Mengelola resource dengan Pengontrol Konfigurasi

Pelajari cara membuat instance Pengontrol Konfigurasi yang sudah diinstal sebelumnya dengan Config Connector, Pengontrol Kebijakan, dan Config Sync. Selanjutnya, pelajari cara memanfaatkan instance dengan menyelesaikan tugas berikut:

• Gunakan Config Connector untuk membuat dan mengelola resource Google Cloud.
• Buat batasan Pengontrol Kebijakan untuk menerapkan kebijakan dan mendeteksi pelanggaran kebijakan sebelum di-deploy.
• Siapkan GitOps dengan mengonfigurasi Config Sync agar disinkronkan dari repositori contoh yang berisi resource Google Cloud.

Sebelum memulai

1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.
2. Menginstal Google Cloud CLI.

3. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

4. Buat atau pilih project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   • Membuat project Google Cloud:

     gcloud projects create PROJECT_ID

     Ganti PROJECT_ID dengan nama untuk project Google Cloud yang Anda buat.

   • Pilih project Google Cloud yang Anda buat:

     gcloud config set project PROJECT_ID

     Ganti PROJECT_ID dengan nama project Google Cloud Anda.

5. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

6. Enable the KRM, GKE API, Resource Manager, dan Penggunaan Layanan APIs:

   gcloud services enable krmapihosting.googleapis.com  container.googleapis.com  cloudresourcemanager.googleapis.com  serviceusage.googleapis.com

7. Menginstal Google Cloud CLI.

8. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

9. Buat atau pilih project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   • Membuat project Google Cloud:

     gcloud projects create PROJECT_ID

     Ganti PROJECT_ID dengan nama untuk project Google Cloud yang Anda buat.

   • Pilih project Google Cloud yang Anda buat:

     gcloud config set project PROJECT_ID

     Ganti PROJECT_ID dengan nama project Google Cloud Anda.

10. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

11. Enable the KRM, GKE API, Resource Manager, dan Penggunaan Layanan APIs:

    gcloud services enable krmapihosting.googleapis.com  container.googleapis.com  cloudresourcemanager.googleapis.com  serviceusage.googleapis.com

Membuat instance Pengontrol Konfigurasi

1. Di terminal, buat instance Pengontrol Konfigurasi Autopilot:

   gcloud anthos config controller create cc-example \
       --location=us-central1 \
       --full-management
   

   Operasi ini bisa memakan waktu hingga 15 menit sampai selesai.

   Output-nya adalah sebagai berikut:

   Created instance [cc-example].
   Fetching cluster endpoint and auth data.
   kubeconfig entry generated for krmapihost-cc-example.
   

2. Untuk mengonfigurasi kubectl agar berkomunikasi dengan endpoint Pengontrol Konfigurasi, dapatkan informasi endpoint dan kredensial autentikasi yang diperlukan:

   gcloud anthos config controller get-credentials cc-example \
       --location us-central1
   

3. Pastikan bahwa instance Anda telah dibuat dengan melihat daftar instance Pengontrol Konfigurasi:

   gcloud anthos config controller list --location=us-central1
   

   Output-nya adalah sebagai berikut:

   NAME                 LOCATION                 STATE
   cc-example           us-central1              RUNNING
   

Berhasil: Anda sekarang memiliki instance Pengontrol Konfigurasi yang dapat digunakan untuk memanfaatkan komponen Config Sync, Pengontrol Kebijakan, dan Pengontrol Konfigurasi serta menyederhanakan pengelolaan cluster Anda.

Memberikan izin yang diperlukan ke Pengontrol Konfigurasi

Di bagian ini, Anda memberikan izin kepada Pengontrol Konfigurasi untuk mengelola resource Google Cloud:

1. Tetapkan variabel lingkungan untuk email akun layanan Anda:

   export SA_EMAIL="$(kubectl get ConfigConnectorContext -n config-control \
       -o jsonpath='{.items[0].spec.googleServiceAccount}' 2> /dev/null)"
   

2. Buat binding kebijakan:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member "serviceAccount:${SA_EMAIL}" \
       --role "roles/owner" \
       --project PROJECT_ID
   

   Ganti PROJECT_ID dengan project ID Anda.

