Diese Dokumentation bezieht sich auf die neueste Version von Anthos-Clustern in AWS, die am 3. November veröffentlicht wurde. Weitere Informationen finden Sie in den Versionshinweisen. Dokumentationen zur vorherigen Generation der Anthos-Cluster in AWS finden Sie unter Vorherige Generation.

Kontingente und Limits

Auf dieser Seite sind die Kontingente und Einschränkungen für Anthos-Cluster in AWS aufgeführt.

Clusterversionen

Anthos-Cluster on AWS unterstützt die folgenden Kubernetes-Versionen:

Kubernetes 1.25

1.25.5-gke.2000

Kubernetes OSS-Versionshinweise

  • Bestimmte Fehler, die während der Erstellung/Aktualisierung von Clustern nicht weitergegeben und gemeldet wurden, wurden behoben.
  • Es wurde ein Problem mit AWS EFS CSI-Treiber behoben, bei dem EFS-Hostnamen nicht aufgelöst werden können, wenn AWS VPC für die Verwendung eines benutzerdefinierten DNS-Servers konfiguriert ist.
  • Der Anthos Identity Service wurde aktualisiert, um Anfragen für gleichzeitige Authentifizierungs-Webhooks besser zu verarbeiten.

  • Fluent-Bit auf v1.9.9 aktualisiert, um CVE-2022-42898 zu beheben.

  • Behebung von Sicherheitsproblemen

  • Die Authentifizierung über das Anthos Service Mesh-Dashboard ist fehlgeschlagen, weil die Identität des Endnutzers nicht übernommen werden konnte. Das Problem wurde behoben.

1.25,5-gke.1500

Kubernetes OSS-Versionshinweise

  • Bekanntes Problem: Einige UI-Oberflächen in der Google Cloud Console können nicht für den Cluster autorisiert werden und zeigen den Cluster möglicherweise als nicht erreichbar an. Sie können das Problem umgehen, indem Sie RBAC manuell anwenden und die Identität von Nutzern zulassen. Weitere Informationen finden Sie unter Fehlerbehebung.

  • Behebung von Sicherheitsproblemen

1.25.4-gke.1300

Kubernetes OSS-Versionshinweise

  • Bekanntes Problem: Einige UI-Oberflächen in der Google Cloud Console können nicht für den Cluster autorisiert werden und zeigen den Cluster möglicherweise als nicht erreichbar an. Sie können das Problem umgehen, indem Sie RBAC manuell anwenden und die Identität von Nutzern zulassen. Weitere Informationen finden Sie unter Fehlerbehebung.

  • Veraltete Volume-Plug-ins für Laufwerke, Quotbyte und Storageos wurden entfernt.

  • Behebung von Sicherheitsproblemen

  • Sicherheitsoptimierung: Eingeschränkte statische Pods, die auf den VMs der Steuerungsebene des Clusters ausgeführt werden, als Linux-Nutzer ohne Root-Berechtigung ausführen.

  • Funktion: Zusätzliche Unterstützung für die dynamische Aktualisierung von Sicherheitsgruppen von AWS-Knotenpools. Zum Aktualisieren von Sicherheitsgruppen benötigen Sie die folgenden Berechtigungen in Ihrer API-Rolle:

    • ec2:ModifyInstanceAttribute
    • ec2:DescribeInstances

  • Funktion: AWS-Knotenpool-Tags werden dynamisch aktualisiert. Zum Aktualisieren von Knotenpool-Tags benötigen Sie die folgenden Berechtigungen in Ihrer API-Rolle:

    • autoscaling:CreateOrUpdateTags
    • autoscaling:DeleteTags
    • ec2:CreateTags
    • ec2:DeleteTags
    • ec2:DescribeLaunchTemplates

  • Funktion: Dynamische EFS-Bereitstellung ist jetzt in GA für Cluster ab Version 1.25 verfügbar. Zur Verwendung dieser Funktion müssen Sie der Rolle der Steuerungsebene die folgenden Berechtigungen hinzufügen:

    • ec2:DescribeAvailabilityZones
    • elasticfilesystem:DescribeAccessPoints
    • elasticfilesystem:DescribeFileSystems
    • elasticfilesystem:DescribeMountTargets
    • elasticfilesystem:CreateAccessPoint
    • elasticfilesystem:DeleteAccessPoint

  • Das Hochladen von Arbeitslastmesswerten mit Google Managed Service for Prometheus mit verwalteter Sammlung in Cloud Monarch ist jetzt in Google Analytics verfügbar.

