Google Cloud-Ressourcen einrichten

Auf dieser Seite werden die Google Cloud-Ressourcen beschrieben, die Sie vor dem Erstellen von Clustern erstellen und konfigurieren müssen.

Hinweise

Erstellen Sie ein Google Cloud-Projekt und ein Rechnungskonto.

Wenn Sie kein Google Cloud-Projektinhaber sind, kann Ihnen ein Projektinhaber die folgenden IAM-Rollen (Identity and Access Management) zuweisen:

Rolle	Zweck
roles/compute.viewer	Erforderlich: erforderlich, wenn `bmctl` das Feld clusterOperations.location in der Clusterkonfigurationsdatei validiert.
roles/iam.serviceAccountAdmin	Erforderlich: Erforderlich, um die Dienstkonten zu erstellen, die GKE on Bare Metal benötigt.
roles/iam.securityAdmin	Erforderlich: Zum Gewähren von IAM-Rollen für Dienstkonten, die für GKE on Bare Metal erforderlich sind.
roles/iam.serviceAccountKeyAdmin	Erforderlich: Zum Erstellen von JSON-Schlüsseldateien für die Dienstkonten erforderlich, die von GKE on Bare Metal benötigt werden.
roles/serviceusage.serviceUsageAdmin	Erforderlich: Zum Aktivieren der Google APIs, die für GKE on Bare Metal erforderlich sind.
roles/gkeonprem.admin	Optional: Erforderlich, wenn Sie Cluster mit GKE On-Prem API-Clients erstellen oder einen Cluster so konfigurieren möchten, dass er von der GKE On-Prem API verwaltet wird.
roles/gkehub.viewer roles/container.viewer	Optional: Erforderlich, wenn Sie in der Google Cloud Console auf die Seiten GKE Enterprise und Google Kubernetes Engine zugreifen möchten.

Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

APIs aktivieren

Im verknüpften Google Cloud-Projekt müssen mehrere Google APIs aktiviert sein. GKE on Bare Metal verwendet die APIs beim Erstellen von Clustern. Die APIs werden auch benötigt, um eine Verbindung zu Google Cloud aufrechtzuerhalten. Durch die Verbindung zu Google Cloud kann GKE on Bare Metal Cloud Logging und Cloud Monitoring sowie Flottenfeatures wie Anthos Service Mesh, Config Sync, Policy Controller und Config Controller verwenden.

Wenn Sie das bmctl-Tool zum Erstellen von Clustern verwenden, können Sie das Flag --enable-apis einfügen, wenn Sie bmctl create config ausführen. bmctl aktiviert dann die im folgenden gcloud services enable-Befehl aufgeführten APIs. Wenn Sie einen GKE On-Prem API-Client zum Erstellen eines Administratorclusters oder eines Nutzerclusters verwenden, müssen Sie die APIs vor dem Erstellen des Clusters aktivieren.

Aktivieren Sie die APIs mit folgenden Befehlen:

Melden Sie sich in der Google Cloud CLI an:
```
gcloud auth login
```

Aktivieren Sie folgende APIs:

gcloud services enable --project=PROJECT_ID \
    anthos.googleapis.com \
    anthosaudit.googleapis.com \
    anthosgke.googleapis.com \
    cloudresourcemanager.googleapis.com \
    connectgateway.googleapis.com \
    container.googleapis.com \
    gkeconnect.googleapis.com \
    gkehub.googleapis.com \
    gkeonprem.googleapis.com \
    iam.googleapis.com \
    logging.googleapis.com \
    monitoring.googleapis.com \
    opsconfigmonitoring.googleapis.com \
    serviceusage.googleapis.com \
    stackdriver.googleapis.com \
    storage.googleapis.com

Führen Sie den folgenden Befehl aus, um zu sehen, welche APIs und Dienste in Ihrem Projekt aktiviert sind:
```
gcloud services list --project=PROJECT_ID \
    --enabled
```

Dienstkonten konfigurieren

Zur Verwendung der Google APIs benötigt GKE on Bare Metal ein Dienstkonto, das im verknüpften Google Cloud-Projekt mit bestimmten IAM-Rollen konfiguriert ist. Es hat sich bewährt, separate Dienstkonten für unterschiedliche Zwecke zu erstellen, insbesondere in Produktionsumgebungen.