   Outputnya mirip dengan hal berikut ini:

   Updated IAM policy for project [PROJECT_ID].
   auditConfigs:
   - auditLogConfigs:
     - logType: ADMIN_READ
     - logType: DATA_READ
     - logType: DATA_WRITE
     service: gkehub.googleapis.com
   # Remainder of output omitted
   

Menggunakan instance Config Controller

Bagian berikut memperkenalkan cara menggunakan instance Pengontrol Konfigurasi.

Membuat resource Google Cloud dengan Config Connector

Dengan instance Pengontrol Konfigurasi, Anda dapat memanfaatkan Config Connector untuk mengelola banyak layanan dan resource Google Cloud menggunakan alat dan API Kubernetes. Di bagian ini, Anda menggunakan Pengontrol Konfigurasi untuk membuat resource PubSubTopic.

Untuk membuat topik Pub/Sub menggunakan Config Connector, selesaikan langkah-langkah berikut:

1. Gunakan Config Connector untuk mengaktifkan Pub/Sub API:

   1. Dengan menggunakan editor teks pilihan Anda, buat file bernama enable-pubsub.yaml dan salin YAML berikut ke dalamnya:

      # enable-pubsub.yaml
      apiVersion: serviceusage.cnrm.cloud.google.com/v1beta1
      kind: Service
      metadata:
        name: pubsub.googleapis.com
        namespace: config-control
      spec:
        projectRef:
          external: projects/PROJECT_ID
      

      Ganti PROJECT_ID dengan project ID Anda.

   2. Untuk mengaktifkan Pub/Sub API, terapkan manifes ke cluster Anda:

      kubectl apply -f enable-pubsub.yaml
      

      Mengaktifkan API ini mungkin memerlukan waktu beberapa menit.

2. Gunakan Config Connector untuk membuat topik Pub/Sub:

   1. Buat file bernama pubsub-topic.yaml dan salin YAML berikut ke file tersebut:

      # pubsub-topic.yaml
      apiVersion: pubsub.cnrm.cloud.google.com/v1beta1
      kind: PubSubTopic
      metadata:
        annotations:
          cnrm.cloud.google.com/project-id: PROJECT_ID
        labels:
          label-one: "value-one"
        name: example-topic
        namespace: config-control
      

   2. Buat topik Pub/Sub:

      kubectl apply -f pubsub-topic.yaml
      

3. Verifikasi bahwa Pengontrol Konfigurasi telah membuat resource Anda di Google Cloud dengan melihat daftar topik Pub/Sub:

   gcloud pubsub topics list
   

   Outputnya mirip dengan hal berikut ini:

   ---
   name: projects/PROJECT_ID/topics/start-instance-event
   ---
   labels:
     label-one: value-one
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/example-topic
   

Berhasil: Anda telah membuat topik Pub/Sub dengan Pengontrol Konfigurasi. Dengan menggunakan proses yang sama, Anda dapat membuat beberapa jenis resource Google Cloud yang berbeda. Untuk mengetahui daftar lengkapnya, lihat resource Config Connector.

Menerapkan kebijakan dengan Pengontrol Kebijakan

Instance Pengontrol Konfigurasi memungkinkan Anda menggunakan batasan Pengontrol Kebijakan dan Pengontrol Kebijakan. Sebagai bagian dari penginstalan Pengontrol Kebijakan, Pengontrol Konfigurasi akan otomatis menginstal library template batasan. Anda dapat menggunakan template dalam library ini untuk menerapkan berbagai kontrol keamanan dan kepatuhan umum pada instance Pengontrol Konfigurasi.

Di bagian ini, Anda akan membuat batasan dengan menggunakan template batasan GCPStorageLocationConstraintV1. Template ini memungkinkan Anda membatasi lokasi pembuatan bucket Cloud Storage. Batasan yang Anda buat menggunakan template ini akan membatasi lokasi ke us-central1. Anda mungkin ingin menggunakan batasan ini untuk memastikan bucket dibuat di region yang menawarkan harga dan performa terbaik.

