インストールの前提条件の概要

ベアメタル版 Anthos クラスタには、次のインストール前提条件があります。

bmctl ツールを実行するワークステーションマシンの前提条件。
ベアメタル版 Anthos クラスタデプロイに含まれるノードマシンの前提条件。
ロードバランサマシンの前提条件。
Google Cloud プロジェクトの前提条件。
サービスアカウントの前提条件。

クラスタノードマシンとしてワークステーションマシンを使用する場合は、その両方の前提条件を満たす必要があります。

始める前に

インストール時には、次の認証情報を指定する必要があります。

クラスタノードマシンへのアクセスに必要な秘密 SSH 認証鍵。
root を使用していない場合は、クラスタのノードマシンのログイン名になります。
Google Cloud サービスアカウントキー。詳しくは、サービスアカウントキーの作成と管理をご覧ください。

ベアメタル版 Anthos クラスタをインストールする前に、必要な認証情報がすべて揃っていることをご確認ください。

gcloud にログインする

gcloud auth application-default ログインを使用して、ユーザーとして gcloud にログインします。

gcloud auth application-default login

サービスアカウント管理者
サービスアカウントキー管理者
プロジェクト IAM 管理者
Compute 閲覧者
Service Usage 管理者

export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE

JSON_KEY_FILE

クラスタ作成に使用する Google CCloud プロジェクト ID を取得します。

export CLOUD_PROJECT_ID=$(gcloud config get-value project)

ワークステーションの前提条件

bmctl ワークステーションは次の前提条件を満たしている必要があります。

オペレーティングシステムには、クラスタノードマシンで実行されるのと同じサポート対象の Linux ディストリビューションを使用している。
Docker バージョン 19.03 以降がインストールされている。
root ユーザー以外は docker グループのメンバーになっている（手順については、root 以外のユーザーとして Docker を管理するをご覧ください）。
gcloud がインストールされている。
50 GB を超える空きディスク容量がある。
すべてのクラスタノードマシンへの L3 接続がある。
パスワードを使用しないルートアクセスで秘密鍵を介して SSH 経由ですべてのクラスタノードマシンにアクセスできる。直接アクセスまたは sudo によるアクセスが可能。
コントロールプレーン VIP へのアクセスがある。

ノードマシンの前提条件

ノードマシンには次の前提条件があります。

サポート対象の Linux ディストリビューションのオペレーティングシステムを使用している。
ハードウェアの最小要件を満たしている。
インターネットアクセスがある。
他のすべてのノードマシンへの L3 接続がある。
コントロールプレーン VIP へのアクセスがある。
適切に構成された DNS ネームサーバーがある。
重複するホスト名はない。
次の NTP サービスのいずれかが有効になっていて、機能している。
- chrony
- ntp
- ntpdate
- systemd-timesyncd
apt、dnf などの有効なパッケージマネージャーがある。
SELinux が無効になっている。/etc/selinux/config ファイルで SELINUX=disabled または SELINUX=permissive を構成し、マシンを再起動する。
CentOS / RHEL で、firewalld が無効になっている。無効にするには、systemctl disable firewalld を実行します。
Ubuntu で、AppArmor と Uncomplicated Firewall（UFW）が無効になっている。無効にするには、systemctl stop apparmor ufw を実行します。
ノードマシンに Docker がインストールされていない場合や、古いバージョンがインストールされている場合、ベアメタル上の Anthos がクラスタ作成時に Docker 19.03.13 以降をインストールする。
ベアメタル版 Anthos クラスタをインストールまたは再インストールする際には、以下のディレクトリを保管するファイルシステムに必要な容量があり、使用率が 90% 未満であることを常に確認してください。インストールプロセスでは、必要に応じて次のディレクトリが作成されることに留意してください。
- /var/lib/docker: 30 GiB
- /var/lib/kubelet: 10 GiB
- /mnt/anthos-system: 25 GiB
- /: 20 GiB
- /var/lib/etcd: 20 GiB（コントロールプレーンノードにのみ該当）
/var/lib/etcd ディレクトリと /etc/kubernetes ディレクトリは、存在しない、または空のいずれかの状態です。

ベアメタル版 Anthos クラスタをインストールして実行するための前提条件に加え、お客様は業界またはビジネスセグメントを治める関連基準（クレジットカードを処理するビジネスに関する PCI DSS 要件、防衛産業のビジネスに関するセキュリティテクニカル実装ガイド（STIG）など）を遵守することが期待されます。

ロードバランサマシンの前提条件

デプロイメントに専用のロードバランサノードプールがない場合は、ワーカーノードまたはコントロールプレーンノードを使用してロードバランサのノードプールを作成できます。その場合、追加の前提条件があります。

マシンが同じ L2 サブネット内に配置されている。
VIP がすべて、ロードバランサのノードのサブネットにあり、サブネットのゲートウェイからルーティング可能。
ロードバランサのサブネットのゲートウェイが、マスターのロードバランサにパケットを転送する Gratuitous ARP をリッスンする必要がある。

Google Cloud プロジェクトの前提条件

ベアメタル版 Anthos クラスタをインストールする前に、関連する GCP プロジェクトで次のサービスを有効にしてください。

anthos.googleapis.com
anthosgke.googleapis.com
cloudresourcemanager.googleapis.com
container.googleapis.com
gkeconnect.googleapis.com
gkehub.googleapis.com
serviceusage.googleapis.com
stackdriver.googleapis.com
monitoring.googleapis.com
logging.googleapis.com

また、bmctl ツールを使用して、これらのサービスを有効にすることもできます。

サービスアカウントの前提条件

本番環境では、目的ごとに別のサービスアカウントを作成する必要があります。Anthos clusters on bare metal には、目的に応じて、次の別の種類の Google Cloud サービスアカウントが必要です。

Container Registry（gcr.io）にアクセスする際、特別なロールは必要ありません。
フリートにクラスタを登録するには、Google Cloud プロジェクトのサービスアカウントに roles/gkehub.admin IAM ロールを付与します。
フリートに接続するには、Google Cloud プロジェクトのサービスアカウントに roles/gkehub.connect IAM ロールを付与します。
Google Cloud のオペレーションスイートにログと指標を送信するには、Google Cloud プロジェクトのサービスアカウントに次の IAM ロールを付与します。
- roles/logging.logWriter
- roles/monitoring.metricWriter
- roles/stackdriver.resourceMetadata.writer
- roles/monitoring.dashboardEditor

また、bmctl ツールを使用してこれらのサービスアカウントを作成することもできます。