Wenn Sie das bmctl-Tool zum Erstellen von Clustern verwenden, können Sie das Flag --create-service-accounts einfügen, wenn Sie bmctl create config ausführen, damit bmctl die Dienstkonten mit den erforderlichen IAM-Rollen erstellen kann. Wenn Sie zum Erstellen eines Administratorclusters einen GKE On-Prem API-Client verwenden, werden mit dem Befehl bmctl register bootstrap standardmäßig die Dienstkonten mit den erforderlichen IAM-Rollen erstellt, wenn Sie den Befehl zum Erstellen eines Bootstrap-Clusters ausführen.

Die Dienstkonten werden auch für das Erstellen von Nutzerclustern benötigt, aber die Dienstkonten wären beim Erstellen des Administratorclusters, der die Nutzercluster verwaltet, erstellt und konfiguriert worden.

In der folgenden Tabelle werden die Dienstkonten beschrieben, die automatisch erstellt werden:

Dienstkonto	Zweck	Rollen
anthos-baremetal-gcr	GKE on Bare Metal verwendet dieses Dienstkonto, um Container-Images aus Container Registry herunterzuladen.	Keine
anthos-baremetal-connect	Connect Agent verwendet dieses Dienstkonto, um eine Verbindung zwischen Ihrem Cluster und Google Cloud aufrechtzuerhalten. Dadurch erhalten Sie Zugriff auf den Cluster und auf Features zur Arbeitslastverwaltung, einschließlich der Google Cloud Console und des Connect-Gateways, um mit dem Cluster zu interagieren.	roles/gkehub.connect
anthos-baremetal-register	Connect Agent verwendet dieses Dienstkonto, um Ihre Cluster bei einer Flotte zu registrieren.	roles/gkehub.admin
anthos-baremetal-cloud-ops	Stackdriver Agent verwendet dieses Dienstkonto, um Logs und Messwerte aus Clustern nach Cloud Logging und Cloud Monitoring zu exportieren.	roles/logging.logWriter roles/monitoring.metricWriter roles/Stackdriver.resourceMetadata.writer roles/opsconfigmonitoring.resourceMetadata.writer roles/monitoring.dashboardEditor

Dienstkonten manuell konfigurieren

Wenn Sie möchten, können Sie die Dienstkonten manuell erstellen, sie mit den erforderlichen Rollen konfigurieren und JSON-Schlüsseldateien herunterladen, bevor Sie Cluster erstellen. Wenn Sie bmctl zum Erstellen von Clustern verwenden, fügen Sie der entsprechenden Clusterkonfigurationsdatei Verweise auf die JSON-Schlüsseldateien hinzu. Ein Beispiel finden Sie unter Konfigurationsdatei bearbeiten. Wenn Sie eine GKE On-Prem API zum Erstellen eines Administratorclusters verwenden, können Sie die Schlüsseldateien angeben, wenn Sie bmctl register bootstrap ausführen, um den Bootstrap-Cluster zu erstellen.

