En esta página, se explica cómo unir nodos de Windows Server en tu clúster de Google Kubernetes Engine (GKE) a un dominio de Microsoft AD administrado con la unión automatizada a dominios .
Cómo Microsoft AD administrado une automáticamente los nodos de Windows Server a un dominio
Cuando creas un grupo de nodos en tu cuenta de GKE clúster, puedes usar el secuencias de comandos prediseñadas que están disponibles desde Microsoft AD administrado para unir automáticamente tu dominio de Microsoft AD administrado. Después de que GKE crea el grupo de nodos, Microsoft AD administrado inicia la solicitud de unión de dominios y, luego, intenta unir los nodos con tu dominio. Si la solicitud de unión de dominio se realiza correctamente, Microsoft AD administrado une los nodos a tu dominio. Si falla la solicitud de unión al dominio, los nodos creados siguen ejecutándose. Debes verificar los registros para identificar y solucionar el problema. antes de volver a crear el grupo de nodos. Para obtener más información, consulta Cómo ver los registros de depuración.
Debes limpiar la información sobre los nodos no unidos manualmente de Microsoft AD administrado en algunas situaciones específicas. Para obtener más información, consulta Cómo limpiar las VMs que no se unieron.
No puedes actualizar un grupo de nodos existente con las secuencias de comandos de unión al dominio para unir automáticamente los nodos existentes con su dominio.
La función de unión automatizada de dominios no configura GKE nodos que se ejecutarán gMSA para la autenticación. Sin embargo, puedes crear manualmente una gMSA en Microsoft AD administrado y configurar los nodos de GKE para usar la gMSA. Información sobre la configuración de gMSA para los nodos de GKE, consulta Configura gMSA para Pods de Windows contenedores.
Antes de comenzar
Crea un clúster de GKE con el nodo de Windows Server grupos.
Asegúrate de que los nodos de Windows Server se ejecuten en una versión de Windows que Microsoft AD administrado admite.
Configurar dominio intercambio de tráfico entre Dominio de Microsoft AD administrado y de los nodos de servicio o que ambos Dominio de Microsoft AD administrado y los nodos en la misma red.
Crear una cuenta de servicio con el dominio de identidades administradas de Google Cloud Unir (
roles/managedidentities.domainJoin
) rol de IAM en el que tenga el dominio de Microsoft AD administrado. Para obtener más información, consulta Roles de identidades administradas en la nube.Para obtener más información sobre cómo otorgar roles, consulta Otorga un solo .
Para obtener información sobre cómo crear una cuenta de servicio, consulta Cómo autenticar cargas de trabajo que usan .
Configura el permiso de acceso completo de
cloud-platform
en los nodos de Windows Server. Para obtener más información, consulta Autorización.
Metadatos
Necesitas las siguientes claves de metadatos para unir los nodos de Windows Server a un dominio.
windows-startup-script-url
managed-ad-domain
- Opcional:
enable-guest-attributes
- Opcional:
managed-ad-ou-name
- Opcional:
managed-ad-force
Para obtener más información sobre estas claves de metadatos, consulta Metadatos.
La solicitud para unirse al dominio falla cuando la cuenta de computadora de un nodo de Windows Server
ya existe en Microsoft AD administrado. Para Microsoft AD administrado
reutilizar la cuenta de computadora existente durante el proceso de unión al dominio, puedes usar
la clave de metadatos managed-ad-force
cuando crees el nodo
grupo de instancias.
Únete a nodos de Windows Server
Puedes configurar estos metadatos claves cuando agregar un grupo de nodos de Windows Server a tu clúster de GKE. Esta En la sección correspondiente, se ilustra cómo usar estas claves de metadatos en gcloud CLI comandos cuando creas un grupo de nodos.
Sin embargo, puedes usar estas claves de metadatos cuando crees un grupo de nodos con el otras opciones disponibles. Para obtener más información, consulta Cómo agregar y administrar nodos grupos.
Para crear un grupo de nodos y unirte a los nodos de Windows Server, ejecuta el siguiente comando: Comando de gcloud CLI:
gcloud container node-pools create NODE_POOL_NAME \ --cluster=CLUSTER_NAME \ "--metadata=windows-startup-script-url=URL,managed-ad-domain=DOMAIN_RESOURCE_PATH,managed-ad-force=TRUE" \ --service-account=SERVICE_ACCOUNT \ --image-type=WINDOWS_IMAGE_NAME \ --scopes=https://www.googleapis.com/auth/cloud-platform \ --location=ZONE_OR_REGION \ --no-enable-autoupgrade
Puedes reemplazar los marcadores de posición en la marca --metadata
por valores relevantes, como se describe en la sección metadatos.
Para obtener más información sobre este comando de la CLI de gcloud, consulta gcloud container node-pools create.