  • Funktion: Zusätzliche Unterstützung zum Aktivieren und Aktualisieren der Erfassung von CloudWatch-Messwerten in der Autoscaling-Gruppe des AWS-Knotenpools. Wenn Sie die Messwerterfassung über die API zum Erstellen oder Aktualisieren aktivieren oder aktualisieren möchten, müssen Sie Ihrer API-Rolle die folgenden Berechtigungen hinzufügen:

    • autoscaling:EnableMetricsCollection
    • autoscaling:DisableMetricsCollection

  • Funktion: Azure AD (GA). Mit dieser Funktion können Clusteradministratoren RBAC-Richtlinien basierend auf Azure AD-Gruppen für die Autorisierung in Clustern konfigurieren. Auf diese Weise können Gruppeninformationen für Nutzer abgerufen werden, die zu mehr als 200 Gruppen gehören, wodurch die Einschränkung der regulären OIDC-Vorgänge aufgehoben wird, die mit Azure AD als Identitätsanbieter konfiguriert sind.

  • Architektur: Es wurde ein neuer Token-Manager (gke-token-manager) hinzugefügt, der Tokens für Komponenten der Steuerungsebene mithilfe des Dienstkonto-Signaturschlüssels generiert. Vorteile:

    1. Beseitigen Sie die Abhängigkeit von kube-apiserver für Komponenten der Steuerungsebene, um sich bei Google-Diensten zu authentifizieren. Bisher verwendeten Komponenten der Steuerungsebene die TokenRequest API und waren von einem fehlerfreien kube-apiserver abhängig. Mit der gke-token-manager-Komponente werden die Tokens hingegen direkt mit dem Signaturschlüssel des Dienstkontos erstellt.
    2. RBAC zum Generieren von Tokens für Komponenten der Steuerungsebene eliminieren.
    3. Trennen Sie das Logging und kube-apiserver. Damit das Logging aufgenommen werden kann, bevor kube-apiserver aktiv ist.
    4. Widerstandsfähigkeit der Steuerungsebene erhöhen Wenn der kube-apiserver außer Betrieb ist, können die Komponenten der Steuerungsebene die Tokens weiterhin abrufen und weiter funktionieren.

  • Nehmen Sie als Vorschaufeature eine Vielzahl von Messwerten von den Komponenten der Steuerungsebene in Cloud Monitoring auf, darunter „kube-apiserver“, „etcd“, „kube-scheduler“ und „kube-controller-manager“.

  • Funktion: Nutzer in einer Google-Gruppe können über Connect Gateway auf AWS-Cluster zugreifen, indem sie der Gruppe die erforderlichen RBAC-Berechtigungen erteilen. Weitere Informationen finden Sie unter Connect-Gateway mit Google Groups einrichten.

  • Ein Problem wurde behoben, das dazu führen konnte, dass veraltete Versionen von gke-connect-agent nach Clusterupgrades nicht entfernt wurden.

Kubernetes 1.24

1.24.9-gke.2.000

Kubernetes OSS-Versionshinweise

  • Bestimmte Fehler, die während der Erstellung/Aktualisierung von Clustern nicht weitergegeben und gemeldet wurden, wurden behoben.
  • Der Anthos Identity Service wurde aktualisiert, um Anfragen für gleichzeitige Authentifizierungs-Webhooks besser zu verarbeiten.

  • Fluent-Bit auf v1.9.9 aktualisiert, um CVE-2022-42898 zu beheben.

