Cluster über die Google Cloud Console verwalten

In diesem Dokument wird erläutert, wie Sie GKE on Bare Metal für die Verwaltung in der Google Cloud Console verfügbar machen. Dazu gehört die einfache Verwaltung, z. B. die Möglichkeit, sich in Clustern anzumelden und deren Arbeitslasten anzusehen, sowie das Aktivieren der Verwaltung des Clusterlebenszyklus, um Cluster upgraden, aktualisieren und löschen zu können.

Flottenmitglieder und die Console

GKE on Bare Metal muss Mitglieder einer Flotte sein. So können Sie mehrere Cluster und deren Arbeitslasten einheitlich ansehen und verwalten. Jede Clusterflotte ist einem Flotten-Hostprojekt zugeordnet.

In GKE on Bare Metal wird ein Nutzercluster bei der Erstellung bei einer Flotte registriert:

  • Wenn Sie einen Cluster mit bmctl erstellen, geben Sie Ihr Flotten-Hostprojekt im Abschnitt gkeConnect der Clusterkonfigurationsdatei an. GKE on Bare Metal verwendet diese Informationen, um Ihren Cluster beim angegebenen Flottenprojekt zu registrieren.

  • Wenn Sie einen Nutzercluster in der Console erstellen, wird der Cluster automatisch zu einem Flottenmitglied im in der Console ausgewählten Projekt.

Flottenmitglieder außerhalb von Google Cloud wie GKE on Bare Metal werden in der Konsole in Ihrem Flottenhostprojekt zusammen mit anderen Flottenclustern wie GKE in Google Cloud angezeigt. In welchem Umfang Sie GKE on Bare Metal über die Console verwalten können, hängt von folgenden Faktoren ab:

  • Wenn Sie die Authentifizierung eingerichtet haben, können Sie sich in Ihren Clustern anmelden und deren Arbeitslasten und andere Details ansehen.

  • Wenn Sie für den Cluster die Verwaltung des Clusterlebenszyklus aktiviert haben, können Sie Nutzercluster auch über die Console aktualisieren, aktualisieren oder löschen. Dazu muss der Cluster von einem Dienst namens GKE On-Prem API verwaltet werden. Für Nutzercluster, die in der Console erstellt wurden, ist die Verwaltung des Clusterlebenszyklus bei der Clustererstellung aktiviert. Für Nutzercluster, die mit bmctl erstellt wurden, können Sie diese Funktion aber auch später aktivieren. Wenn dieses Feature nicht aktiviert ist, können Sie den Clusterlebenszyklus nur mit bmctl auf Ihrer Administratorworkstation verwalten.

Registrierte Cluster ansehen

Alle Ihre Flottencluster werden in der Console auf der Seite GKE-Cluster angezeigt. So erhalten Sie einen Überblick über Ihre gesamte Flotte und können für GKE on Bare Metal sehen, welche Cluster von der GKE On-Prem API verwaltet werden.

So rufen Sie Ihre Flottencluster auf:

  1. Rufen Sie in der Console die Seite Google Kubernetes Engine-Cluster auf.

    Zu GKE-Clustern

  2. Wählen Sie das Google Cloud-Projekt aus.

    • Wenn in der Spalte Typ Bare Metal angezeigt wird, wird der Cluster von der GKE On-Prem API verwaltet.

    • Wenn in der Spalte Typ Extern angezeigt wird, wird der Cluster nicht von der GKE On-Prem API verwaltet.

