ハイブリッドクラスタを作成する

ベアメタル版 Anthos クラスタでは、ハイブリッドクラスタは管理クラスタとユーザークラスタの 2 つの役割を果たします。ハイブリッドクラスタはワークロードの実行と同時に、他のクラスタとクラスタ自身の管理を行います。

ハイブリッドクラスタでは、リソース制限のあるシナリオで個別の管理クラスタを実行する必要がなくなり、高可用性（HA）の信頼性が得られます。HA ハイブリッドクラスタでは、1 つのノードに障害が発生した場合、他のノードが障害の発生したノードの代わりをします。

ハイブリッドクラスタは、他のクラスタも管理できる点で、スタンドアロンクラスタとは異なります。スタンドアロンクラスタでは、他のクラスタを作成または管理できません。

ただし、ハイブリッドクラスタを作成する場合、柔軟性とセキュリティとの間にはトレードオフの関係があります。ハイブリッドクラスタはクラスタ自身を管理するため、同じクラスタ上でのワークロードの実行は、SSH 認証鍵などの機密性の高い管理データが公開されるセキュリティリスクが高まります。

bmctl コマンドを使用して、高可用性（HA）コントロールプレーンを含むハイブリッドクラスタを作成します。bmctl コマンドは、別のワークステーションまたはハイブリッドクラスタノードのいずれかでの実行が可能です。

前提条件

最新の bmctl が Cloud Storage からダウンロードされている（gs://anthos-baremetal-release/bmctl/1.11.8/linux-amd64/bmctl）。
bmctl を実行するワークステーションが、ターゲットのハイブリッドクラスタ内のすべてのノードとネットワークで接続されている。
bmctl を実行するワークステーションが、ターゲットハイブリッドクラスタのコントロールプレーンの VIP とネットワークで接続されている。
ハイブリッドクラスタの作成に使用される SSH 認証鍵が root で使用できる。または、ターゲットハイブリッドクラスタ内のすべてのノードに対して SUDO のユーザーアクセス権がある。
Connect-register サービスアカウントは、Connect で使用できるように構成されています。

ハイブリッドクラスタを作成する詳しい手順については、ベアメタル版 Anthos クラスタクイックスタートをご覧ください。

SELinux を有効にする

コンテナを保護するために SELinux を有効にする場合は、すべてのホストマシンで SELinux を Enforced モードで有効にする必要があります。リリース 1.9.0 以降のベアメタル版 Anthos クラスタでは、クラスタの作成前かアップグレード後に SELinux を有効または無効にできます。Red Hat Enterprise Linux（RHEL）と CentOS では、SELinux がデフォルトで有効になっています。ホストマシンで SELinux が無効になっている場合や、不明な場合は、SELinux を使用したコンテナの保護をご覧ください。

ベアメタル版 Anthos クラスタは、RHEL システムと CentOS システムの SELinux のみをサポートしています。

gcloud にログインしてハイブリッドクラスタ構成ファイルを作成する

gcloud auth application-default ログインを使用して、ユーザーとして gcloud にログインします。

gcloud auth application-default login

サービスアカウント管理者
サービスアカウントキー管理者
プロジェクト IAM 管理者
Compute 閲覧者
Service Usage 管理者

export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE

JSON_KEY_FILE

クラスタ作成に使用する Cloud プロジェクト ID を取得します。

export CLOUD_PROJECT_ID=$(gcloud config get-value project)

`bmctl` でハイブリッドクラスタを作成する

gcloud にログインしてプロジェクトを設定すると、bmctl コマンドを使用してクラスタ構成ファイルを作成できます。この例では、すべてのサービスアカウントは、bmctl create config コマンドで自動的に作成されます。

bmctl create config -c HYBRID_CLUSTER_NAME --enable-apis \
    --create-service-accounts --project-id=CLOUD_PROJECT_ID

次の例では、プロジェクト ID my-gcp-project に関連付けられた hybrid1 という名前のハイブリッドクラスタの構成ファイルを作成しています。

bmctl create config -c hybrid1 --create-service-accounts --project-id=my-gcp-project