  • Behebung von Sicherheitsproblemen

1.24.9-gke.1500

Kubernetes OSS-Versionshinweise

1.24.8-gke.1300

Kubernetes OSS-Versionshinweise

1.24.5-gke.200

Kubernetes OSS-Versionshinweise

1.24.3-gke.2200

Kubernetes OSS-Versionshinweise

  • Es wurde ein Fehler behoben, bei dem das Erstellen einer Kubernetes-Dienstressource mit dem Typ LoadBalancer und der Annotation service.beta.kubernetes.io/aws-load-balancer-type: nlb bei einer leeren Zielgruppe verbleibt. Siehe https://github.com/kubernetes/cloud-provider-aws/issues/301

1.24.3-gke.2100

Kubernetes OSS-Versionshinweise

  • Kubernetes-Ressourcenmesswerte in Google Cloud Monitoring für Windows-Knotenpools hochladen.
  • Es wurde ein Webhook für die einfache Injektion des IMDS-Emulators bereitgestellt.
  • go1.18 akzeptiert standardmäßig keine Zertifikate, die mit dem SHA-1-Hash-Algorithmus signiert sind. Zugangs-/Conversion-Webhooks oder aggregierte Serverendpunkte, die diese unsicheren Zertifikate verwenden, funktionieren in 1.24 standardmäßig nicht mehr. Die Umgebungsvariable GODEBUG=x509sha1=1 ist in Anthos-On-AWS-Clustern als vorübergehende Problemumgehung festgelegt, damit diese unsicheren Zertifikate weiter funktionieren. Das Go-Team wird jedoch voraussichtlich in den nächsten Releases die Unterstützung für diese Problemumgehung entfernen. Kunden sollten vor dem Upgrade auf die neue nicht funktionsfähige Version prüfen, ob Zugangs-/Conversion-Webhooks oder aggregierte Serverendpunkte vorhanden sind, die solche unsicheren Zertifikate verwenden.
  • Anthos-Cluster in AWS unterstützen jetzt die dynamische EFS-Bereitstellung im Vorschaumodus für Kubernetes-Cluster ab Version 1.24. Zur Verwendung dieses Features müssen Sie der Rolle der Steuerungsebene die folgenden Berechtigungen hinzufügen: ec2:DescribeAvailabilityZones elasticfilesystem:DescribeAccessPoints elasticfilesystem:DescribeFileSystems elasticfilesystem:DescribeMountTargets elasticfilesystem:CreateAccessPoint elasticfilesystem:DeleteAccessPoint

  • Verbessern Sie die Netzwerkverbindungsprüfungen beim Erstellen von Clustern und Knotenpools, um die Fehlerbehebung zu erleichtern.

  • Behebung von Sicherheitsproblemen

  • Aktualisierungen von Tags der AWS-Steuerungsebene. Zum Aktualisieren von Tags müssen Sie der API-Rolle die folgenden Berechtigungen hinzufügen: autoscaling:CreateOrUpdateTags autoscaling:DeleteTags ec2:CreateTags ec2:DescribeLaunchTemplates ec2:DescribeSecurityGroupRules ec2:DeleteTags elasticloadbalancing:AddTags elasticloadbalancing:RemoveTags

  • Arbeitslastmesswerte, die Google Managed Service for Prometheus in Cloud Monarch hochladen, sind nur als Einladung verfügbar.

Kubernetes 1.23

1.23.16-gke.200

Kubernetes OSS-Versionshinweise

  • Bestimmte Fehler, die während der Erstellung/Aktualisierung von Clustern nicht weitergegeben und gemeldet wurden, wurden behoben.

  • Probleme mit cpp-httplib behoben. Der Kubeapi-Server konnte AIS nicht erreichen.

  • Behebung von Sicherheitsproblemen

1.23.14-gke.1800

Kubernetes OSS-Versionshinweise

1.23.14-gke.1100

Kubernetes OSS-Versionshinweise

1.23.11-gke.300

Kubernetes OSS-Versionshinweise

1.23,9-gke.2200

Kubernetes OSS-Versionshinweise

  • Es wurde ein Fehler behoben, bei dem das Erstellen einer Kubernetes-Dienstressource mit dem Typ LoadBalancer und der Annotation service.beta.kubernetes.io/aws-load-balancer-type: nlb bei einer leeren Zielgruppe verbleibt. Siehe https://github.com/kubernetes/cloud-provider-aws/issues/301

1.23,9-gke.2100

Kubernetes OSS-Versionshinweise

1.23,9-gke.800

Kubernetes OSS-Versionshinweise

1.23.8-gke.1700

Kubernetes OSS-Versionshinweise

1.23.7-gke.1300

Kubernetes OSS-Versionshinweise

  • Deaktivieren Sie standardmäßig den Endpunkt der Profilerstellung (/debug/pprof) im kube-scheduler und kube-controller-manager.

