En plus de répondre aux prérequis pour l'installation, le matériel et le système d'exploitation, vous devez configurer des projets, des API et des comptes de service Google Cloud pour exécuter des clusters Anthos sur Bare Metal.
Notez que la commande bmctl
peut activer automatiquement les comptes de service et les API au moment de la création du cluster, mais vous pouvez également configurer manuellement ces services pour un contrôle plus précis des opérations.
Avant de commencer
Créez un projet Google Cloud et un compte de facturation.
Lors de l'installation, vous devez fournir les identifiants suivants :
- Clés SSH privées nécessaires pour accéder aux machines du nœud de cluster.
- Si vous n'utilisez pas
root
, le nom de connexion de la machine du nœud de cluster.
Assurez-vous de disposer de tous les identifiants nécessaires avant d'essayer d'installer les clusters Anthos sur Bare Metal.
Se connecter à gcloud
- Connectez-vous à gcloud en tant qu'utilisateur avec l'identifiant
gcloud auth application-default
: - Administrateur de compte de service
- Administrateur de clés de compte de service
- Administrateur de projet IAM
- Lecteur de Compute
- Administrateur Service Usage
- Obtenez l'ID du projet Cloud à utiliser avec la création de cluster :
gcloud auth application-default loginVous devez disposer d'un rôle de propriétaire/éditeur de projet pour utiliser les fonctionnalités d'activation automatique d'API et de création de compte de service, décrites ci-dessous. Vous pouvez également ajouter les rôles IAM suivants à l'utilisateur :
export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILEJSON_KEY_FILE spécifie le chemin d'accès au fichier de clé JSON de votre compte de service.
export CLOUD_PROJECT_ID=$(gcloud config get-value project)
Définir l'ID de projet Google Cloud et les rôles par défaut
Vous pouvez définir votre project id
par défaut en plus de configurer les comptes de service.
Vous devez disposer des rôles owner
ou editor
sur votre projet pour les clusters Anthos sur Bare Metal.
Pour définir le projet par défaut, exécutez la commande suivante et remplacez PROJECT_ID par l'ID de votre projet Google Cloud :
gcloud config set project PROJECT_ID
Activer les API
Avant d'installer des clusters Anthos sur bare metal, vous devez activer plusieurs API dans votre projet Google Cloud associé. Pour activer les API dans votre projet, vous devez disposer de l'un des rôles suivants dans le projet Google Cloud : roles/owner
, roles/editor
ou roles/serviceusage.serviceUsageAdmin
.
Pour plus d'informations, consultez la section Attribuer un rôle unique.
Une fois que vous disposez des autorisations IAM requises, activez les API suivantes :
anthos.googleapis.com
anthosaudit.googleapis.com
anthosgke.googleapis.com
cloudresourcemanager.googleapis.com
connectgateway.googleapis.com
container.googleapis.com
gkeconnect.googleapis.com
gkehub.googleapis.com
iam.googleapis.com
logging.googleapis.com
monitoring.googleapis.com
opsconfigmonitoring.googleapis.com
serviceusage.googleapis.com
stackdriver.googleapis.com
Vous pouvez également utiliser l'outil bmctl
pour activer ces services.
Configurer des comptes de service manuellement
La commande bmctl
des clusters Anthos sur Bare Metal permet de configurer automatiquement des comptes de service et des API Google lorsque vous créez des clusters.
Toutefois, pour un meilleur contrôle de votre système ou pour optimiser la création de clusters avec un ensemble par défaut de services, de comptes et de projets, vous pouvez configurer ces services manuellement.
Dans les environnements de production, il est recommandé de créer des comptes de service distincts pour remplir différents objectifs. Les clusters Anthos sur Bare Metal nécessitent les différents types de comptes de service Google Cloud suivants en fonction de leur objectif :
- Pour accéder à Container Registry (
gcr.io
), aucun rôle spécial n'est requis. - Pour enregistrer un cluster dans un parc, attribuez le rôle IAM
roles/gkehub.admin
au compte de service de votre projet Google Cloud. - Pour vous connecter à vos parcs, attribuez le rôle IAM
roles/gkehub.connect
au compte de service de votre projet Google Cloud. Pour envoyer des journaux et des métriques à la suite Google Cloud Operations, accordez les rôles IAM suivants au compte de service de votre projet Google Cloud :
roles/logging.logWriter
roles/monitoring.metricWriter
roles/stackdriver.resourceMetadata.writer
roles/monitoring.dashboardEditor
roles/opsconfigmonitoring.resourceMetadata.writer
Les clusters Anthos sur Bare Metal connectent vos clusters à Google Cloud. Cette connexion active les fonctionnalités suivantes :
- Connect pour connecter votre cluster Bare Metal à Google Cloud. Vous pouvez ainsi accéder au cluster et aux fonctionnalités de gestion de charge de travail, y compris à une interface utilisateur unifiée, la console Cloud, pour interagir avec votre cluster.
- Logging et Monitoring, pour afficher les journaux et les métriques du cluster dans la console Cloud.
- Importations automatiques des instantanés de cluster dans les buckets Cloud Storage.
Le processus de configuration manuelle des accès comprend les étapes suivantes :
- Activer les services Google nécessaires dans votre projet Cloud
- Créer les comptes de service suivants avec les rôles nécessaires :
- Compte de service connect-agent : Connect utilise ce compte de service pour maintenir une connexion entre votre cluster et Google Cloud.
- Compte de service connect-register : Connect utilise ce compte de service pour enregistrer vos clusters avec Google Cloud.
- Compte de service logging-monitoring : Connect utilise ce compte de service pour exporter les journaux et les métriques des clusters vers Logging et Monitoring.
- Compte de service storage-agent :
bmctl
utilise ce compte de service pour stocker automatiquement les instantanés des clusters dans Cloud Storage.
