Questa pagina è stata tradotta dall'API Cloud Translation.

Configurazione di Config Controller

Questa pagina mostra come configurare Config Controller.

Config Controller fornisce un piano di controllo gestito, basato su Kubernetes. Inoltre, le istanze di Config Controller sono preinstallate con Policy Controller, Config Sync e Config Connector. Utilizzando questi componenti, puoi sfruttare gli strumenti e i flussi di lavoro di Kubernetes per gestire le risorse Google Cloud e ottenere la coerenza utilizzando un flusso di lavoro GitOps. Per scoprire di più, consulta la panoramica di Config Controller.

Se stai creando un'istanza di Config Controller per la prima volta, consulta Guida rapida: gestisci le risorse con Config Controller.

Limitazioni

Poiché le istanze Config Controller sono completamente gestite, registrali con un parco.

Prima di iniziare

Prima di configurare Config Controller, completa i seguenti passaggi:

Installare e inizializzare Google Cloud interfaccia a riga di comando, che fornisce Google Cloud CLI utilizzato in questi istruzioni. Se utilizzi Cloud Shell Google Cloud CLI sia già installato.
Poiché kubectl non è installato per impostazione predefinita da Google Cloud CLI, installalo:
```
gcloud components install kubectl
```
Imposta il progetto Google Cloud in cui vuoi ospitare Config Controller:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il progetto Google Cloud che ospiterà Config Controller.

Abilita le API che hai bisogno:

gcloud services enable krmapihosting.googleapis.com \
    anthos.googleapis.com  \
    cloudresourcemanager.googleapis.com \
    serviceusage.googleapis.com

Crea un'istanza di Config Controller

Puoi creare un'istanza di Config Controller basata su un cluster standard o su un cluster Autopilot. Entrambi i tipi di cluster vengono private.

Seleziona un cluster standard se vuoi più opzioni di personalizzazione. Seleziona un cluster Autopilot se vuoi un'installazione più rapida, la scalabilità automatica dei pod horizontale e verticale e funzionalità di sicurezza avanzate come OS ottimizzato per i container, nodi GKE schermati, federazione delle identità per i carichi di lavoro per GKE e Avvio protetto.

Crea un'istanza di Config Controller:
Standard
Crea un'istanza Config Controller supportata da un'istanza privata Cluster GKE standard:
```
gcloud anthos config controller create CONFIG_CONTROLLER_NAME \
    --location=LOCATION
```
Sostituisci quanto segue:
- CONFIG_CONTROLLER_NAME: il nome che vuoi per assegnare alla tua istanza Config Controller.
- LOCATION: aggiungi una delle seguenti regioni:
  - us-central1
  - us-east1
  - us-east4
  - us-east5
  - us-west1
  - us-west2
  - us-west3
  - us-west4
  - us-south1
  - northamerica-northeast1
  - northamerica-northeast2
  - southamerica-west1
  - southamerica-east1
  - europe-north1
  - europe-west1
  - europe-west3
  - europe-west4
  - europe-west6
  - europe-west9
  - europe-west10
  - europe-west12
  - europe-central2
  - europe-southwest1
  - australia-southeast1
  - australia-southeast2
  - asia-east1
  - asia-east2
  - asia-northeast1
  - asia-northeast2
  - asia-northeast3
  - asia-southeast1
  - asia-southeast2
  - asia-south1
  - asia-south2
  - africa-south1
  - me-west1
  - me-central1
  Questa è la regione in cui è stata creata l'istanza Config Controller. Non sono supportate altre regioni.
Puoi impostare più parametri facoltativi quando crei un'istanza di Config Controller standard. Per l'elenco completo delle opzioni, consulta gcloud anthos config controller create documentazione.
Autopilot
Per creare un'istanza di Config Controller supportata da un'istanza privata, Cluster GKE Autopilot, esegui questo comando:
```
gcloud anthos config controller create CONFIG_CONTROLLER_NAME \
    --location=LOCATION \
    --full-management
```
Sostituisci quanto segue:
- CONFIG_CONTROLLER_NAME: il nome che vuoi assegnare al controller.
- LOCATION: aggiungi una delle seguenti regioni:
  - us-central1
  - us-east1
  - us-east4
  - us-east5
  - us-west2
  - northamerica-northeast1
  - northamerica-northeast2
  - europe-north1
  - europe-west1
  - europe-west3
  - europe-west6
  - australia-southeast1
  - australia-southeast2
  - asia-northeast1
  - asia-northeast2
  - asia-southeast1
  Non sono supportate altre regioni.
Questa operazione può richiedere fino a 15 minuti. Se vuoi osservare di cosa succede durante la creazione, puoi visualizzare Esplora log nel nella console Google Cloud.