  • Aktualisieren Sie kube-apiserver und kubelet so, dass nur starke kryptografische Chiffren verwendet werden. Unterstützte, von Kubelet verwendete Chiffren:

    TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_GCM_SHA256

    Unterstützte, vom kube api-server verwendete Chiffren:

    TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256, TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305, TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_256_GCM_SHA384

  • Einen Metadatenserver-Emulator für Instanzen (IMDS-Emulator) hinzufügen.

  • Behebung von Sicherheitsproblemen

Unterstützte Regionen

Google Cloud-Region AWS-Region
asia-east2 ap-east-1
asia-northeast2 ap-northeast-1
ap-northeast-3
asia-south1 ap-south-1
asia-southeast1 ap-east-1
ap-northeast-1
ap-southeast-1
asia-southeast2 ap-southeast-3
australia-southeast1 ap-southeast-2
europe-north1 eu-north-1
europe-west1 eu-central-1
eu-north-1
eu-south-1
eu-west-1
eu-west-2
eu-west-3
europe-west2 eu-west-2
europe-west3 eu-central-1
europe-west9 eu-west-3
northamerica-northeast1 ca-central-1
southamerica-east1 sa-east-1
us-east4 ca-central-1
us-east-1
us-east-2
us-west1 us-west-1
us-west-2

Unterstützte VM-Typen

Folgende AWS-VM-Größen werden unterstützt:

Typ Größe
C5-Instanzen c5.large
C5-Instanzen c5.xlarge
C5-Instanzen c5.2xlarge
C5-Instanzen c5.4xlarge
C5-Instanzen c5.9xlarge
C5-Instanzen c5.12xlarge
C5-Instanzen c5.18xlarge
C5-Instanzen c5.24xlarge
C5-Instanzen c5a.large
C5-Instanzen c5a.xlarge
C5-Instanzen c5a.2xgroß
C5-Instanzen c5a.4xlarge
C5-Instanzen c5a.9xlarge
C5-Instanzen c5a.12xlarge
C5-Instanzen c5a.18xlarge
C5-Instanzen c5a.24xlarge
C5-Instanzen c5ad.large
C5-Instanzen c5ad.xlarge
C5-Instanzen c5ad.2xlarge
C5-Instanzen c5ad.4xlarge
C5-Instanzen c5ad.9xlarge
C5-Instanzen c5ad.12xlarge
C5-Instanzen c5ad.18xlarge
C5-Instanzen c5ad.24xlarge
C5-Instanzen c5d.large
C5-Instanzen c5d.xlarge
C5-Instanzen c5d.2xlarge
C5-Instanzen c5d.4xlarge
C5-Instanzen c5d.9xlarge
C5-Instanzen c5d.12xlarge
C5-Instanzen c5d.18xlarge
C5-Instanzen c5d.24xlarge
I3en-Instanzen i3en.large
I3en-Instanzen i3en.xlarge
I3en-Instanzen i3en.2xlarge
I3en-Instanzen i3en.3xlarge
I3en-Instanzen i3en.6xlarge
I3en-Instanzen i3en.12xlarge
I3en-Instanzen i3en.24xlarge
M5-Instanzen m5.large
M5-Instanzen m5.xlarge
M5-Instanzen m5.2xlarge
M5-Instanzen m5.4xlarge
M5-Instanzen m5.8xlarge
M5-Instanzen m5.12xlarge
M5-Instanzen m5.16xlarge
M5-Instanzen m5.24xlarge
M5-Instanzen m5a.large
M5-Instanzen m5a.xlarge
M5-Instanzen m5a.2xlarge
M5-Instanzen m5a.4xlarge
M5-Instanzen m5a.8xlarge
M5-Instanzen m5a.12xlarge
M5-Instanzen m5a.16xlarge
M5-Instanzen m5a.24xlarge
M5-Instanzen m5ad.large
M5-Instanzen m5ad.xlarge
M5-Instanzen m5ad.2xlarge
M5-Instanzen m5ad.4xlarge
M5-Instanzen m5ad.8xlarge
M5-Instanzen m5ad.12xlarge
M5-Instanzen m5ad.16xlarge
M5-Instanzen m5ad.24xlarge
M5-Instanzen m5d.large
M5-Instanzen m5d.xlarge
M5-Instanzen m5d.2xlarge
M5-Instanzen m5d.4xlarge
M5-Instanzen m5d.8xlarge
M5-Instanzen m5d.12xlarge
M5-Instanzen m5d.16xlarge
M5-Instanzen m5d.24xlarge
R5-Instanzen r5.large
R5-Instanzen r5.xlarge
R5-Instanzen r5.2xlarge
R5-Instanzen r5.4xlarge
R5-Instanzen r5.8xlarge
R5-Instanzen r5.12xlarge
R5-Instanzen r5.16xlarge
R5-Instanzen r5.24xlarge
R5-Instanzen r5a.large
R5-Instanzen r5a.xlarge
R5-Instanzen r5a.2xlarge
R5-Instanzen r5a.4xlarge
R5-Instanzen r5a.8xlarge
R5-Instanzen r5a.12xlarge
R5-Instanzen r5a.16xlarge
R5-Instanzen r5a.24xlarge
R5-Instanzen r5ad.large
R5-Instanzen r5ad.xlarge
R5-Instanzen r5ad.2xlarge
R5-Instanzen r5ad.4xlarge
R5-Instanzen r5ad.8xlarge
R5-Instanzen r5ad.12xlarge
R5-Instanzen r5ad.16xlarge
R5-Instanzen r5ad.24xlarge
R5-Instanzen r5d.large
R5-Instanzen r5d.xlarge
R5-Instanzen r5d.2xlarge
R5-Instanzen r5d.4xlarge
R5-Instanzen r5d.8xlarge
R5-Instanzen r5d.12xlarge
R5-Instanzen r5d.16xlarge
R5-Instanzen r5d.24xlarge
T3-Instanzen t3.medium
T3-Instanzen t3.large
T3-Instanzen t3.xlarge
T3-Instanzen t3.2xlarge
T3-Instanzen t3a.medium
T3-Instanzen t3a.large
T3-Instanzen t3a.xlarge
T3-Instanzen t3a.2xlarge

Knotenimage-Typen

Anthos-Cluster in Azure-Clusterknoten führen die Ubuntu-Version 20.04 aus. Das Image ist dem GKE-Ubuntu-Knoten-Image sehr ähnlich.

ContainerOS-Knoten werden derzeit nicht unterstützt.

Knotenpoolgrößen

Anthos-Cluster in Azure unterstützt Knotenpools mit bis zu 50 Knoten.

Kontingente für Cluster und Knotenpools

Anthos-Cluster in AWS legen mehrere Standardkontingente fest. Kontaktieren Sie den Google Cloud-Support, um sie zu erhöhen.

Ab Kubernetes 1.26-Nebenversion unterstützt Anthos on AWS maximal 1.000 Knoten pro Cluster. Wenn Sie die Anzahl der Knoten pro Cluster erhöhen möchten, wenden Sie sich an den Google Cloud-Support.

Kontingentname Standardwert
Anzahl der Cluster pro Google Cloud-Projekt 20
Anzahl der Knotenpools pro Cluster 10
Anzahl der Knoten pro Cluster 500
Anzahl der Knoten pro Knotenpool 50
Anzahl der Pods pro Knoten 110

Zusätzlich zu diesen Kontingenten unterliegen Ihre Anthos-Cluster in AWS-Installationen den AWS-Dienstkontingenten Ihres AWS-Kontos, darunter:

Weitere Informationen finden Sie in der Konsole für AWS-Dienstkontingente.