So erstellen Sie die Dienstkonten und Schlüsseldateien:

Prüfen Sie auf Ihrer Administratorworkstation, ob Sie sich im Verzeichnis baremetal befinden.
Melden Sie sich in der Google Cloud CLI an, falls noch nicht geschehen:
```
gcloud auth login
```

Erstellen Sie die Dienstkonten:

gcloud iam service-accounts create anthos-baremetal-gcr \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-connect \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-register \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-cloud-ops \
    --project=PROJECT_ID

Weisen Sie den Dienstkonten die erforderlichen IAM-Rollen zu:

gcloud projects add-iam-policy-binding  PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-connect@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/gkehub.connect"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-register@PROJECT_ID.iam.gserviceaccount.com" \
    --role=roles/gkehub.admin

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/logging.logWriter"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/monitoring.metricWriter"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/stackdriver.resourceMetadata.writer"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/opsconfigmonitoring.resourceMetadata.writer"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/monitoring.dashboardEditor"

Laden Sie die JSON-Schlüsseldateien für das Dienstkonto herunter:

gcloud iam service-accounts keys create anthos-baremetal-gcr.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-gcr@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create connect-agent.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-connect@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create connect-register.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-register@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create anthos-baremetal-cloud-ops.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com

Dienstkonto konfigurieren, das auf einen Cloud Storage-Bucket zugreifen kann

Sie verwenden ein Dienstkonto und eine Schlüsseldatei für den Zugriff auf Cloud Storage. Sie können dieses Dienstkonto verwenden, um Snapshots von Clustern automatisch in Cloud Storage-Buckets hochzuladen oder VM-Images aus Cloud Storage-Buckets zur Verwendung mit der VM-Laufzeit auf GDC zu importieren.

Führen Sie die folgenden Schritte aus, um das Dienstkonto und die Schlüsseldatei zu erstellen:

Sie müssen sich im Verzeichnis baremetal befinden.
Melden Sie sich in der Google Cloud CLI an, falls noch nicht geschehen:
```
gcloud auth login
```
Aktivieren Sie die Cloud Storage API storage.googleapis.com in Ihrem Google Cloud-Projekt, falls noch nicht geschehen:
```
gcloud services enable --project=PROJECT_ID \
    storage.googleapis.com
```
Erstellen Sie ein Dienstkonto, mit dem Ihr Cluster auf Cloud Storage-Buckets zugreifen kann:
```
gcloud iam service-accounts create SA_NAME \
    --project=PROJECT_ID
```
Ersetzen Sie SA_NAME durch den Namen des neuen Dienstkontos. Dieser Dienstkontoname wird in der E-Mail-Adresse angezeigt, die während der Erstellung im Format SA_NAME@PROJECT_ID.iam.gserviceaccount.com bereitgestellt wird.
Erstellen Sie eine benutzerdefinierte Rolle mit den folgenden Berechtigungen:
- storage.buckets.create
- storage.buckets.get
- storage.buckets.list
- storage.objects.create
- resourcemanager.projects.get
```
gcloud iam roles create ROLE_ID \
    --permissions=storage.buckets.create,storage.buckets.get,storage.buckets.list,storage.objects.create \
    --project=PROJECT_ID
```
Ersetzen Sie ROLE_ID durch den Namen der neuen benutzerdefinierten Rolle, z. B. snapshotUpload. Der vollständige Pfad dieser benutzerdefinierten Rolle hat das Format projects/PROJECT_ID/roles/ROLE_ID.

Fügen Sie dem Dienstkonto eine Richtlinienbindung hinzu:

gcloud iam service-accounts add-iam-policy-binding SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --member=serviceAccount:SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --role='projects/PROJECT_ID/roles/ROLE_ID'

Laden Sie die JSON-Schlüsseldatei des Dienstkontos herunter:

gcloud iam service-accounts keys create OUTPUT_FILE \
    --iam-account=SA_NAME@PROJECT_ID.iam.gserviceaccount.com

Weitere Informationen zum Erstellen von Cluster-Snapshots und zum automatischen Hochladen in einen Cloud Storage-Bucket finden Sie unter Snapshots zur Diagnose von Clusterproblemen erstellen.

Weitere Informationen zum Importieren von VM-Images aus Cloud Storage finden Sie unter Anmeldedaten zum Importieren von Images aus Cloud Storage für VM-Laufzeit auf GDC erstellen und verwenden.