Crea clústeres híbridos

En Google Distributed Cloud, los clústeres híbridos realizan la función doble de un clúster de administrador y un clúster de usuario. Ejecutan cargas de trabajo y, al mismo tiempo, administran otros clústeres y a sí mismos.

Los clústeres híbridos eliminan la necesidad de ejecutar un clúster de administrador separado en situaciones con recursos limitados y pueden proporcionar confiabilidad con alta disponibilidad (HA). En un clúster híbrido con alta disponibilidad, si falla un nodo, otros ocuparán su lugar.

Los clústeres híbridos se diferencian de los clústeres independientes en que también pueden administrar otros clústeres. Los clústeres independientes no pueden crear ni administrar otros clústeres.

Sin embargo, cuando creas clústeres híbridos, se generan compensaciones entre la flexibilidad y la seguridad. Dado que los clústeres híbridos se administran a sí mismos, ejecutar cargas de trabajo en el mismo clúster aumenta el riesgo de exposición de seguridad a datos administrativos sensibles, como claves SSH.

Puedes crear un clúster híbrido con un plano de control de alta disponibilidad (HA) con el comando bmctl. El comando bmctl se puede ejecutar en una estación de trabajo separada o en uno de los nodos del clúster híbrido.

Requisitos previos

• Se descarga la versión más reciente de bmctl (gs://anthos-baremetal-release/bmctl/1.29.100-gke.251/linux-amd64/bmctl) de Cloud Storage.
• La estación de trabajo que ejecuta bmctl tiene conectividad de red con todos los nodos del clúster híbrido de destino.
• La estación de trabajo que ejecuta bmctl tiene conectividad de red con el VIP del plano de control del clúster híbrido de destino.
• La clave SSH que se usa para crear el clúster híbrido está disponible para administrar, o hay acceso de usuario SUDO en todos los nodos del clúster híbrido de destino.
• La cuenta de servicio del registro de conexión está configurada para usarse con Connect.

Consulta la guía de inicio rápido de Google Distributed Cloud para obtener instrucciones paso a paso ampliadas para crear un clúster híbrido.

Habilita SELinux

Si deseas habilitar SELinux para proteger tus contenedores, debes asegurarte de que SELinux esté habilitado en el modo Enforced en todas tus máquinas anfitrión. A partir de la versión 1.9.0 o posterior de Google Distributed Cloud, puedes habilitar o inhabilitar SELinux antes o después de la creación o actualización del clúster. SELinux está habilitado de forma predeterminada en Red Hat Enterprise Linux (RHEL). Si SELinux está inhabilitado en tus máquinas anfitrión o no estás seguro, consulta Protege tus contenedores con SELinux a fin de obtener instrucciones para habilitarlo.

Google Distributed Cloud admite SELinux solo en los sistemas RHEL.

Accede a gcloud y crea un archivo de configuración de clúster

1. Accede a gcloud CLI como usuario con gcloud auth application-default login:

   gcloud auth application-default login
   

   Debes tener la función de Propietario o Editor del proyecto para usar las funciones de habilitación automática de API y creación de cuentas de servicio, que se describen en las siguientes secciones.

   También puedes agregar las siguientes funciones de IAM al usuario:

   • Administrador de cuenta de servicio
   • Administrador de clave de cuenta de servicio
   • Administrador de IAM de proyecto
   • Lector de Compute
   • Administrador de Service Usage

   De manera alternativa, si ya tienes una cuenta de servicio con esas funciones, ejecuta el siguiente comando:

   export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE
   

   Reemplaza JSON_KEY_FILE por la ruta de acceso del archivo de claves JSON de tu cuenta de servicio.

2. Obtén tu ID del proyecto de Google Cloud para usarlo con la creación del clúster:

   export CLOUD_PROJECT_ID=$(gcloud config get-value project)
   

Crea el archivo de configuración del clúster con bmctl

Después de acceder a gcloud CLI y configurar tu proyecto, puedes crear el archivo de configuración del clúster con el comando bmctl.

Para crear un archivo de configuración de clúster, haz lo siguiente:

1. Ejecuta el siguiente comando para crear el archivo de configuración del clúster, crear todas las cuentas de servicio necesarias y habilitar todas las APIs requeridas:

   bmctl create config -c CLUSTER_NAME</var> --enable-apis \
       --create-service-accounts --project-id=CLOUD_PROJECT_ID
   

   Reemplaza lo siguiente:

   • CLUSTER_NAME: Es el nombre del clúster que creas.
   • CLOUD_PROJECT_ID: El ID del proyecto de Google Cloud.