Vai a Esplora log

Se si verificano errori durante la creazione, consulta Risolvere i problemi di Config Controller per istruzioni sulla risoluzione dei problemi più comuni.
Per verificare che le istanze di Config Controller siano state create, visualizza il delle istanze di Config Controller:
```
gcloud anthos config controller list --location=LOCATION
```
Nella colonna dello stato dovresti vedere il valore RUNNING. Se lo stato è CREATING, l'istanza del controller di configurazione è ancora in fase di creazione e devi continuare ad attendere. Se vedi ERROR, hai riscontrato un problema problema che non riesci a risolvere autonomamente. Contatta Google Cloud Assistenza per l'assistenza.
Per comunicare con l'endpoint Config Controller, ottieni le credenziali e le informazioni sull'endpoint appropriate:
```
gcloud anthos config controller get-credentials CONFIG_CONTROLLER_NAME \
    --location LOCATION
```

utilizza l'istanza di Config Controller

Ora che hai creato un'istanza di Config Controller, puoi iniziare a utilizzare i componenti installati e completare le seguenti attività:

Utilizza Config Connector per creare risorse Google Cloud. Se hai risorse Google Cloud esistenti che vuoi utilizzare con Config Controller, scopri come acquisire una risorsa esistente.
Utilizza Policy Controller per applicare limitazioni che impongono la conformità alle normative e agli standard Kubernetes.
Dopo aver configurato Config Sync, nella sezione seguente sincronizza l'istanza di Config Controller con le configurazioni (inclusi i vincoli di Policy Controller e le risorse di Config Connector) che sono archiviate in una fonte attendibile.

Per un esempio guidato che mostra come completare queste attività con Config Controller, consulta la guida rapida Gestire le risorse con Config Controller.

Configura l'istanza di Config Controller

Le sezioni seguenti spiegano come configurare i componenti dell'istanza Config Controller.

Configura Config Connector

Non è necessario gestire alcuna impostazione per l'installazione di Config Connector. Tuttavia, devi concedere a Config Controller le autorizzazioni per gestire le risorse Google Cloud:

Imposta una variabile di ambiente per l'email del tuo account di servizio:

export SA_EMAIL="$(kubectl get ConfigConnectorContext -n config-control \
    -o jsonpath='{.items[0].spec.googleServiceAccount}' 2> /dev/null)"