Damit Sie weitere Details zu einem Cluster sehen können, müssen Sie sich beim Cluster anmelden und authentifizieren. Gehen Sie dazu so vor:

Authentifizierung einrichten

Wie bereits beschrieben, werden alle Flottencluster in der Console auf der Seite „GKE-Cluster“ angezeigt. Wenn Sie jedoch weitere Details wie Knoten und Arbeitslasten sehen und Aufgaben zur Verwaltung des Clusterlebenszyklus ausführen möchten, wenn das Feature aktiviert ist, müssen Sie sich beim Cluster anmelden und sich authentifizieren. Dazu müssen Ihre registrierten Cluster mit einer der folgenden Authentifizierungsmethoden eingerichtet werden:

  • Google Identity: Mit dieser Option können Sie sich mit Ihrer Google Cloud Identity anmelden. Das ist die E-Mail-Adresse, die mit Ihrem Google Cloud-Konto verknüpft ist. Verwenden Sie diese Option, wenn Nutzer bereits mit ihrer Google-Identität Zugriff auf Google Cloud haben. Wenn Sie den Cluster in der Console erstellt haben, können Sie sich mit Ihrer Google-Identität im Cluster anmelden. Sie müssen dann aber die Authentifizierung für andere Nutzer konfigurieren.

    Die Anmeldung mit der Google-Identität ist der einfachste Ansatz zur Authentifizierung in der Konsole. Daher wird die Einrichtung unter Google-Identitätsauthentifizierung einrichten ausführlicher beschrieben.

  • OpenID Connect (OIDC): Mit dieser Option können Sie sich über die Konsole mit der Identität eines OIDC-Identitätsanbieters wie Okta oder Microsoft AD FS in Clustern anmelden. Sie sollten diese Option verwenden, wenn Ihre Nutzer bereits Nutzernamen, Passwörter und Sicherheitsgruppenmitgliedschaften von Ihrem Anbieter haben. Informationen zum Einrichten der OIDC-Authentifizierung eines Drittanbieters für Ihre Cluster finden Sie in den folgenden Anleitungen:

  • Inhabertoken: Wenn die vorherigen von Google bereitgestellten Lösungen für Ihre Organisation nicht geeignet sind, können Sie die Authentifizierung mit einem Kubernetes-Dienstkonto einrichten und dessen Inhabertoken zur Anmeldung verwenden. Weitere Informationen finden Sie unter Mit einem Inhabertoken einrichten.

Erforderliche Rollen gewähren

Der Zugriff auf die Console wird von Google Cloud IAM gesteuert. Zum Verwalten des Clusterlebenszyklus in der Console müssen Sie Nutzern, die keine Projektinhaber sind, einige IAM-Rollen gewähren:

  • Damit Nutzer auf die Console zugreifen können, müssen Sie mindestens die folgenden Rollen zuweisen:

    • roles/container.viewer: Mit dieser Rolle können Nutzer die GKE-Clusterseite und andere Containerressourcen in der Console ansehen. Ausführliche Informationen zu den in dieser Rolle enthaltenen Berechtigungen oder zum Gewähren einer Rolle mit Lese- und Schreibberechtigungen finden Sie in der IAM-Dokumentation unter Kubernetes Engine-Rollen.

    • roles/gkehub.viewer: Mit dieser Rolle können Nutzer Cluster außerhalb von Google Cloud in der Console ansehen. Ausführliche Informationen zu den in dieser Rolle enthaltenen Berechtigungen oder zum Gewähren einer Rolle mit Lese- und Schreibberechtigungen finden Sie in der IAM-Dokumentation unter GKE-Hub-Rollen.

  • Damit Nutzer den Clusterlebenszyklus in der Console verwalten können, müssen Sie die IAM-Rolle roles/gkeonprem.admin zuweisen. Die Rolle roles/gkeonprem.admin gewährt Nutzern Administratorzugriff auf die GKE On-Prem API, die in der Console zum Verwalten des Clusterlebenszyklus verwendet wird. Weitere Informationen zu den Berechtigungen, die in dieser Rolle enthalten sind, finden Sie in der IAM-Dokumentation unter GKE On-Prem-Rollen.