このファイルは、bmctl-workspace/hybrid1/hybrid1.yaml に書き込まれます。

API を自動的に有効にしてサービスアカウントを作成する代わりに、既存のサービスアカウントに対して適切な IAM 権限を付与することもできます。つまり、前の手順の bmctl コマンドで、自動サービスアカウントの作成をスキップできます。

bmctl create config -c hybrid1

クラスタ構成ファイルを編集する

クラスタ構成ファイルが完成したら、次のように修正します。

ハイブリッドクラスタノードにアクセスするための SSH 秘密鍵を指定します。

# bmctl configuration variables. Because this section is valid YAML but not a valid Kubernetes
# resource, this section can only be included when using bmctl to
# create the initial admin/hybrid cluster. Afterwards, when creating user clusters by directly
# applying the cluster and node pool resources to the existing cluster, you must remove this
# section.
gcrKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-gcr.json
sshPrivateKeyPath: /path/to/your/ssh_private_key
gkeConnectAgentServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-connect.json
gkeConnectRegisterServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-register.json
cloudOperationsServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-cloud-ops.json

プロジェクトの Fleet に対する Connect にクラスタを登録する必要があります。
- 構成ファイルを作成し、自動 API 有効化とサービスアカウント作成機能を使用している場合は、この手順を省略できます。
- API の自動有効化機能とサービスアカウント作成機能を使用せずに構成ファイルを作成した場合は、ダウンロードしたサービスアカウント JSON キーを、クラスタ構成ファイルの対応する gkeConnectAgentServiceAccountKeyPath および gkeConnectRegisterServiceAccountKeyPath フィールドで参照します。

構成を変更して、クラスタタイプを admin ではなく hybrid を指定します。

spec:
  # Cluster type. This can be:
  #   1) admin:  to create an admin cluster. This can later be used to create user clusters.
  #   2) user:   to create a user cluster. Requires an existing admin cluster.
  #   3) hybrid: to create a hybrid cluster that runs admin cluster components and user workloads.
  #   4) standalone: to create a cluster that manages itself, runs user workloads, but does not manage other clusters.
  type: hybrid

マルチノード、高可用性、コントロールプレーンを指定するように構成を変更します。 HA 用に過半数のクォーラムが確保できるように、ノード数を奇数で指定します。
```
  # Control plane configuration
  controlPlane:
    nodePoolSpec:
      nodes:
      # Control plane node pools. Typically, this is either a single machine
      # or 3 machines if using a high availability deployment.
      - address: 10.200.0.4
      - address: 10.200.0.5
      - address: 10.200.0.6
```
注: ノードのメンテナンスや交換によるノードの追加や削除によってノード数が一時的に偶数になる場合でも、クォーラムが十分に確保されている限りデプロイメントは HA を維持します。
クラスタノードの Pod 密度とコンテナランタイムを指定します。
```
....
# NodeConfig specifies the configuration that applies to all nodes in the cluster.
nodeConfig:
  # podDensity specifies the pod density configuration.
  podDensity:
    # maxPodsPerNode specifies at most how many pods can be run on a single node.
    maxPodsPerNode: 250
  # containerRuntime specifies which container runtime to use for scheduling containers on nodes.
  # containerd and docker are supported.
  containerRuntime: containerd
....
```
ハイブリッドクラスタの場合、maxPodsPerNode の値は、HA クラスタ用には 32-250、HA 以外のクラスタ用には 64-250 です。指定しない場合、maxPodsPerNode のデフォルト値は 110 です。クラスタの作成後、この値を更新することはできません。

デフォルトのコンテナランタイムは containerd です。Docker を使用することもできます。ランタイムの変更について詳しくは、コンテナランタイムの変更ガイドをご覧ください。

Pod 密度も、クラスタで使用可能な IP リソースによって制限されます。詳しくは、Pod ネットワークをご覧ください。

クラスタ構成ファイルでハイブリッドクラスタを作成する

bmctl コマンドを使用して、クラスタをデプロイします。

bmctl create cluster -c CLUSTER_NAME

CLUSTER_NAME には、前のセクションで作成したクラスタ名を指定します。

hybrid1 という名前のクラスタの構成ファイルを作成するコマンドの例を、次に示します。

bmctl create cluster -c hybrid1

ハイブリッドクラスタ構成の例

ハイブリッドクラスタの構成例については、クラスタ構成サンプルのハイブリッドクラスタをご覧ください。

ハイブリッド クラスタを作成する

前提条件

SELinux を有効にする

gcloud にログインしてハイブリッド クラスタ構成ファイルを作成する

bmctl でハイブリッド クラスタを作成する