Google Cloud リソースの設定

このページでは、クラスタを作成する前に作成して構成する必要がある Google Cloud リソースについて説明します。

準備

Google Cloud プロジェクトと請求先アカウントを作成します。

Google Cloud プロジェクトのオーナーでない場合は、プロジェクトオーナーから以下の Identity and Access Management（IAM）ロールを付与してもらう必要があります。

ロール	目的
roles/compute.viewer	必須: `bmctl` でクラスタ構成ファイルの clusterOperations.location フィールドを検証する場合に必要です。
roles/iam.serviceAccountAdmin	必須: GKE on Bare Metal に必要なサービスアカウントを作成するために必要です。
roles/iam.securityAdmin	必須: GKE on Bare Metal に必要なサービスアカウントに IAM ロールを付与する必要があります。
roles/iam.serviceAccountKeyAdmin	必須: GKE on Bare Metal に必要なサービスアカウントの JSON キーファイルを作成するために必要です。
roles/serviceusage.serviceUsageAdmin	必須: GKE on Bare Metal に必要な Google API を有効にするために必要です。
roles/gkeonprem.admin	省略可: GKE On-Prem API クライアントを使用してクラスタを作成する場合、または GKE On-Prem API で管理されるようにクラスタを構成する場合に必要です。
roles/gkehub.viewer roles/container.viewer	省略可: Google Cloud コンソールで GKE Enterprise と Google Kubernetes Engine のページにアクセスする場合に必要です。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

API を有効にする

関連する Google Cloud プロジェクトで、いくつかの Google API を有効にする必要があります。GKE on Bare Metal では、クラスタの作成時に API を使用します。また、Google Cloud への接続を維持するために API も必要です。Google Cloud への接続により、GKE on Bare Metal は Cloud Logging や Cloud Monitoring、Anthos Service Mesh、Config Sync、Policy Controller、Config Controller などのフリート機能を使用できます。

bmctl ツールを使用してクラスタを作成する場合は、bmctl create config を実行する際に --enable-apis フラグを指定すると、bmctl が次の gcloud services enable コマンドに列挙されている API を有効にします。GKE On-Prem API クライアントを使用して管理クラスタやユーザークラスタを作成する場合は、クラスタを作成する前に API を有効にする必要があります。

API を有効にするには、次のコマンドを実行します。

Google Cloud CLI にログインします。
```
gcloud auth login
```

次の API を有効にします。

gcloud services enable --project=PROJECT_ID \
    anthos.googleapis.com \
    anthosaudit.googleapis.com \
    anthosgke.googleapis.com \
    cloudresourcemanager.googleapis.com \
    connectgateway.googleapis.com \
    container.googleapis.com \
    gkeconnect.googleapis.com \
    gkehub.googleapis.com \
    gkeonprem.googleapis.com \
    iam.googleapis.com \
    logging.googleapis.com \
    monitoring.googleapis.com \
    opsconfigmonitoring.googleapis.com \
    serviceusage.googleapis.com \
    stackdriver.googleapis.com \
    storage.googleapis.com

注: GKE On-Prem API（gkeonprem.googleapis.com）を推奨しますが、必須ではありません。この Google Cloud でホストされる API を使用すると、Google Cloud コンソールや gcloud CLI などの標準の Google Cloud アプリケーションを使用して、オンプレミスクラスタのライフサイクルを管理できます。GKE On-Prem API は、クラスタのインストールやオペレーションに干渉することはありませんが、クラスタの状態のメタデータを Google Cloud に保存します。このメタデータにより、API はクラスタのライフサイクルを管理できますが、メタデータにワークロード固有のデータは含まれません。標準の Google Cloud アプリケーションを使用してクラスタを管理しない場合は、GKE On-Prem API を無効にできます。手順については、サービスの無効化をご覧ください。

プロジェクトで有効になっている API とサービスを表示するには、次のコマンドを実行します。
```
gcloud services list --project=PROJECT_ID \
    --enabled
```

サービスアカウントを構成する

Google API を使用するには、GKE on Bare Metal に、関連する Google Cloud プロジェクトで特定の IAM ロールが構成されたサービスアカウントが必要です。特に本番環境では、異なる目的ごとに別のサービスアカウントを作成することをおすすめします。

bmctl ツールを使用してクラスタを作成する場合は、bmctl create config を実行する際に --create-service-accounts フラグを指定することで、bmctl で必要な IAM ロールを持つサービスアカウントが作成できます。GKE On-Prem API クライアントを使用して管理クラスタを作成する場合、デフォルトでは、ブートストラップクラスタを作成するコマンドを実行すると、bmctl register bootstrap コマンドで必要な IAM のロールを持つサービスアカウントが作成されます。

ユーザークラスタの作成にもサービスアカウントが必要ですが、サービスアカウントはユーザークラスタを管理する管理クラスタの作成時に作成され、構成されています。

次の表に、自動的に作成されるサービスアカウントを示します。

サービスアカウント	目的	ロール
anthos-baremetal-gcr	GKE on Bare Metal は、このサービスアカウントを使用して Container Registry からコンテナイメージをダウンロードします。	なし
anthos-baremetal-connect	Connect Agent は、このサービスアカウントを使用して、クラスタと Google Cloud 間の接続を維持しますこれにより、クラスタへのアクセスと、クラスタを操作する Google Cloud コンソールや Connect Gateway など、ワークロード管理機能へのアクセスが可能になります。	roles/gkehub.connect
anthos-baremetal-register	Connect Agent はこのサービスアカウントを使用して、フリートにクラスタを登録します。	roles/gkehub.admin
anthos-baremetal-cloud-ops	Stackdriver Agent は、このサービスアカウントを使用して、クラスタから Cloud Logging と Cloud Monitoring にログと指標をエクスポートします。	roles/logging.logWriter roles/monitoring.metricWriter roles/stackdriver.resourceMetadata.writer roles/opsconfigmonitoring.resourceMetadata.writer roles/monitoring.dashboardEditor

