멀티 클러스터 설정에서 사용자 클러스터 만들기

베어메탈용 Anthos 클러스터에서는 사용자 클러스터가 워크로드를 실행하며, 멀티 클러스터 아키텍처에서는 관리자 클러스터가 사용자 클러스터를 만들고 관리합니다.

관리자 클러스터를 만든 후 bmctl create config 명령어를 호출하면 YAML 파일이 생성되고, 이를 수정하여 사용자 클러스터를 정의할 수 있습니다. 구성을 적용하고 사용자 클러스터를 만들려면 bmctl create cluster 명령어를 사용합니다. bmctl create cluster 명령어로 생성된 사용자 클러스터에 실행 전 검사를 적용할 수 있습니다.

워크로드를 관리자 클러스터와 분리하면 관리자 클러스터에 저장된 SSH 키와 같은 민감한 관리 데이터가 해당 정보에 액세스할 필요가 없는 사용자로부터 보호됩니다. 또한 사용자 클러스터를 서로 분리하면 워크로드에 전체적으로 준수한 보안이 제공됩니다.

기본 요건

Cloud Storage에서 최신 bmctl을 다운로드했습니다(gs://anthos-baremetal-release/bmctl/1.12.9/linux-amd64/bmctl).
클러스터 API 서버(controlPlaneVIP)에 대한 액세스 권한이 있으며 작동 중인 관리자 클러스터
관리자 클러스터 노드가 대상 사용자 클러스터의 모든 노드에 네트워크로 연결되어 있습니다.
bmctl을 실행하는 워크스테이션은 대상 사용자 클러스터의 모든 노드에 네트워크로 연결되어 있습니다.
사용자 클러스터의 모든 노드에서 루트 또는 SUDO 사용자가 사용할 수 있는 사용자 클러스터를 만드는 데 사용되는 SSH 키
Connect-register 서비스 계정은 Connect에서 사용할 수 있도록 관리자 클러스터에서 구성됩니다.

SELinux 사용 설정

컨테이너 보안을 위해 SELinux를 사용 설정하려면 모든 호스트 머신에서 SELinux가 Enforced 모드로 사용 설정되었는지 확인해야 합니다. 베어메탈용 Anthos 클러스터 출시 버전 1.9.0 이상부터 시작하여 클러스터 만들기 또는 클러스터 업그레이드 전 또는 후에 SELinux를 사용 설정 또는 사용 중지할 수 있습니다. SELinux는 기본적으로 Red Hat Enterprise Linux(RHEL) 및 CentOS에서 사용 설정됩니다. SELinux가 호스트 머신에 사용 중지되었거나 확실하지 않으면 SELinux를 사용하여 컨테이너 보안에서 이를 사용 중지하는 방법에 대한 안내를 참조하세요.

베어메탈용 Anthos 클러스터는 RHEL 및 CentOS 시스템에서만 SELinux를 지원합니다.

사용자 클러스터 구성 파일 만들기

사용자 클러스터를 만들기 위한 구성 파일은 관리자 클러스터를 만드는 데 사용되는 것과 거의 동일합니다. 유일한 차이점은 로컬 사용자 인증 정보 구성 섹션을 삭제하여 구성이 유효한 Kubernetes 리소스 모음이 된다는 점입니다. 구성 섹션은 파일 상단의 bmctl configuration variables 섹션 아래에 있습니다. 사용자 클러스터 구성의 예시는 클러스터 구성 샘플에서 사용자 클러스터를 참조하세요.

기본적으로 사용자 클러스터는 사용자 클러스터를 관리하는 관리자 클러스터에서 사용자 인증 정보를 상속합니다. 이러한 사용자 인증 정보의 일부 또는 전체를 선택적으로 재정의할 수 있습니다.

bmctl create config 명령어로 사용자 클러스터 구성 파일을 만듭니다.
```
bmctl create config -c USER_CLUSTER_NAME
```
예를 들어 다음을 실행하여 user1이라는 사용자 클러스터의 구성 파일을 만듭니다.
```
bmctl create config -c user1
```
파일은 bmctl-workspace/user1/user1.yaml에 기록됩니다. 파일의 일반적인 경로는 bmctl-workspace/CLUSTER NAME/CLUSTER_NAME.yaml입니다.