   De forma predeterminada, el archivo de configuración se escribe en bmctl-workspace/CLUSTER_NAME/CLUSTER_NAME.yaml.

   Si ya habilitaste las APIs y creaste cuentas de servicio, puedes crear archivos de configuración sin habilitar las APIs ni crear cuentas de servicio. Tampoco es necesario que uses la marca --project-id. Sin embargo, deberás especificar las credenciales en tu archivo de configuración de forma manual.

   Para obtener más información sobre las opciones de comando, consulta create config.

Edita el archivo de configuración del clúster

Ahora que tienes un archivo de configuración de clúster, edítalo para realizar los siguientes cambios:

1. Proporciona la clave privada SSH para acceder a los nodos del clúster híbrido:

   # bmctl configuration variables. Because this section is valid YAML but not a valid Kubernetes
   # resource, this section can only be included when using bmctl to
   # create the initial admin/hybrid cluster. Afterwards, when creating user clusters by directly
   # applying the cluster and node pool resources to the existing cluster, you must remove this
   # section.
   gcrKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-gcr.json
   sshPrivateKeyPath: /path/to/your/ssh_private_key
   gkeConnectAgentServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-connect.json
   gkeConnectRegisterServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-register.json
   cloudOperationsServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-cloud-ops.json
   

2. Registra tus clústeres en una flota. El ID del proyecto que especificaste en el comando bmctl create config se agrega de forma automática al campo gkeConnect.projectID en el archivo de configuración del clúster. Este proyecto se conoce como el proyecto host de la flota.

   • Si creaste tu archivo de configuración con las funciones de habilitación automática de API y creación de cuentas de servicio, puedes omitir este paso.
   • Si creaste el archivo de configuración sin usar las funciones de habilitación automática de API y creación de cuentas de servicio, haz referencia a las claves JSON de la cuenta de servicio descargada en los campos gkeConnectAgentServiceAccountKeyPath y gkeConnectRegisterServiceAccountKeyPath correspondientes del archivo de configuración del clúster.

3. Cambia la configuración para especificar un tipo de clúster de hybrid en lugar de admin:

   spec:
     # Cluster type. This can be:
     #   1) admin:  to create an admin cluster. This can later be used to create user clusters.
     #   2) user:   to create a user cluster. Requires an existing admin cluster.
     #   3) hybrid: to create a hybrid cluster that runs admin cluster components and user workloads.
     #   4) standalone: to create a cluster that manages itself, runs user workloads, but does not manage other clusters.
     type: hybrid
   

4. Cambia la configuración para especificar un plano de control de varios nodos y alta disponibilidad (opcional). Especifica un número impar de nodos para tener el mayor quórum para la HA:

     # Control plane configuration
     controlPlane:
       nodePoolSpec:
         nodes:
         # Control plane node pools. Typically, this is either a single machine
         # or 3 machines if using a high availability deployment.
         - address: 10.200.0.4
         - address: 10.200.0.5
         - address: 10.200.0.6
   

   Nota: Si tienes una cantidad par de nodos de forma temporal mientras agregas o quitas nodos para mantenimiento o reemplazo, tu implementación mantiene la alta disponibilidad siempre que tengas suficiente quórum.

5. Especifica la densidad del Pod de los nodos del clúster:

   ....
   # NodeConfig specifies the configuration that applies to all nodes in the cluster.
   nodeConfig:
     # podDensity specifies the pod density configuration.
     podDensity:
       # maxPodsPerNode specifies at most how many pods can be run on a single node.
       maxPodsPerNode: 250
   ....
   

   En los clústeres híbridos, los valores permitidos para maxPodsPerNode son 32-250 para los clústeres de alta disponibilidad y 64-250 para los clústeres que no son HA. El valor predeterminado de maxPodsPerNode si no se especifica es 110. Este valor no se puede actualizar una vez que se crea el clúster.

   La densidad del Pod también está limitada por los recursos IP disponibles de tu clúster. Para obtener más detalles, consulta Herramientas de redes de Pods.

Crea el clúster híbrido con la configuración del clúster

Usa el comando bmctl para crear el clúster:

bmctl create cluster -c CLUSTER_NAME

Reemplaza CLUSTER_NAME por el nombre que usaste cuando creaste el archivo de configuración del clúster en la sección anterior.

A continuación, se muestra un ejemplo del comando para crear un clúster llamado hybrid1:

bmctl create cluster -c hybrid1

Ejemplos de configuración de clústeres híbridos

Para ver ejemplos de configuración de clústeres híbridos, consulta Clústeres híbridos en las muestras de configuración de clústeres.