El 1 de septiembre, se lanzó una nueva versión de los clústeres de Anthos en AWS (GKE on AWS). Consulta las notas de la versión para obtener más información.

Requisitos previos

En esta página, se describen los pasos que debes completar antes de instalar los clústeres de Anthos en AWS (GKE en AWS).

Entorno

Para instalar clústeres de Anthos en AWS, necesitas un entorno en el que puedas instalar y ejecutar una variedad de herramientas. En los siguientes pasos, se supone que usas un shell Bash en Linux o macOS. Si no tienes acceso a un entorno de shell Bash, puedes usar Cloud Shell.

Requisitos de AWS

Para completar este tema, necesitas una cuenta de AWS con acceso a la línea de comandos y dos claves del servicio de administración de claves (KMS) de AWS en la misma región que tus clústeres de usuario.

Para obtener más información sobre otros recursos necesarios de AWS, consulta Requisitos.

Configurar AWS

Antes de comenzar

Antes de completar esta sección, haz lo siguiente:

  • Descarga y, luego, instala la CLI de AWS. Para confirmar la instalación, ejecuta aws --version. Si no se encuentra el ejecutable, agrega la herramienta aws a PATH.
  • Configura tus credenciales de IAM de AWS y la región de AWS con aws configure.

Permisos del usuario administrador

Los clústeres de Anthos en AWS requieren que el creador de un servicio de administración tenga ciertos permisos. Antes de crear un servicio de administración o clústeres de usuarios, crea o consigue acceso a credenciales de IAM de AWS que cumplan con los requisitos.

Crea una clave KMS

Los clústeres de Anthos en AWS requieren dos claves de KMS de AWS. Las claves de KMS encriptan los siguientes elementos:

  • Los datos durante el proceso de instalación con la encriptación de sobre.
  • Secrets de la capa de la aplicación en tus clústeres de usuarios

Sigue los pasos a continuación para crear dos claves de KMS de AWS.

Línea de comandos

  1. Crea una clave de KMS en tu cuenta de AWS.

    aws kms create-key
    

    En el resultado se incluyen los metadatos de la clave.

  2. En el resultado del comando anterior, copia el nombre del recurso de Amazon (ARN) de la clave del campo Arn. Por ejemplo, una clave en la región us-west-2 tiene el ARN arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab.

  3. Crea un alias para la clave con aws kms create-alias. Un alias te permite administrar tus claves de KMS de AWS por nombre.

    aws kms create-alias \
        --alias-name=alias/key-name \
        --target-key-id=key-arn
    
  4. Repite los pasos anteriores para otra clave.

Console

  1. Acceda a la consola de AWS.
  2. Navega a KMS y selecciona Claves administradas por el cliente en la barra lateral.
  3. Haz clic en Crear clave.
  4. Deje las opciones predeterminadas seleccionadas.
  5. Una vez creada, selecciona la clave de la lista.
  6. Copia el ARN de la clave.
  7. Repite los pasos anteriores para otra clave.

Requisitos de Google Cloud

Algunos de los pasos de este documento podrían no funcionar correctamente si tu organización aplica restricciones a tu entorno de Google Cloud. En ese caso, es posible que no puedas completar tareas como crear direcciones IP públicas o claves de cuenta de servicio. Si realizas una solicitud que muestra un error sobre las restricciones, consulta cómo desarrollar aplicaciones en un entorno restringido de Google Cloud.

Antes de comenzar

  • Asegúrate de tener permisos del propietario del proyecto en una Cuenta de Google para habilitar las API en el proyecto de Google Cloud en el que conectas tus clústeres de Anthos en el entorno de AWS. Usa los permisos de propietario solo para crear los clústeres de Anthos en las cuentas de servicio de AWS en la siguiente sección.

  • Instala el SDK de Cloud.

  • La API de Anthos debe estar habilitada para tu proyecto de Google Cloud. Habilitar esta API te permite usar otras funciones de Anthos con tu proyecto de Cloud.

Crea tus clústeres de Anthos en cuentas de servicio de AWS

En esta sección, crearás tres cuentas de servicio de IAM y claves para los clústeres de Anthos en AWS. Estas cuentas de servicio se describen en la siguiente lista:

Name Funciones Descripción
management-sa gkehub.admin,
serviceusage.serviceUsageViewer
Permiso para administrar las membresías de Hub y verificar que las API de Google Cloud estén habilitadas.
hub-sa gkehub.connect Permiso para configurar la conexión entre tus clústeres de usuario y Hub.
node-sa storage.objectViewer Permiso para acceder a Container Registry.

