Menginstal dengan GKE atau Gemini Enterprise

Standard

---

Halaman ini menjelaskan cara menginstal Config Connector pada Cluster Google Kubernetes Engine (GKE) menggunakan add-on Config Connector.

Untuk rincian tentang setiap opsi instalasi dengan kelebihan dan kekurangannya, lihat Memilih jenis penginstalan.

Sebelum memulai

Sebelum memulai, pastikan Anda telah menjalankan tugas berikut:

• Aktifkan Google Kubernetes Engine API.
Mengaktifkan Google Kubernetes Engine API
• Jika ingin menggunakan Google Cloud CLI untuk tugas ini, instal lalu lakukan inisialisasi gcloud CLI. Jika sebelumnya Anda telah menginstal gcloud CLI, dapatkan versi terbaru dengan menjalankan gcloud components update.
  Catatan: Untuk penginstalan gcloud CLI yang ada, pastikan untuk menyetel properti compute/region dan compute/zone. Dengan menyetel lokasi default, Anda dapat menghindari error di gcloud CLI yang seperti ini: One of [--zone, --region] must be supplied: Please specify location.

• Pilih atau membuat project Google Cloud untuk menginstal Config Connector.

• Jika sebelumnya Anda telah menginstal Config Connector secara manual, uninstal sebelum menginstal add-on Config Connector:

  • Meng-uninstal mode cluster
  • Meng-uninstal mode dengan namespace

Menginstal add-on Config Connector

Anda dapat menggunakan add-on Config Connector dengan membuat cluster GKE baru, atau mengaktifkannya pada cluster yang ada. Setelah menginstal add-on Config Connector, Anda melakukan konfigurasi penginstalan Config Connector dengan Akun layanan Google dan namespace.

Catatan: Saat Anda mengaktifkan add-on Config Connector, Config Connector akan membuat namespace yang disebut configconnector-operator-system. Jangan membuat perubahan apa pun atau menambahkan resource apa pun ke namespace ini.

Persyaratan

Add-on Config Connector memiliki persyaratan berikut:

• Anda harus menggunakan versi GKE:

  • 1.15.11-gke.5 dan yang lebih baru
  • 1.16.8-gke.8 dan yang lebih baru
  • 1.17.4-gke.5 dan yang lebih baru

• Anda harus mengaktifkan Kumpulan Workload Identity dan Kubernetes Engine Monitoring di cluster tempat Anda mengaktifkan Config Connector.

Menyiapkan cluster GKE

Anda dapat menggunakan add-on Config Connector pada cluster baru atau yang sudah ada.

Membuat cluster baru dengan add-on Config Connector yang diaktifkan

Anda dapat membuat cluster GKE menggunakan gcloud CLI atau Konsol Google Cloud.

gcloud

Untuk membuat cluster dengan Google Cloud CLI, jalankan perintah berikut berikut:

gcloud container clusters create CLUSTER_NAME \
    --release-channel CHANNEL \
    --addons ConfigConnector \
    --workload-pool=PROJECT_ID.svc.id.goog \
    --logging=SYSTEM \
    --monitoring=SYSTEM

Ganti kode berikut:

• CLUSTER_NAME dengan nama GKE Anda .
• CHANNEL dengan Saluran rilis GKE, rapid dan regular didukung.
• PROJECT_ID dengan ID project Google Cloud Anda.

Konsol Google Cloud

Untuk membuat cluster dengan konsol Google Cloud, lakukan langkah-langkah berikut:

1. Buka menu Google Kubernetes Engine di Konsol Google Cloud.

   Buka menu Google Kubernetes Engine

2. Klik Create. Halaman Membuat cluster Kubernetes akan muncul.

3. Tentukan Nama untuk cluster Anda.

4. Pilih Versi master yang didukung.

5. Konfigurasi cluster lainnya sesuai keinginan Anda.

6. Dari panel navigasi, di bagian Cluster, klik Keamanan.

7. Pilih kotak centang Enable Workload Identity.

8. Dari panel navigasi di sebelah kiri, pada bagian Cluster, klik Fitur.

9. Centang kotak Enable Config Connector.

10. Klik Create.

Setelah Anda membuat cluster, lanjutkan ke Membuat identitas.

Mengaktifkan add-on Config Connector pada cluster yang ada

Anda dapat mengaktifkan add-on Config Connector pada cluster GKE yang ada dengan gcloud atau konsol Google Cloud.