- Télécharger les fichiers de clé JSON pour chaque compte de service
Vous ajoutez ensuite des références aux fichiers de clé JSON dans les fichiers de configuration de cluster appropriés. Pour en savoir plus, consultez la section Créer des clusters : présentation.
Configurer des comptes de service à utiliser avec Connect
Pour créer les comptes de service et les fichiers de clé, procédez comme suit :
- Assurez-vous que vous vous trouvez dans le répertoire
baremetal
. - Activez les services Google nécessaires dans votre projet Cloud :
- Créez le compte de service Connect-agent avec le rôle nécessaire, puis téléchargez le fichier de clé.
Cette procédure permet de créer le fichier de clé
connect-agent.json
dans le répertoirebaremetal
:- Créez le compte de service :
- Attribuez le rôle gkehub.connect :
- Téléchargez le fichier de clé JSON du compte de service :
gcloud iam service-accounts create connect-agent-svc-account --project=PROJECT_ID
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:connect-agent-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/gkehub.connect"
gcloud iam service-accounts keys create connect-agent.json \ --project=PROJECT_ID \ --iam-account=connect-agent-svc-account@PROJECT_ID.iam.gserviceaccount.com
- Créez le compte de service Connect-register avec le rôle nécessaire, puis téléchargez le fichier de clé. Cette procédure permet de créer le fichier de clé
connect-register.json
dans le répertoirebaremetal
:- Créez le compte de service :
- Attribuez le rôle gkehub.admin :
- Téléchargez le fichier de clé JSON du compte de service :
gcloud iam service-accounts create connect-register-svc-account \ --project=PROJECT_ID
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:connect-register-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role=roles/gkehub.admin
gcloud iam service-accounts keys create connect-register.json \ --project=PROJECT_ID \ --iam-account=connect-register-svc-account@PROJECT_ID.iam.gserviceaccount.com
gcloud services enable --project=PROJECT_ID \ gkeconnect.googleapis.com \ gkehub.googleapis.com \ connectgateway.googleapis.com \ cloudresourcemanager.googleapis.com \ anthos.googleapis.com
Configurer un compte de service pour auditer les journaux et surveiller les projets
Pour créer le compte de service et le fichier de clé pour la journalisation et la surveillance, procédez comme suit :
- Assurez-vous que vous vous trouvez dans le répertoire
baremetal
. - Activez les services Google nécessaires dans votre projet Cloud :
- Créez le compte de service logging-monitoring doté des rôles nécessaires, puis téléchargez le fichier de clé. Cette procédure permet de créer le fichier de clé
cloud-ops.json
dans le répertoirebaremetal
: - Créez le compte de service
- Attribuez le rôle logging.logWriter
- Attribuez le rôle monitoring.metricWriter
- Attribuez le rôle roles/stackdriver.resourceMetadata.writer
- Attribuez le rôle roles/opsconfigmonitoring.resourceMetadata.writer
- Attribuez le rôle roles/monitoring.dashboardEditor
- Téléchargez le fichier de clé JSON du compte de service :
gcloud services enable --project PROJECT_ID \ anthos.googleapis.com \ anthosaudit.googleapis.com \ anthosgke.googleapis.com \ cloudresourcemanager.googleapis.com \ gkeconnect.googleapis.com \ gkehub.googleapis.com \ logging.googleapis.com \ monitoring.googleapis.com \ opsconfigmonitoring.googleapis.com \ serviceusage.googleapis.com \ stackdriver.googleapis.com
gcloud iam service-accounts create logging-monitoring-svc-account \ --project=PROJECT_ID
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/logging.logWriter"
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/monitoring.metricWriter"
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/stackdriver.resourceMetadata.writer"
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/opsconfigmonitoring.resourceMetadata.writer"
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/monitoring.dashboardEditor"
gcloud iam service-accounts keys create cloud-ops.json \ --project=PROJECT_ID \ --iam-account=logging-monitoring-svc-account@PROJECT_ID.iam.gserviceaccount.com
Configurer un compte de service pouvant accéder à un bucket Cloud Storage
Vous utilisez un compte de service et un fichier de clé pour accéder à Cloud Storage. Vous pouvez utiliser ce compte de service pour autoriser l'importation automatique des instantanés des clusters dans les buckets Cloud Storage ou pour importer des images de machine virtuelle (VM) à partir de buckets Cloud Storage afin de les utiliser avec l'environnement d'exécution de VM Anthos.
Pour créer le compte de service et le fichier de clé, procédez comme suit :
- Assurez-vous que vous vous trouvez dans le répertoire
baremetal
. - Activez les services Google nécessaires dans votre projet Cloud :
- Créez un compte de service que votre cluster peut utiliser pour accéder aux buckets Cloud Storage :
- Attribuez un rôle
storage.admin
au compte de service afin qu'il puisse importer des données dans un bucket Cloud Storage ou importer des images de VM : - Téléchargez le fichier de clé JSON du compte de service :
gcloud services enable --project=PROJECT_ID \ storage.googleapis.com
gcloud iam service-accounts create storage-agent-svc-account \ --project=PROJECT_ID
gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:storage-agent-svc-account@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/storage.admin"
gcloud iam service-accounts keys create storage-agent.json \ --iam-account=storage-agent-svc-account@PROJECT_ID.iam.gserviceaccount.com
Pour savoir comment créer des instantanés de cluster et les importer automatiquement dans un bucket Cloud Storage, consultez la section Créer des instantanés pour diagnostiquer les problèmes de cluster.
Pour savoir comment importer des images depuis Cloud Storage, consultez la page Créer et utiliser des identifiants pour importer des images depuis Cloud Storage pour l'environnement d'exécution de VM Anthos.