container node-pools create NODE_POOL_NAME \
    --cluster=CLUSTER_NAME \
    "--metadata=windows-startup-script-url=URL,managed-ad-domain=DOMAIN_RESOURCE_PATH,managed-ad-force=TRUE" \
    --service-account=SERVICE_ACCOUNT \
    --image-type=WINDOWS_IMAGE_NAME \
    --scopes=https://www.googleapis.com/auth/cloud-platform \
    --location=ZONE_OR_REGION \
    --no-enable-autoupgrade

Puedes reemplazar los marcadores de posición en la marca --metadata por valores relevantes, como se describe en la sección metadatos.

Para obtener más información sobre este comando de la CLI de gcloud, consulta gcloud container node-pools create.

¿Qué sigue?