Prasyarat

Pengaktifan add-on Config Connector pada cluster yang ada memiliki hal berikut prasyarat:

• Anda memerlukan cluster yang memenuhi persyaratan untuk mendapatkan add-on Config Connector.

• Siapkan Identitas Beban Kerja di cluster tempat Anda ingin menginstal Config Connector.

  Catatan: Mengaktifkan Workload Identity pada cluster yang ada tidak secara otomatis mengaktifkan Workload Identity pada kumpulan node yang ada di cluster. Sebaiknya aktifkan Workload Identity di semua node cluster Anda karena Config Connector dapat dijalankan di salah satunya.

Guna mengaktifkan Workload Identity untuk sebuah kumpulan node, gunakan command line gcloud alat:

gcloud container node-pools update NODE_POOL \
    --workload-metadata=GKE_METADATA \
    --cluster CLUSTER_NAME

Ganti kode berikut:

• NODE_POOL dengan nama kumpulan node Anda
• CLUSTER_NAME dengan nama cluster Anda

Mengaktifkan add-on Config Connector

Anda dapat mengaktifkan add-on Config Connector di cluster GKE yang ada dengan Google Cloud CLI atau Konsol Google Cloud.

gcloud

Untuk mengaktifkan add-on Config Connector di cluster GKE yang ada gunakan Google Cloud CLI:

gcloud container clusters update CLUSTER_NAME \
    --update-addons ConfigConnector=ENABLED

Ganti CLUSTER_NAME dengan nama cluster GKE Anda.

Konsol Google Cloud

1. Buka menu Google Kubernetes Engine di Konsol Google Cloud.

   Buka menu Google Kubernetes Engine

2. Pilih cluster tempat Anda ingin menginstal Config Connector. Tujuan Halaman Cluster Details akan muncul.

3. Di bagian Features, cari baris Config Connector dan klik Edit.

4. Centang kotak Enable Config Connector lalu klik Klik Simpan Perubahan untuk memperbarui cluster Anda.

Membuat identitas

Config Connector membuat dan mengelola resource Google Cloud dengan mengautentikasi menggunakan akun layanan Identity and Access Management (IAM) dan layanan GKE Workload Identity untuk mengikat akun layanan IAM dengan Kubernetes akun layanan.

Catatan: Anda hanya perlu melakukan langkah-langkah ini sekali per cluster.

Untuk membuat identitas, selesaikan langkah-langkah berikut:

1. Buat akun layanan IAM. Jika ingin menggunakan akun layanan yang ada, Anda dapat menggunakan akun tersebut dan melewati langkah ini.
   
   Untuk membuat akun layanan, gunakan perintah berikut:

     gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Ganti SERVICE_ACCOUNT_NAME dengan nama untuk akun layanan Anda.

Untuk mempelajari lebih lanjut cara membuat akun layanan, lihat Membuat dan mengelola akun layanan.

2. Berikan izin yang ditingkatkan pada akun layanan IAM pada project Anda:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/editor"

   Ganti yang berikut:
   • PROJECT_ID dengan ID project Anda.
   • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.
   Catatan: Memberikan peran editor memungkinkan sebagian besar fungsi Config Connector, kecuali konfigurasi di seluruh project dan organisasi, seperti IAM, yang telah dimodifikasi. Dalam lingkungan produksi, sebaiknya tetapkan izin yang lebih terperinci. Untuk informasi selengkapnya tentang peran IAM, lihat Memahami peran.
3. Membuat binding kebijakan IAM antara IAM akun layanan dan akun layanan Kubernetes yang telah ditetapkan sebelumnya yang Config Connector berjalan:

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:PROJECT_ID.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
       --role="roles/iam.workloadIdentityUser"

   Ganti yang berikut:
   • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.
   • PROJECT_ID dengan ID project Anda.

Mengonfigurasi Config Connector

Catatan: Saat Anda mengaktifkan add-on Config Connector, add-on ini secara otomatis membuat ConfigConnector CustomResource yang dikonfigurasi dalam mode namespace. Ini dilakukan karena alasan lama. Anda tetap harus menyelesaikan langkah-langkah berikut untuk mengonfigurasi ConfigConnector untuk menggunakan mode cluster. Jika Anda ingin menginstal Config Connector dalam mode dengan namespace. Lihat Instal Config Connector dalam mode namespace.