Untuk membuat batasan:

1. Buat file bernama bucket-constraint.yaml dan salin YAML berikut ke dalamnya:

   # bucket-constraint.yaml
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: GCPStorageLocationConstraintV1
   metadata:
     name: storage-only-in-us-central1
   spec:
     match:
       kinds:
       - apiGroups:
         - storage.cnrm.cloud.google.com
         kinds:
         - StorageBucket
     parameters:
       locations:
       - us-central1
   

2. Buat batasan:

   kubectl apply -f bucket-constraint.yaml
   

   Output-nya adalah sebagai berikut:

   gcpstoragelocationconstraintv1.constraints.gatekeeper.sh/storage-only-in-us-central1 created`
   

3. Tunjukkan bahwa batasan tersebut berfungsi dengan mencoba menggunakan Config Connector untuk membuat resource StorageBucket di asia-southeast1:

   1. Buat file bernama asia-storage-bucket.yaml dan salin YAML berikut ke dalamnya:

      # asia-storage-bucket.yaml
      apiVersion: storage.cnrm.cloud.google.com/v1beta1
      kind: StorageBucket
      metadata:
        name: bucket-in-disallowed-location
        namespace: config-control
      spec:
        location: asia-southeast1
      

   2. Coba buat bucket Cloud Storage:

      kubectl apply -f asia-storage-bucket.yaml
      

      Output-nya adalah sebagai berikut:

      Error from server (Forbidden): error when creating "STDIN": admission webhook "validation.gatekeeper.sh" denied the request: [storage-only-in-us-central1] Cloud Storage bucket <bucket-in-disallowed-location> uses a disallowed location <asia-southeast1>, allowed locations are ["us-central1"]
      

Berhasil: Pengontrol Kebijakan menerapkan batasan. Anda kini hanya dapat membuat bucket Cloud Storage di us-central1. Untuk mempelajari lebih lanjut cara menggunakan batasan, lihat Menggunakan library template batasan.

Menyiapkan GitOps dengan Config Sync

Config Sync adalah layanan GitOps yang memungkinkan Anda menyinkronkan instance Pengontrol Konfigurasi ke konfigurasi, kebijakan, dan resource Google Cloud yang disimpan dalam repositori Git, image OCI, atau repositori Helm. Karena Config Sync terus-menerus merekonsiliasi status Pengontrol Konfigurasi dengan konfigurasi di sumber, Anda dapat membantu memastikan bahwa instance memiliki konfigurasi yang konsisten.

Di bagian ini, Anda akan menyinkronkan instance Pengontrol Konfigurasi ke repositori GitHub publik. Repositori ini berisi resource PubSubTopic lain. Dengan menyinkronkan instance Anda dari repositori ini, resource akan otomatis dibuat dan diterapkan ke instance Anda. Anda dapat memilih untuk membuat resource menggunakan Config Sync (bukan menerapkan resource secara langsung) jika ingin menggunakan alur kerja GitOps.

Catatan: Di lingkungan produksi, Anda akan menggunakan repositori pribadi yang aman.

1. Untuk menyinkronkan dari GitHub, siapkan Cloud NAT. Anda harus melakukannya karena instance Config Controller Anda didukung oleh cluster edisi Google Kubernetes Engine (GKE) Enterprise pribadi dan node cluster pribadi tidak memiliki akses internet keluar:

   1. Membuat router Cloud NAT. Anda memerlukan {i>router<i} ini untuk menyiapkan {i>gateway NAT<i} Anda.

      gcloud compute routers create cc-nat-router \
          --network default \
          --region us-central1
      

      Outputnya mirip dengan hal berikut ini:

      Creating router [cc-nat-router]...done.
      NAME           REGION       NETWORK
      cc-nat-router  us-central1  default
      

   2. Siapkan gateway NAT di router yang Anda buat di langkah sebelumnya:

      gcloud compute routers nats create cc-nat-config \
          --router-region us-central1 \
          --router cc-nat-router \
          --nat-all-subnet-ip-ranges \
          --auto-allocate-nat-external-ips
      

      Output-nya adalah sebagai berikut:

      Creating NAT [cc-nat-config] in router [cc-nat-router]...done.
      

2. Untuk mengonfigurasi instance Pengontrol Konfigurasi Anda agar disinkronkan dari repositori contoh, buat file bernama cc-rootsync.yaml dan salin YAML berikut ke dalamnya:

   # cc-rootsync.yaml
   apiVersion: configsync.gke.io/v1beta1
   kind: RootSync
   metadata:
     name: root-sync
     namespace: config-management-system
   spec:
     sourceFormat: unstructured
     git:
       repo: https://github.com/GoogleCloudPlatform/anthos-config-management-samples
       branch: main
       dir: config-controller-quickstart
       auth: none
   

3. Terapkan konfigurasi:

   kubectl apply -f cc-rootsync.yaml
   

   Setelah instance Anda disinkronkan dari repositori, Config Sync akan membuat topik Pub/Sub dan menerapkannya ke instance Pengontrol Konfigurasi Anda.

