Exigences concernant vSphere

10

Anthos clusters on VMware (GKE On-Prem) s'exécute dans votre centre de données dans un environnement vSphere. Ce document décrit les exigences concernant votre environnement vSphere.

Compatibilité des versions

Les exigences concernant vSphere varient en fonction de la version d'Anthos clusters on VMware que vous utilisez. Pour en savoir plus, consultez la matrice de compatibilité des versions pour les versions entièrement compatibles et les versions antérieures.

Versions compatibles

vSphere est le logiciel de virtualisation de serveur de VMware. vSphere inclut ESXi et vCenter Server.

Anthos clusters on VMware est compatible avec les versions suivantes de ESXi et vCenter Server :

  • 6.7 Mise à jour 3 et versions ultérieures de la version 6.7
  • 7.0 Mise à jour 1 et versions ultérieures de la version 7.0

Exigences concernant les licences

Vous avez besoin des licences vSphere suivantes :

  • Une licence vSphere Enterprise Plus ou vSphere Standard.

    Nous vous recommandons d'utiliser la licence Enterprise Plus, car elle vous permet d'activer le Distributed Resource Scheduler (DRS).

    Parallèlement à cette licence, vous devez souscrire un abonnement d'assistance d'au moins un an.

  • Une licence vCenter Server Standard. Parallèlement à cette licence, vous devez souscrire un abonnement d'assistance d'au moins un an.

Configuration matérielle requise

Anthos clusters on VMware s'exécute sur un ensemble d'hôtes physiques exécutant l'hyperviseur ESXi VMware. Pour en savoir plus sur la configuration adaptée, consultez la page Configuration matérielle requise pour ESXi.

Par défaut, Anthos clusters on VMware crée automatiquement des règles anti-affinités DRS (Distributed Resource Scheduler) pour les nœuds de votre cluster d'administrateur et de votre cluster d'utilisateur, avec pour effet de les répartir sur au moins trois hôtes physiques dans votre centre de données.

Cette fonctionnalité nécessite que votre environnement vSphere remplisse les conditions suivantes :

  • La fonctionnalité VMware DRS est activée. VMware DRS nécessite l'édition de licence vSphere Enterprise Plus.

  • Votre compte utilisateur vSphere dispose du privilège Host.Inventory.Modify cluster.

  • Au moins trois hôtes physiques sont disponibles.

Rappelez-vous que si vous possédez une licence standard vSphere, vous ne pouvez pas activer DRS.

Si vous n'avez pas activé DRS ou si vous n'avez pas au moins trois hôtes sur lesquels les VM vSphere peuvent être planifiées, définissez antiAffinityGroups.enabled sur false dans les fichiers de configuration du cluster d'administrateur et du cluster d'utilisateur.

Droits de compte d'utilisateur vCenter

Pour configurer un environnement vSphere, un administrateur d'organisation peut choisir d'utiliser un compte utilisateur vCenter doté du rôle Administrateur vCenter Server. Ce rôle fournit un accès complet à tous les objets vSphere.

Une fois l'environnement vSphere configuré, un administrateur de cluster peut créer des clusters d'administrateur et des clusters d'utilisateur. L'administrateur du cluster n'a pas besoin de tous les droits fournis par le rôle Administrateur vCenter Server.

Lorsqu'un administrateur ou un développeur de cluster crée un cluster, il fournit un compte utilisateur vCenter dans un fichier de configuration des identifiants. Nous recommandons d'attribuer au compte utilisateur vCenter répertorié dans un fichier de configuration des identifiants un ou plusieurs rôles personnalisés qui comportent les droits minimum nécessaires pour la création et la gestion des clusters.

Un administrateur d'organisation peut adopter deux approches différentes :

  • Créer plusieurs rôles avec des droits dvariables. Créer ensuite des autorisations qui attribuent ces rôles limités à un utilisateur ou à un groupe d'objets vSphere individuels.

  • Créez un rôle disposant de tous les droits nécessaires. Créez ensuite une autorisation globale qui attribue ce rôle à un utilisateur ou à un groupe particulier sur tous les objets de vos hiérarchies vSphere.

Nous vous recommandons la première approche, car elle limite l'accès et augmente la sécurité de votre environnement vCenter Server. Pour en savoir plus, consultez les pages Utiliser des rôles pour attribuer des droits et Bonnes pratiques concernant les rôles et les autorisations.

Pour en savoir plus sur l'utilisation de la seconde approche, consultez la page Créer une autorisation globale.