Crea l'associazione dei criteri:
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member "serviceAccount:${SA_EMAIL}" \
    --role "ROLE" \
    --project PROJECT_ID
```
Sostituisci quanto segue:
- PROJECT_ID: il tuo ID progetto
- ROLE: un insieme di ruoli predefiniti o ruoli personalizzati che soddisfano le tue esigenze. In alternativa, puoi utilizzare roles/owner per gli ambienti non di produzione. Per scoprire di più sulle autorizzazioni IAM di Config Controller, consulta Autorizzazioni IAM per Config Controller.
Se l'operazione precedente non riesce, controlla se i controller sono pronti:
```
kubectl wait pod --all --all-namespaces --for=condition=Ready
```

Dopo aver concesso queste autorizzazioni, puoi iniziare a creare Google Cloud Google Cloud.

Configura Policy Controller

Potresti dover aggiungere o aggiornare il criterio IAM per consentire Policy Controller per inviare metriche.

Consenti a Policy Controller di inviare metriche eseguendo questo comando:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:PROJECT_ID.svc.id.goog[gatekeeper-system/gatekeeper-admin]" \
  --role=roles/monitoring.metricWriter

Sostituisci PROJECT_ID con l'ID progetto Google Cloud del cluster.

Configura Config Sync

Se vuoi che l'istanza di Config Controller si sincronizzi con le configurazioni archiviate in devi configurare Config Sync.

Se vuoi utilizzare Config Sync per creare risorse Config Connector, assicurati hai anche concesso a Config Controller l'autorizzazione a gestire le risorse.

Per configurare Config Sync, crea e modifica un oggetto RootSync:

Per eseguire la sincronizzazione da un repository esterno (ad esempio GitHub), configurare Cloud NAT con GKE. Devi farlo perché i nodi del cluster privato non hanno accesso a internet in uscita.
Salva uno dei seguenti manifest come root-sync.yaml. Utilizzare il file manifest che corrisponde al tipo di origine delle tue configurazioni.
Git
```
# root-sync.yaml
apiVersion: configsync.gke.io/v1beta1
kind: RootSync
metadata:
  name: ROOT_SYNC_NAME
  namespace: config-management-system
spec:
  sourceType: git
  sourceFormat: ROOT_FORMAT
  git:
    repo: ROOT_REPOSITORY
    revision: ROOT_REVISION
    branch: ROOT_BRANCH
    dir: ROOT_DIRECTORY
    auth: ROOT_AUTH_TYPE
    gcpServiceAccountEmail: ROOT_EMAIL
    secretRef:
      name: ROOT_SECRET_NAME
    noSSLVerify: ROOT_NO_SSL_VERIFY
    caCertSecretRef:
      name: ROOT_CA_CERT_SECRET_NAME
```
Sostituisci quanto segue:
- ROOT_SYNC_NAME: aggiungi il nome dell'oggetto RootSync.
- ROOT_FORMAT: aggiungi unstructured per utilizzare un repository non strutturato o aggiungi hierarchy per utilizzare un repository gerarchico. Questi valori sono sensibili alle maiuscole. Questo campo è facoltativo e il valore predefinito è hierarchy. Ti consigliamo di aggiungere unstructured poiché questo formato consente puoi organizzare le configurazioni nel modo che preferisci.
- ROOT_REPOSITORY: aggiungi l'URL del repository Git da utilizzare come repository principale. Puoi inserire gli URL utilizzando il protocollo HTTPS HTTP(S) o SSH. Ad esempio, https://github.com/GoogleCloudPlatform/anthos-config-management-samples utilizza il protocollo HTTPS. Questo campo è obbligatorio.
- ROOT_REVISION: aggiungi la revisione Git (tag o hash) da cui eseguire la sincronizzazione. Questo campo è facoltativo e il valore predefinito è HEAD. A partire da Config Sync versione 1.17.0, puoi anche specifica un nome ramo nel campo revision. Quando utilizzi un hash nella versione 1.17.0 o successive, deve essere un hash completo e non una forma abbreviata.
- ROOT_BRANCH: aggiungi il ramo del repository da cui eseguire la sincronizzazione. Questo campo è facoltativo e il valore predefinito è master. A partire dalla versione 1.17.0 di Config Sync, ti consigliamo di utilizzare il campo revision per specificare un nome ramo la semplicità. Se sono specificati entrambi i campi revision e branch, revision ha la precedenza su branch.