Untuk menyelesaikan instalasi, buat file konfigurasi untuk ConfigConnector CustomResource, lalu menerapkannya menggunakan perintah kubectl apply. Penginstalan Operator Config Connector Komponen CRD dan Config Connector resource Google Cloud di cluster Anda.

Untuk mengonfigurasi operator sebagai mode cluster, selesaikan langkah-langkah berikut:

1. Salin file YAML berikut ke file bernama configconnector.yaml:

   # configconnector.yaml
   apiVersion: core.cnrm.cloud.google.com/v1beta1
   kind: ConfigConnector
   metadata:
     # the name is restricted to ensure that there is only one
     # ConfigConnector resource installed in your cluster
     name: configconnector.core.cnrm.cloud.google.com
   spec:
     mode: cluster
     googleServiceAccount: "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com"
     # Setting `stateIntoSpec` to `Absent` is recommended. It means setting `cnrm.cloud.google.com/state-into-spec`
     # annotation to `absent` for all Config Connector resources created in the cluster in the future.
     # It prevents Config Connector from populating unspecified fields into the spec.
     stateIntoSpec: Absent
   

   Ganti yang berikut:
   • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.
   • PROJECT_ID dengan ID project Anda.
2. Terapkan konfigurasi ke cluster Anda dengan kubectl apply:

     kubectl apply -f configconnector.yaml

Menentukan tempat pembuatan resource

Config Connector dapat mengatur resource berdasarkan project, folder, atau organisasi, sama seperti mengatur resource dengan Google Cloud.

Sebelum membuat resource dengan Config Connector, Anda harus mengonfigurasi tempat untuk membuat Google Cloud Platform. Untuk menentukan tempat membuat resource, Config Connector menggunakan anotasi pada konfigurasi resource atau Namespace yang ada. Untuk informasi selengkapnya, lihat Mengatur resource.

Jika Anda tidak memiliki Namespace untuk tujuan ini, buat Namespace dengan kubectl.

kubectl create namespace NAMESPACE

Ganti NAMESPACE dengan nama namespace Anda. Contoh config-connector.

Pilih tab untuk memilih tempat Anda ingin Config Connector membuat resource.

Project

Untuk membuat resource di project tertentu, jalankan perintah berikut:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/project-id=PROJECT_ID

Ganti kode berikut:

• NAMESPACE dengan nama namespace Anda.
• PROJECT_ID dengan ID project Google Cloud Anda.

Folder

Untuk membuat resource di folder tertentu, jalankan perintah berikut:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/folder-id=FOLDER_ID

Ganti kode berikut:

• NAMESPACE dengan nama namespace Anda.
• FOLDER_ID dengan ID folder Google Cloud Anda.

Organisasi

Untuk membuat resource di organisasi tertentu, jalankan perintah berikut:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/organization-id=ORGANIZATION_ID

Ganti kode berikut:

• NAMESPACE dengan nama namespace Anda.
• ORGANIZATION_ID dengan ID organisasi Google Cloud Anda.

Saat Anda menganotasi namespace, Config Connector akan membuat resource di proyek, folder, atau organisasi yang sesuai. Untuk mempelajari lebih lanjut tentang Config Connector menggunakan namespace Kubernetes. Lihat Namespace Kubernetes dan project Google Cloud.

Memverifikasi penginstalan

Config Connector menjalankan semua komponennya di namespace bernama cnrm-system. Anda dapat memastikan bahwa Pod sudah siap dengan menjalankan perintah berikut:

kubectl wait -n cnrm-system \
      --for=condition=Ready pod --all

Jika Config Connector diinstal dengan benar, output-nya mirip dengan berikut ini:

pod/cnrm-controller-manager-0 condition met

Catatan: Pod pengontrol dapat memerlukan waktu beberapa menit untuk dimulai.

Mengupgrade Config Connector

Upgrade ke add-on Config Connector cluster Anda dikelola oleh Google Cloud.

Resource di cluster Anda akan dipertahankan setiap kali terjadi upgrade.

Baca cara Google Cloud mengelola upgrade add-on Config Connector, atau lewati tentang cara mendapatkan versi Config Connector terbaru.

Cara Google Cloud mengelola upgrade add-on Config Connector

Versi Config Connector yang didapatkan cluster GKE bergantung sepenuhnya pada versi GKE minor cluster. Contoh:

Versi minor GKE	Versi Config Connector
1,20	1.69.0
1.21	1.69.0
1,22	1.71.0
1.23	1.82.0
1.24	1.89.0

Catatan: Tabel di atas hanyalah contoh dan tidak boleh diandalkan untuk menentukan versi Config Connector yang akan didapatkan cluster Anda.