Línea de comandos

  1. Autentícate con la herramienta de línea de comandos de gcloud.

    gcloud auth login &&\
    gcloud auth application-default login
    

    Se te pedirá dos veces que visites cloud.google.com y te autentiques con tu cuenta de Google.

  2. Configura tu proyecto de Google Cloud como una variable de entorno y configura tu project-id predeterminado con la herramienta de gcloud.

    export PROJECT_ID=project-id
    
    gcloud config set project $PROJECT_ID
    

    Reemplaza el valor de project-id por tu proyecto de Google Cloud.

  3. Habilita las API de Google Cloud

    gcloud services enable anthos.googleapis.com
    gcloud services enable cloudresourcemanager.googleapis.com
    gcloud services enable gkehub.googleapis.com
    gcloud services enable gkeconnect.googleapis.com
    gcloud services enable logging.googleapis.com
    gcloud services enable monitoring.googleapis.com
    gcloud services enable serviceusage.googleapis.com
    gcloud services enable stackdriver.googleapis.com
    gcloud services enable storage-api.googleapis.com
    gcloud services enable storage-component.googleapis.com
    
  4. Crea las cuentas de servicio con gcloud mediante la ejecución de los siguientes comandos.

    gcloud iam service-accounts create management-sa
    gcloud iam service-accounts create hub-sa
    gcloud iam service-accounts create node-sa
    
  5. Descarga las claves para cada cuenta de servicio con gcloud mediante la ejecución de los siguientes comandos.

    gcloud iam service-accounts keys create management-key.json \
         --iam-account management-sa@$PROJECT_ID.iam.gserviceaccount.com
    gcloud iam service-accounts keys create hub-key.json \
         --iam-account hub-sa@$PROJECT_ID.iam.gserviceaccount.com
    gcloud iam service-accounts keys create node-key.json \
         --iam-account node-sa@$PROJECT_ID.iam.gserviceaccount.com
    
  6. Otorga funciones a la cuenta de servicio de administración.

    gcloud projects add-iam-policy-binding \
        $PROJECT_ID \
        --member serviceAccount:management-sa@$PROJECT_ID.iam.gserviceaccount.com \
        --role roles/gkehub.admin
    gcloud projects add-iam-policy-binding \
        $PROJECT_ID \
        --member serviceAccount:management-sa@$PROJECT_ID.iam.gserviceaccount.com \
        --role roles/serviceusage.serviceUsageViewer
    
  7. Otorga funciones a la cuenta de servicio de Hub.

    gcloud projects add-iam-policy-binding \
        $PROJECT_ID \
        --member serviceAccount:hub-sa@$PROJECT_ID.iam.gserviceaccount.com \
        --role roles/gkehub.connect
    
  8. Otorga funciones a la cuenta de servicio del nodo.

    gcloud projects add-iam-policy-binding \
          $PROJECT_ID \
          --member serviceAccount:node-sa@$PROJECT_ID.iam.gserviceaccount.com \
          --role roles/storage.objectViewer
    

Console

  1. Abre la página de la biblioteca de API de Google Cloud Console.
  2. Selecciona tu proyecto preferido en el menú desplegable en la parte superior de la pantalla.
  3. Busca y habilita las siguientes API.

    • Anthos
    • Cloud Resource Manager
    • Cloud Storage
    • Cloud Logging
    • API de Google Cloud Storage JSON
    • GKE Hub
    • API de GKE Connect
    • Service Usage
    • Stackdriver
    • Stackdriver Monitoring
  4. Abre la página Cuentas de servicio.

  5. A continuación, crea una cuenta de servicio y asígnale funciones para la cuenta de servicio management-sa.

    1. Haga clic en Crear cuenta de servicio.
    2. Asigna un nombre al SA de administración de la cuenta y haz clic en Crear. Aparecerá la pantalla Otorgar a esta cuenta de servicio acceso al proyecto.
    3. Agrega las funciones de Administrador de GKE Hub y Visualizador de Service Usage.
    4. Haga clic en Continuar. Aparecerá la pantalla Otorgar a los usuarios acceso a esta cuenta de servicio.
    5. Haga clic en Listo. Aparecerá la pantalla Cuentas de servicio para el proyecto.
    6. Busca la fila que contiene el Correo electrónico de tu cuenta de servicio, management-sa@project_id.iam.gserviceaccount.com.
    7. Haz clic en el menú de acción para la cuenta de servicio y selecciona Administrar claves.
    8. Haz clic en el menú desplegable Agregar clave.
    9. Haz clic en Crear nueva clave.
    10. Selecciona JSON como tipo de clave y haz clic en Crear. El navegador descarga la clave de la cuenta de servicio.
    11. Cambie el nombre del archivo management-key.json.
  6. A continuación, crea una cuenta de servicio y asígnale funciones para la cuenta de servicio hub-sa.