- ROOT_DIRECTORY: aggiungi il percorso nel repository Git a la directory principale che contiene la configurazione da sincronizzare a. Questo campo è facoltativo e il valore predefinito è la directory radice (/) di nel repository.
- ROOT_AUTH_TYPE: aggiungi uno dei seguenti tipi di autenticazione:
  - none: non utilizzare l'autenticazione
  - ssh: usa una coppia di chiavi SSH
  - cookiefile: usa un cookiefile
  - token: utilizza un token
  - gcpserviceaccount: utilizza un account di servizio Google per accedere a Cloud Source Repositories.
  - gcenode: utilizza un account di servizio Google per accedere a Cloud Source Repositories. Seleziona questa opzione solo se Workload Identity Federation for GKE non è abilitato nel tuo cluster.
  Per ulteriori informazioni su questi tipi di autenticazione, consulta la pagina Concedere a Config Sync l'accesso di sola lettura a Git.
  
  Questo campo è obbligatorio.
- ROOT_EMAIL: se hai aggiunto gcpserviceaccount come ROOT_AUTH_TYPE, aggiungi il tuo indirizzo email dell'account del servizio Google. Ad esempio, acm@PROJECT_ID.iam.gserviceaccount.com.
- ROOT_SECRET_NAME: aggiungi il nome del secret. Se questo , devi aggiungere la chiave pubblica del secret il provider Git. Questo campo è facoltativo.
- ROOT_NO_SSL_VERIFY: per disattivare la verifica del certificato SSL, imposta questo campo su true. Il valore predefinito è false.
- ROOT_CA_CERT_SECRET_NAME: aggiungi il nome del segreto. Se questo campo è impostato, il tuo provider Git deve utilizzare un'istanza certificato emesso da questa autorità di certificazione (CA). Il secret deve contenere il certificato CA sotto una chiave denominata cert. Questo campo è facoltativo.
  
  Per scoprire di più su come configurare l'oggetto Secret per il certificato CA, consulta Configurare l'autorità di certificazione
Per una spiegazione dei campi e un elenco completo dei campi che che è possibile aggiungere al campo spec, consulta la sezione Campi RootSync.

Questo manifest crea un oggetto RootSync che utilizza Git come origine.
OCI
```
# root-sync.yaml
apiVersion: configsync.gke.io/v1beta1
kind: RootSync
metadata:
  name: ROOT_SYNC_NAME
  namespace: config-management-system
spec:
  sourceType: oci
  sourceFormat: ROOT_FORMAT
  oci:
    image: ROOT_IMAGE
    dir: ROOT_DIRECTORY
    auth: ROOT_AUTH_TYPE
    gcpServiceAccountEmail: ROOT_EMAIL
    caCertSecretRef:
      name: ROOT_CA_CERT_SECRET_NAME
```
Sostituisci quanto segue:
- ROOT_SYNC_NAME: aggiungi il nome dell'oggetto RootSync.
- ROOT_FORMAT: aggiungi unstructured per utilizzare un repository non strutturato o hierarchy per utilizzare un repository gerarchico. Questi valori sono sensibili alle maiuscole. Questo campo è facoltativo e il valore predefinito è hierarchy. Ti consigliamo di aggiungere unstructured perché questo formato ti consente di organizzare le configurazioni nel modo più pratico per te.
- ROOT_IMAGE: l'URL dell'immagine OCI da utilizzare come repository root, ad esempio LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME. Per impostazione predefinita, l'immagine viene estratta dal tag latest, ma puoi estrarre le immagini anche tramite TAG o DIGEST. Specifica TAG o DIGEST in PACKAGE_NAME:
  - Per eseguire il pull per TAG: LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME:TAG
  - Per estrarre per DIGEST: LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME@sha256:DIGEST
Attenzione: Config Sync richiede che il livello OCI sia compresso in tar o tar+gzip. Gli altri formati (ad esempio, tar+bz2) non verranno riconosciuti da Config Sync. Passaggio da un'immagine REPO valida a un'immagine OCI con un formato non supportato comporterà l'eliminazione delle risorse gestite senza un errore.