Karena versi memenuhi syarat, Google Cloud memetakan ulang GKE terbaru versi minor ke versi Config Connector yang baru dirilis. Hal ini dilakukan untuk semua versi minor GKE yang cukup baru sehingga tidak yang tersedia di saluran rilis Reguler atau Stabil.

Karena versi Config Connector yang didapatkan cluster bergantung pada konfigurasi cluster GKE minor, ada dua kasus di mana sebuah cluster Add-on Config Connector otomatis diupgrade oleh Google Cloud:

1. Cluster tersebut diupgrade ke versi minor GKE baru yang yang dipetakan ke versi Config Connector yang lebih baru.

   Catatan: Terkadang diperlukan waktu hingga satu minggu hingga Config Connector menjadi diupgrade setelah cluster GKE di-upgrade ke minor baru jika versi minor baru dipetakan ke versi Config Connector yang lebih baru.

2. Cluster ini berada di versi minor GKE yang cukup baru untuk tidak tersedia di saluran rilis Reguler atau Stabil, dan Google Cloud memetakan ulang versi minor GKE tersebut ke Versi Config Connector.

Saat Google Cloud memetakan ulang versi minor GKE dan melakukan upgrade cluster yang ada ke versi Config Connector baru, hal ini disebut sebagai "rolling" versi Config Connector baru" ke versi minor GKE tersebut.

Google Cloud tidak meluncurkan versi Config Connector baru ke Versi minor GKE yang sudah cukup lama tersedia di Versi saluran rilis reguler atau Stabil untuk alasan stabilitas, kecuali di situasi darurat di mana masalah yang meluas telah terdeteksi.

Cara mendapatkan versi Config Connector terbaru

Versi Config Connector yang diinstal melalui add-on Config Connector dapat tertinggal secara signifikan hingga 12 bulan. Jika Anda memerlukan Config Connector terbaru sebaiknya beralih ke Pengontrol Konfigurasi atau menginstal Config Connector secara manual dan melakukan upgrade sendiri. Petunjuk migrasi untuk setiap opsi adalah:

• Untuk beralih ke Pengontrol Konfigurasi, ikuti petunjuk migrasi Pengontrol Konfigurasi untuk memigrasikan resource Config Connector yang ada ke Pengontrol Konfigurasi di instance Compute Engine.

• Untuk menginstal Config Connector secara manual, ikuti petunjuknya untuk beralih dari add-on Config Connector ke Penginstalan manual.

Meng-uninstal Config Connector

Peringatan: Jangan meng-uninstal Config Connector dari cluster Config Controller. Ini adalah perubahan yang tidak didukung pada Pengontrol Konfigurasi karena dapat menyebabkan perilaku yang tidak terduga di cluster Anda.

Untuk meng-uninstal Config Connector, selesaikan langkah-langkah berikut:

1. Gunakan kubectl delete untuk menghapus CRD Config Connector beserta komponen pengontrol:

   kubectl delete ConfigConnector configconnector.core.cnrm.cloud.google.com --wait=true
   

2. Nonaktifkan add-on Config Connector di cluster Anda menggunakan gcloud CLI atau konsol Google Cloud:

   gcloud

   Untuk menonaktifkan add-on Config Connector dengan gcloud, jalankan perintah berikut:

   gcloud container clusters update CLUSTER_NAME --update-addons ConfigConnector=DISABLED
   

   Ganti CLUSTER_NAME dengan nama cluster yang memiliki Add-on Config Connector terinstal.

   Cloud Console

   Untuk menonaktifkan add-on Config Connector dari Konsol Google Cloud, lakukan langkah-langkah berikut.

   1. Buka halaman Cluster Google Kubernetes Engine di Konsol Google Cloud, lalu pilih cluster yang ingin Anda perbarui.

      Buka menu Google Kubernetes Engine

   2. Klik Edit. Layar Edit cluster akan muncul.

   3. Klik Add-on.

   4. Pilih Config Connector dan pilih Disabled.

   5. Klik Simpan untuk memperbarui cluster Anda.

Langkah selanjutnya

• Mulai menggunakan Config Connector.
• Pelajari cara memecahkan masalah Config Connector.