Die folgenden Befehle zeigen, wie Sie die minimalen Rollen gewähren, die zum Verwalten des Clusterlebenszyklus in der Console erforderlich sind:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=MEMBER \
    --role=roles/container.viewer

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=MEMBER \
    --role=roles/gkehub.viewer

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=MEMBER \
    --role=roles/gkeonprem.admin

Dabei gilt:

  • PROJECT_ID ist das Flotten-Hostprojekt. Bei Clustern, die mit bmctl erstellt wurden, ist dies das Projekt, das Sie im Abschnitt gkeConnect der Konfigurationsdatei des Nutzerclusters konfiguriert haben. Bei Clustern, die in der Console erstellt wurden, ist dies das Projekt, das Sie beim Erstellen des Clusters ausgewählt haben.

  • MEMBER ist die E-Mail-Adresse des Nutzers im Format user:emailID, z. B. user:alice@example.com.

Verwaltung des Clusterlebenszyklus in der Console aktivieren

In der Console erstellte Nutzercluster werden automatisch von der GKE On-Prem API verwaltet und ermöglichen es Ihnen, Aufgaben zur Verwaltung des Clusterlebenszyklus in der Console auszuführen. Wenn Sie dieses Feature für Nutzercluster aktivieren möchten, die mit bmctl erstellt wurden, führen Sie die Schritte unter Nutzercluster für die Verwaltung durch die GKE On-Prem API konfigurieren aus. Wenn die Verwaltung des Clusterlebenszyklus aktiviert ist, können Sie Cluster über die Console aktualisieren:

  • Nutzercluster aktualisieren
  • Knotenpools zu Nutzerclustern hinzufügen oder entfernen
  • Nutzercluster löschen

Google-Identitätsauthentifizierung einrichten

Damit sich Nutzer mit ihrer Google-Identität im Cluster anmelden können, müssen Sie Folgendes konfigurieren:

  • Nutzer benötigen bestimmte IAM-Rollen (Identity and Access Management), um Cluster in der Console auf der Seite GKE-Cluster sehen und mit ihnen interagieren zu können.

  • Nutzer müssen den Kubernetes-Richtlinien für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) hinzugefügt werden, die das Connect-Gateway benötigt, um auf den Kubernetes API-Server des Clusters zugreifen zu können, wenn der Connect-Agent verwendet wird.

RBAC-Autorisierung konfigurieren

Der Kubernetes API-Server jedes Clusters muss in der Lage sein, Anfragen von der Console zu autorisieren. Zum Konfigurieren der Autorisierung müssen Sie auf jedem Cluster Richtlinien für die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) von Kubernetes konfigurieren. Wenn Sie den Cluster in der Console erstellt haben, fügt die GKE On-Prem API Ihr Nutzerkonto als Administrator hinzu und erstellt entsprechende RBAC-Richtlinien, die Ihnen vollständigen Administratorzugriff auf den Cluster gewähren.

gcloud-CLI

Führen Sie auf Ihrer Administrator-Workstation die folgenden Schritte aus, um die RBAC-Richtlinien auf Nutzer anzuwenden:

  1. Führen Sie die folgenden Befehle aus, um sich mit Ihrem Google-Konto anzumelden und die Komponenten zu aktualisieren:

    gcloud auth login
gcloud components update

  2. Generieren Sie die RBAC-Richtlinien und wenden Sie sie auf den Cluster für Nutzer und Dienstkonten an:

    gcloud container fleet memberships generate-gateway-rbac  \
    --membership=MEMBERSHIP_NAME \
    --role=ROLE \
    --users=USERS \
    --project=PROJECT_ID \
    --kubeconfig=KUBECONFIG_PATH \
    --context=KUBECONFIG_CONTEXT \
    --apply

    Ersetzen Sie Folgendes:

    • MEMBERSHIP_NAME: Der Name, der zur eindeutigen Darstellung des Clusters in seiner Flotte verwendet wird. In GKE on Bare Metal sind der Name der Mitgliedschaft und der Clustername identisch.
    • ROLE: die Kubernetes-Rolle, die Sie den Nutzern im Cluster zuweisen möchten. Wenn Sie Nutzern vollständigen Zugriff auf jede Ressource im Cluster in allen Namespaces gewähren möchten, geben Sie clusterrole/cluster-admin an. Wenn Sie den Zugriff einschränken möchten, erstellen Sie eine benutzerdefinierte Rolle, z. B. role/mynamespace/namespace-reader. Die benutzerdefinierte Rolle muss bereits vorhanden sein, bevor Sie den Befehl ausführen.
    • USERS: Die E-Mail-Adressen der Nutzer (Nutzerkonten oder Dienstkonten), denen Sie Berechtigungen erteilen möchten, als durch Kommas getrennte Liste. Beispiel: --users=foo@example.com,test-acct@test-project.iam.gserviceaccount.com.
    • PROJECT_ID: die Projekt-ID des Flotten-Hostprojekts.
    • KUBECONFIG_PATH: der lokale Pfad der kubeconfig-Datei, die einen Eintrag für den Cluster enthält

    • KUBECONFIG_CONTEXT ist der Clusterkontext des Clusters, wie er in der Datei „kubeconfig” angezeigt wird. Sie können den aktuellen Kontext über die Befehlszeile abrufen, indem Sie kubectl config current-context ausführen. Unabhängig davon, ob Sie den aktuellen Kontext verwenden oder nicht, achten Sie darauf, dass er für den Zugriff auf den Cluster funktioniert. Führen Sie dazu einen einfachen Befehl wie den folgenden aus:

      kubectl get namespaces \
  --kubeconfig=KUBECONFIG_PATH \
  --context=KUBECONFIG_CONTEXT

    Nachdem Sie gcloud container fleet memberships generate-gateway-rbac ausgeführt haben, sehen Sie am Ende der Ausgabe, die zur besseren Lesbarkeit abgeschnitten ist, in etwa so:

    Validating input arguments.
Specified Cluster Role is: clusterrole/cluster-admin
Generated RBAC policy is:
--------------------------------------------
...
Applying the generate RBAC policy to cluster with kubeconfig: /usr/local/google/home/foo/.kube/config, context: kind-kind
Writing RBAC policy for user: foo@example.com to cluster.
Successfully applied the RBAC policy to cluster.

    Dies ist der Kontext für den Zugriff auf den Cluster über das Connect-Gateway.

    Weitere Informationen zum Befehl generate-gateway-rbac finden Sie im Referenzhandbuch für die gcloud-Befehlszeile.

bmctl

Führen Sie auf Ihrer Administrator-Workstation die folgenden Schritte aus, um die RBAC-Richtlinien auf Nutzer anzuwenden:

  1. Fügen Sie der Clusterkonfigurationsdatei den Abschnitt clusterSecurity.authorization hinzu. Geben Sie Ihre E-Mail-Adresse und die E-Mail-Adressen anderer Nutzer an, die den Cluster verwalten müssen. Beispiel:

    ...
clusterSecurity:
  authorization:
    clusterAdmin:
      gcpAccounts: [alex@example.com,hao@example.com,sasha@example.com]
...

  2. Aktualisieren Sie den Cluster:

    bmctl update cluster \
    -c CLUSTER_NAME \
    --kubeconfig=KUBECONFIG

    Nehmen Sie die folgenden Änderungen vor:

    • Ersetzen Sie CLUSTER_NAME durch den Namen des Clusters, den Sie aktualisieren möchten.
    • Wenn der Cluster ein selbst verwaltender Cluster ist (z. B. Administrator- oder eigenständiger Cluster), ersetzen Sie KUBECONFIG durch den Pfad zur kubeconfig-Datei des Clusters. Wenn der Cluster ein Nutzercluster ist, ersetzen Sie KUBECONFIG durch den Pfad zur kubeconfig-Datei des admin-Clusters.

Weitere Informationen