구성 파일을 다음과 같이 변경하여 수정합니다.

구성에서 로컬 사용자 인증 정보 파일 경로를 삭제합니다.

....
  gcrKeyPath: (path to GCR service account key)
  sshPrivateKeyPath: (path to SSH private key, used for node access)
  gkeConnectAgentServiceAccountKeyPath: (path to Connect agent service account key)
  gkeConnectRegisterServiceAccountKeyPath: (path to Hub registration service account key)
  cloudOperationsServiceAccountKeyPath: (path to Cloud Operations service account key)
....

admin 대신 user 클러스터 유형을 지정하도록 구성을 변경합니다.

....
spec:
  # Cluster type. This can be:
  #   1) admin:  to create an admin cluster. This can later be used to create
  #   user clusters.
  #   2) user:   to create a user cluster. Requires an existing admin cluster.
  #   3) hybrid: to create a hybrid cluster that runs admin cluster
  #   components and user workloads.
  #   4) standalone: to create a cluster that manages itself, runs user
  #   workloads, but does not manage other clusters.
  type: user
....

부하 분산기 VIP 및 주소 풀의 관리자 및 사용자 클러스터 사양이 상호 보완적이며 기존 클러스터와 겹치지 않는지 확인합니다. 부하 분산 및 주소 풀을 지정하는 관리자 및 사용자 클러스터 구성의 샘플 쌍이 아래에 나와 있습니다.

....
# Sample admin cluster config for load balancer and address pools
  loadBalancer:
    vips:
      controlPlaneVIP: 10.200.0.49
      ingressVIP: 10.200.0.50
    addressPools:
    - name: pool1
      addresses:
      - 10.200.0.50-10.200.0.70
....
....
# Sample user cluster config for load balancer and address pools
loadBalancer:
    vips:
      controlPlaneVIP: 10.200.0.71
      ingressVIP: 10.200.0.72
    addressPools:
    - name: pool1
      addresses:
      - 10.200.0.72-10.200.0.90
....

나머지 사용자 클러스터 구성 파일은 관리자 클러스터 구성과 동일합니다.

클러스터 노드 및 컨테이너 런타임의 포드 밀도를 지정합니다.
```
....
# NodeConfig specifies the configuration that applies to all nodes in the cluster.
nodeConfig:
  # podDensity specifies the pod density configuration.
  podDensity:
    # maxPodsPerNode specifies at most how many pods can be run on a single node.
    maxPodsPerNode: 110
  # containerRuntime specifies which container runtime to use for scheduling containers on nodes.
  # containerd and docker are supported.
  containerRuntime: containerd
....
```
사용자 클러스터의 경우 maxPodsPerNode에 허용되는 값은 32-250입니다. 지정되지 않은 경우 기본값은 110입니다. 클러스터가 생성된 후에는 이 값을 업데이트할 수 없습니다.

기본 컨테이너 런타임은 containerd입니다. 또는 Docker를 사용할 수 있습니다. 런타임 변경에 대한 자세한 내용은 컨테이너 런타임 가이드 변경을 참조하세요.

또한 포드 밀도는 클러스터의 사용 가능한 IP 리소스에 따라서도 제한됩니다. 자세한 내용은 포드 네트워킹을 참조하세요.

사용자 클러스터 만들기

bmctl 명령어를 실행하여 사용자 클러스터 구성을 적용하고 클러스터를 만듭니다.

bmctl create cluster -c USER_CLUSTER_NAME --kubeconfig ADMIN_KUBECONFIG

다음을 바꿉니다.

USER_CLUSTER_NAME: 이전 섹션에서 만든 클러스터 이름입니다.
ADMIN_KUBECONFIG: 관리자 클러스터 kubeconfig 파일의 경로입니다.

예를 들어 사용자 클러스터 이름이 user1이고 관리자 클러스터 kubeconfig 파일의 경로가 kubeconfig bmctl-workspace/admin/admin-kubeconfig인 경우 명령어는 다음과 같습니다.

bmctl create cluster -c user1 --kubeconfig bmctl-workspace/admin/admin-kubeconfig

샘플 사용자 클러스터 구성

사용자 클러스터 구성의 예시는 클러스터 구성 샘플에서 사용자 클러스터를 참조하세요.