    1. Haga clic en Crear cuenta de servicio.
    2. Asigna un nombre al SA de Hub de la cuenta y haz clic en Crear. Aparecerá la pantalla Otorgar a esta cuenta de servicio acceso al proyecto.
    3. Agrega la función de agente de conexión de Hub de GKE.
    4. Haga clic en Continuar. Aparecerá la pantalla Otorgar a los usuarios acceso a esta cuenta de servicio.
    5. Haga clic en Listo. Aparecerá la pantalla Cuentas de servicio para el proyecto.
    6. Busca la fila que contiene el Correo electrónico de tu cuenta de servicio, hub-sa@project_id.iam.gserviceaccount.com.
    7. Haz clic en el menú de acción para la cuenta de servicio y selecciona Administrar claves.
    8. Haz clic en el menú desplegable Agregar clave.
    9. Haz clic en Crear nueva clave.
    10. Selecciona JSON como tipo de clave y haz clic en Crear. El navegador descarga la clave de la cuenta de servicio.
    11. Cambie el nombre del archivo hub-key.json.
  7. A continuación, crea una cuenta de servicio y asígnale funciones para la cuenta de servicio node-sa.

    1. Haga clic en Crear cuenta de servicio.
    2. Asigna un nombre al SA del nodo de la cuenta y haz clic en Crear. Aparecerá la pantalla Otorgar a esta cuenta de servicio acceso al proyecto.
    3. Agrega la función Visualizador de objetos de almacenamiento.
    4. Haga clic en Listo. Aparecerá la pantalla Cuentas de servicio para el proyecto.
    5. Busca la fila que contiene el Correo electrónico de tu cuenta de servicio, node-sa@project_id.iam.gserviceaccount.com.
    6. Haz clic en el menú de acción para la cuenta de servicio y selecciona Administrar claves.
    7. Haz clic en el menú desplegable Agregar clave.
    8. Haz clic en Crear nueva clave.
    9. Selecciona JSON como tipo de clave y haz clic en Crear. El navegador descarga la clave de la cuenta de servicio.
    10. Cambie el nombre del archivo node-key.json.

Herramienta de línea de comandos de Anthos GKE

anthos-gke es una herramienta de línea de comandos para clústeres de Anthos en AWS. Usa anthos-gke para crear una configuración que instale un servicio de administración. La versión más reciente de anthos-gke es aws-1.8.2-gke.2

  1. Descarga el objeto binario desde Cloud Storage.

    Linux

    gsutil cp gs://gke-multi-cloud-release/aws/aws-1.8.2-gke.2/bin/linux/amd64/anthos-gke .
    

    macOS

    gsutil cp gs://gke-multi-cloud-release/aws/aws-1.8.2-gke.2/bin/darwin/amd64/anthos-gke .
    
  2. Actualiza los permisos de anthos-gke y cópialo en /usr/local/bin.

    chmod 755 anthos-gke
    sudo mv anthos-gke /usr/local/bin
    
  3. Confirma que la versión sea aws-1.8.2-gke.2.

    anthos-gke version
    

Terraform

La herramienta de anthos-gke genera archivos de configuración de Terraform y llama a la herramienta de línea de comandos de terraform.

Los clústeres de Anthos alojados en AWS requieren una versión de Terraform superior a la v0.14.3. Puedes verificar tu versión de Terraform con el siguiente comando:

terraform version

Si no tienes la versión v0.14.3 o superior, descarga y, luego, instala Terraform antes de crear un servicio de administración.

Actualiza Terraform

Para actualizar Terraform después de instalar clústeres de Anthos en AWS, debes actualizar tu objeto binario de Terraform a través de cada versión secundaria en orden.

Por ejemplo, si deseas actualizar Terraform de v0.12.x a v0.14.x, debes instalar la versión v0.13.x de manera temporal. Después de instalar v0.13.x, ejecuta anthos-gke aws management init y anthos-gke aws management apply. Los clústeres de Anthos en AWS actualizan tu configuración. Luego puede actualizar a la versión v0.14.x.

Kubernetes

Los clústeres de Anthos alojados en AWS requieren la versión 1.17 o superior de kubectl. Para verificar tu versión de kubectl, ejecuta lo siguiente:

kubectl version --client -o yaml | grep gitVersion

Si no tienes la versión 1.17 o una superior, instala una versión más reciente de kubectl.

¿Qué sigue?