- ROOT_DIRECTORY: aggiungi il percorso nel repository alla directory principale contenente la configurazione che vuoi sincronizzare. Questo campo è facoltativo e il valore predefinito è la directory radice (/) del repository.
- ROOT_AUTH_TYPE: aggiungi uno dei seguenti tipi di autenticazione:
  - none: non usare l'autenticazione
  - gcenode: utilizza Account di servizio predefinito Compute Engine per accedere a un'immagine in Artifact Registry. Seleziona questa opzione solo se La federazione delle identità per i carichi di lavoro per GKE non è abilitata nel cluster.
  - gcpserviceaccount: utilizza un account di servizio Google per accedere a un dell'immagine.
  Questo campo è obbligatorio.
- ROOT_EMAIL: se hai aggiunto gcpserviceaccount come ROOT_AUTH_TYPE, aggiungi il tuo indirizzo email dell'account del servizio Google. Ad esempio: acm@PROJECT_ID.iam.gserviceaccount.com.
- ROOT_CA_CERT_SECRET_NAME: aggiungi il nome del tuo Secret. Se questo campo è impostato, il provider OCI deve utilizzare un certificato emesso da questa autorità di certificazione (CA). Il secret deve contenere il certificato CA sotto una chiave denominata cert. Questo campo è facoltativo.
Per saperne di più su come configurare l'oggetto Secret per la CA certificato, consulta Configurare l'autorità di certificazione

Per una spiegazione dei campi e un elenco completo dei campi che che è possibile aggiungere al campo spec, consulta la sezione Campi RootSync.

Questo file manifest crea un oggetto RootSync che utilizza un'immagine OCI come origine.
Helm
```
# root-sync.yaml
apiVersion: configsync.gke.io/v1beta1
kind: RootSync
metadata:
  name: ROOT_SYNC_NAME
  namespace: config-management-system
spec:
  sourceType: helm
  sourceFormat: ROOT_FORMAT
  helm:
    repo: ROOT_HELM_REPOSITORY
    chart: HELM_CHART_NAME
    version: HELM_CHART_VERSION
    releaseName: HELM_RELEASE_NAME
    namespace: HELM_RELEASE_NAMESPACE
    values:
      foo:
        bar: VALUE_1
      baz:
      - qux: VALUE_2
        xyz: VALUE_3
    includeCRDs: HELM_INCLUDE_CRDS
    auth: ROOT_AUTH_TYPE
      gcpServiceAccountEmail: ROOT_EMAIL
      secretRef:
        name: ROOT_SECRET_NAME
    caCertSecretRef:
      name: ROOT_CA_CERT_SECRET_NAME
```
Sostituisci quanto segue:
- ROOT_SYNC_NAME: aggiungi il nome del tuo sistema RootSync .
- ROOT_FORMAT: aggiungi unstructured per utilizzare un repository non strutturato o hierarchy per utilizzare un repository gerarchico. Questi valori sono sensibili alle maiuscole. Questo campo è facoltativo e il valore predefinito è hierarchy. Ti consigliamo di aggiungere unstructured perché questo formato ti consente di organizzare le configurazioni nel modo più pratico per te.
- ROOT_HELM_REPOSITORY: l'URL dell'Helm da utilizzare come repository radice. Puoi inserire gli URL utilizzando il protocollo HTTPS o SSH. Ad esempio, https://github.com/GoogleCloudPlatform/anthos-config-management-samples utilizza il protocollo HTTPS. Questo campo è obbligatorio.
- HELM_CHART_NAME: aggiungi il nome del tuo Helm grafico. Questo campo è obbligatorio.
- HELM_CHART_VERSION: la versione del grafico. Questo campo è facoltativo. Se non viene specificato alcun valore, viene utilizzata la versione più recente.
- HELM_RELEASE_NAME: il nome della release Helm. Questo campo è facoltativo.
- HELM_RELEASE_NAMESPACE: lo spazio dei nomi di destinazione per una release. Imposta uno spazio dei nomi solo per le risorse che contengono namespace: {{ .Release.Namespace }} nei modelli. Questo campo è facoltativo. Se non viene specificato alcun valore, viene utilizzato lo spazio dei nomi predefinito config-management-system.