サービスアカウントの手動での構成

必要に応じて、クラスタを作成する前にサービスアカウントを手動で作成し、必要なロールで構成して JSON キーファイルをダウンロードできます。bmctl を使用してクラスタを作成する場合は、JSON キーファイルへの参照を適切なクラスタ構成ファイルに追加します。例については、構成ファイルの編集をご覧ください。GKE On-Prem API を使用して管理クラスタを作成する場合は、bmctl register bootstrap を実行してブートストラップクラスタを作成する際にキーファイルを指定できます。

サービスアカウントとキーファイルを作成するには:

管理ワークステーションで、baremetal ディレクトリにいることを確認します。
まだログインしていない場合は、Google Cloud CLI にログインします。
```
gcloud auth login
```

サービスアカウントを作成します。

gcloud iam service-accounts create anthos-baremetal-gcr \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-connect \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-register \
    --project=PROJECT_ID

gcloud iam service-accounts create anthos-baremetal-cloud-ops \
    --project=PROJECT_ID

サービスアカウントに必要な IAM ロールを付与します。

gcloud projects add-iam-policy-binding  PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-connect@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/gkehub.connect"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-register@PROJECT_ID.iam.gserviceaccount.com" \
    --role=roles/gkehub.admin

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/logging.logWriter"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/monitoring.metricWriter"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/stackdriver.resourceMetadata.writer"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/opsconfigmonitoring.resourceMetadata.writer"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/monitoring.dashboardEditor"

サービスアカウントの JSON キーファイルをダウンロードします。

gcloud iam service-accounts keys create anthos-baremetal-gcr.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-gcr@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create connect-agent.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-connect@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create connect-register.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-register@PROJECT_ID.iam.gserviceaccount.com

gcloud iam service-accounts keys create anthos-baremetal-cloud-ops.json \
    --project=PROJECT_ID \
    --iam-account=anthos-baremetal-cloud-ops@PROJECT_ID.iam.gserviceaccount.com

Cloud Storage バケットにアクセスできるサービスアカウントを構成する

Cloud Storage へのアクセスには、サービスアカウントとキーファイルを使用します。このサービスアカウントを使用して、クラスタのスナップショットを Cloud Storage バケットに自動的にアップロードできます。または、GDC の VM ランタイムで使用する Cloud Storage バケットから仮想マシン（VM）イメージをインポートすることもできます。

サービスアカウントとキーファイルを作成するには、次の操作を行います。

baremetal ディレクトリ内にいることを確認します。
まだログインしていない場合は、Google Cloud CLI にログインします。
```
gcloud auth login
```
Google Cloud プロジェクトで、Cloud Storage API（storage.googleapis.com）がまだ有効になっていない場合は有効にします。
```
gcloud services enable --project=PROJECT_ID \
    storage.googleapis.com
```
クラスタが Cloud Storage バケットにアクセスするために使用できるサービスアカウントを作成します。
```
gcloud iam service-accounts create SA_NAME \
    --project=PROJECT_ID
```
SA_NAME は、新しいサービスアカウントの名前に置き換えます。このサービスアカウント名は、作成時にプロビジョニングされたメールアドレスに SA_NAME@PROJECT_ID.iam.gserviceaccount.com の形式で表示されます。
以下の権限を持つカスタムロールを作成します。
- storage.buckets.create
- storage.buckets.get
- storage.buckets.list
- storage.objects.create
- resourcemanager.projects.get
```
gcloud iam roles create ROLE_ID \
    --permissions=storage.buckets.create,storage.buckets.get,storage.buckets.list,storage.objects.create \
    --project=PROJECT_ID
```
ROLE_ID は、新しいカスタムロールの名前に置き換えます（snapshotUpload など）。このカスタムロールのフルパスの形式は projects/PROJECT_ID/roles/ROLE_ID です。

サービスアカウントにポリシーバインディングを追加します。

gcloud iam service-accounts add-iam-policy-binding SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --member=serviceAccount:SA_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --role='projects/PROJECT_ID/roles/ROLE_ID'

サービスアカウントの JSON キーファイルをダウンロードします。

gcloud iam service-accounts keys create OUTPUT_FILE \
    --iam-account=SA_NAME@PROJECT_ID.iam.gserviceaccount.com

クラスタスナップショットを作成して Cloud Storage バケットに自動的にアップロードする方法について詳しくは、クラスタの問題の診断に役立つスナップショットの作成をご覧ください。

Cloud Storage から VM イメージをインポートする方法の詳細については、認証情報を作成して使用し、GDC 上の VM ランタイム用 Cloud Storage からイメージをインポートするをご覧ください。

Google Cloud リソースの設定

準備

API を有効にする

サービス アカウントを構成する

サービス アカウントの手動での構成

Cloud Storage バケットにアクセスできるサービス アカウントを構成する

サービスアカウントを構成する

サービスアカウントの手動での構成

Cloud Storage バケットにアクセスできるサービスアカウントを構成する