4. Pastikan Config Sync menyinkronkan repositori Git ke instance Config Controller Anda:

   nomos status --contexts gke_PROJECT_ID_us-central1_krmapihost-cc-example
   

   Outputnya mirip dengan hal berikut ini:

   *gke_PROJECT_ID_us-central1_krmapihost-cc-example
   --------------------
   <root>:root-sync                         https://github.com/GoogleCloudPlatform/anthos-config-management-samples/config-controller-quickstart@main
   SYNCED @ 2023-01-10 18:31:02 +0000 UTC   715b4295d3eac07b057cce2543275c1ee104cad8
   Managed resources:
      NAMESPACE        NAME                                                               STATUS   SOURCEHASH
      config-control   pubsubtopic.pubsub.cnrm.cloud.google.com/pubsub-topic-sample-sync  Current   715b429
      config-control   service.serviceusage.cnrm.cloud.google.com/pubsub.googleapis.com   Current   715b429
   

   Jika Anda tidak melihat output ini, tunggu beberapa menit dan coba lagi.

5. Pastikan bahwa Pengontrol Konfigurasi telah membuat resource Anda:

   gcloud pubsub topics list
   

   Outputnya mirip dengan hal berikut ini:

   name: projects/PROJECT_ID/topics/start-instance-event
   ---
   labels:
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/sample-topic
   ---
   labels:
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/pubsub-topic-sample-sync
   ---
   labels:
     label-one: value-one
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/example-topic
   

   Di output ini, Anda dapat melihat Pub/Sub yang Anda buat di bagian Membuat instance Pengontrol Konfigurasi dan yang Anda buat dengan menyinkronkan instance ke repositori GitHub.

Berhasil: Anda sekarang menggunakan Config Sync untuk men-deploy resource.

Pembersihan

Agar tidak menimbulkan biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource, atau simpan project dan hapus resource satu per satu.

Menghapus project

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika menggunakan project yang sudah ada untuk tugas dalam dokumen ini, saat Anda menghapusnya, pekerjaan lain yang telah Anda lakukan dalam project tersebut juga akan terhapus.
• Project ID kustom hilang. Saat membuat project ini, Anda mungkin telah membuat project ID kustom yang ingin digunakan di masa mendatang. Untuk mempertahankan URL yang menggunakan project ID, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari berbagai arsitektur, tutorial, atau panduan memulai, menggunakan kembali project dapat membantu agar Anda tidak melampaui batas kuota project.

Menghapus project Google Cloud:

gcloud projects delete PROJECT_ID

Menghapus resource satu per satu

1. Hapus resource PubSubTopic Config Connector:

   kubectl delete -f pubsub-topic.yaml
   

2. Hapus batasan Pengontrol Kebijakan:

   kubectl delete -f bucket-constraint.yaml
   

3. Hapus router NAT:

   gcloud compute routers delete cc-nat-router \
       --project=PROJECT_ID \
       --region=us-central1
   

   Tekan y saat diminta.

4. Hapus resource Pub/Sub yang dibuat oleh Config Sync:

   kubectl delete PubSubTopic pubsub-topic-sample-sync -n config-control
   

5. Hapus resource RootSync:

   kubectl delete rootsync root-sync -n config-management-system
   

6. Dengan menggunakan editor teks pilihan Anda, hapus semua file YAML yang Anda buat:

   • enable-pubsub.yaml
   • pubsub-topic.yaml
   • bucket-constraint.yaml
   • asia-storage-bucket.yaml
   • cc-rootsync.yaml

7. Hapus instance Pengontrol Konfigurasi:

   gcloud anthos config controller delete --location=us-central1 cc-example
   

   Tekan y saat diminta.

Langkah selanjutnya

• Pelajari cara menyiapkan Pengontrol Konfigurasi.
• Pelajari Pengontrol Konfigurasi lebih lanjut.