- HELM_INCLUDE_CRDS: impostato su true se vuoi che il modello Helm generi anche un CustomResourceDefinition. Questo campo è facoltativo. Se non viene specificato alcun valore, il valore predefinito è false e non verrà generato alcun CRD.
- VALUE: valori da utilizzare al posto dei valori predefiniti che accompagnano il grafico Helm. Formatta questo campo come quello del file helm chart's values.yaml. Questo campo è facoltativo.
- ROOT_AUTH_TYPE: aggiungi uno dei seguenti tipi di autenticazione:
  - none: non utilizzare l'autenticazione
  - token: usa un nome utente e una password per accedere a un Helm privato repository Git.
  - gcenode: utilizza Account di servizio predefinito Compute Engine per accedere a un'immagine in Artifact Registry. Seleziona questa opzione solo se la federazione delle identità per i carichi di lavoro per GKE non è abilitata nel tuo cluster.
  - gcpserviceaccount: utilizza un account di servizio Google per accedere a un dell'immagine.
  Questo campo è obbligatorio.
- ROOT_EMAIL: se hai aggiunto gcpserviceaccount come ROOT_AUTH_TYPE, aggiungi il tuo indirizzo email dell'account del servizio Google. Ad esempio: acm@PROJECT_ID.iam.gserviceaccount.com.
- ROOT_SECRET_NAME: aggiungi il nome del tuo secret se token è il ROOT_AUTH_TYPE. Questo campo è facoltativo.
- ROOT_CA_CERT_SECRET_NAME: aggiungi il nome del tuo Secret. Se questo campo è impostato, il tuo provider Helm deve utilizzare un'istanza certificato emesso da questa autorità di certificazione (CA). Il secret deve contenere il certificato CA in una chiave denominata cert. Questo campo è facoltativo.
Per saperne di più su come configurare l'oggetto Secret per la CA certificato, consulta Configurare l'autorità di certificazione

Per una spiegazione dei campi e un elenco completo dei campi che puoi aggiungere al campo spec, consulta Campi RootSync.

Questo manifest crea un oggetto RootSync che utilizza Helm come origine.
Per creare la configurazione di Config Sync, crea un oggetto RootSync applicando il manifest:
```
kubectl apply -f root-sync.yaml
```
Per verificare che le modifiche siano state applicate, visualizza l'oggetto RootSync:
```
kubectl describe rootsync ROOT_SYNC_NAME -n config-management-system
```

Eseguire l'upgrade di Config Controller

Poiché Config Controller è un servizio gestito, Google ne esegue automaticamente l'upgrade. Per informazioni dettagliate sulle nuove funzionalità e per sapere quali versioni di Config Sync, Policy Controller e Config Connector utilizza Config Controller, consulta le note di rilascio di Config Controller.

Elimina l'istanza di Config Controller

Se decidi di smettere di utilizzare un'istanza di Config Controller, ripulisci tutte le risorse di Config Connector create prima di eliminare il cluster di Config Controller stesso.

L'eliminazione dell'istanza del controller di configurazione senza eliminare prima le risorse di provisioning lascia le risorse in uno stato abbandonato. Le risorse esistono ancora in Google Cloud (e sono soggetti ad addebiti di fatturazione), ma non sono gestiti dalla configurazione dichiarativa.

Dopo aver eliminato tutte le risorse, elimina Config Controller cluster:

gcloud anthos config controller delete \
    --location=LOCATION CONFIG_CONTROLLER_NAME

Considerazioni sulla produzione

Quando passi in produzione, devi prima rivedere considerazioni sull'alta disponibilità per Config Controller.

Passaggi successivi

Scopri le best practice per la scalabilità di Config Controller
Esegui il deployment di carichi di lavoro personalizzati sui cluster Config Controller
Risolvi i problemi di Config Controller.
Ricevi assistenza.
Scopri di più sulla sincronizzazione di configurazioni e criteri con Config Sync.
Scopri di più su come applicare le norme con Policy Controller.
Scopri di più sulle risorse di Config Connector.