Le tableau suivant présente quatre rôles personnalisés qu'un administrateur d'organisation peut créer. L'administrateur peut ensuite utiliser les rôles personnalisés pour attribuer des autorisations sur des objets vSphere spécifiques :

Rôle personnaliséDroitsObjetsPropager aux objets
enfants ?
ClusterEditor System.Read
System.View
System.Anonymous
Host.Inventory. Modifier le cluster 		Cluster Yes
SessionValidator System.Read
System.View
System.Anonymous
Sessions.Validate session
Cns.Searchable
Profile-driven storage.Profile-driven storage view 		Serveur vCenter racine Non
ReadOnly System.Read
System.View
System.Anonymous 		centre de données
réseau 		Yes
Anthos Droits associés au rôle Anthos datastore
pool de ressources
Dossier de VM
réseau 		Yes

Droits associés au rôle personnalisé Anthos

Créer des rôles et des autorisations personnalisés

Un administrateur d'organisation peut utiliser l'outil de ligne de commande govc pour créer des rôles et des autorisations personnalisés.

L'administrateur de l'organisation doit disposer d'un compte serveur vCenter disposant des droits suffisants pour créer des rôles et des autorisations. Par exemple, un compte disposant du rôle d'administrateur serait approprié.

Avant d'exécuter govc, définissez certaines variables d'environnement :

  • Définissez GOVC_URL sur l'URL de votre instance vCenter Server.

  • Définissez GOVC_USERNAME sur le nom d'utilisateur du compte vCenter Server de l'administrateur de l'organisation.

  • Définissez GOVC_PASSWORD sur le mot de passe du compte vCenter Server de l'administrateur de l'organisation.

Exemple :

export GOVC_URL=vc-01.example
export GOVC_USERNAME=alice@vsphere.local
export GOVC_PASSWORD=8ODQYHo2Yl@

Créer des rôles personnalisés

Créez les rôles personnalisés ClusterEditor, SessionValidator et ReadOnly :

govc role.create ClusterEditor System.Read System.View System.Anonymous Host.Inventory.EditCluster
govc role.create SessionValidator System.Read System.View System.Anonymous Session.ValidateSessions Cns.Searchable StorageProfile.View
govc role.create ReadOnly System.Read System.View System.Anonymous

Créer une autorisation qui accorde le rôle ClusterEditor

Une autorisation utilise une paire (utilisateur, rôle) et l'associe à un objet. Lorsque vous attribuez une autorisation sur un objet, vous pouvez indiquer si celle-ci se propage aux objets enfants. Pour ce faire, définissez l'option --propagate sur true ou false avec govc. La valeur par défaut est false.

Créez une autorisation qui accorde le rôle ClusterEditor à un utilisateur sur un objet de cluster. Cette autorisation se propage à tous les objets enfants de l'objet de cluster :

govc permissions.set -principal ACCOUNT \
 -role ClusterEditor -propagate=true CLUSTER_PATH`

Remplacez les éléments suivants :

  • ACCOUNT : compte utilisateur vCenter Server disposant du rôle

  • CLUSTER_PATH : chemin d'accès du cluster dans la hiérarchie des objets vSphere

Par exemple, la commande suivante crée une autorisation qui associe la paire (bob@vsphere.local, ClusterEditor) à my-dc/host/my-cluster. L'autorisation se propage à tous les objets enfants de my-dc/host/my-cluster :

govc permissions.set -principal bob@vsphere.local \
    -role ClusterEditor -propagate=true my-dc/host/my-cluster

Créer des autorisations supplémentaires

Cette section donne des exemples de création d'autorisations supplémentaires. Remplacez les exemples de chemin d'accès aux objets selon les besoins de votre environnement.

Créez une autorisation qui attribue le rôle SessionValidator à un compte sur l'objet racine vCenter Server. Cette autorisation ne se propage pas aux objets enfants :

govc permissions.set -principal ACCOUNT \
    -role SessionValidator -propagate=false

Créez des autorisations qui accordent le rôle ReadOnly à un compte sur un objet de centre de données et un objet réseau. Ces autorisations se propagent aux objets enfants :

govc permissions.set -principal ACCOUNT \
    -role ReadOnly -propagate=true \
    /my-dc \
    /my-dc/network/my-net

Créez des autorisations qui attribuent le rôle Anthos à un compte sur quatre objets : un datastore, un dossier de VM, un pool de ressources et un réseau. Ces autorisations se propagent aux objets enfants :

govc permissions.set -principal ACCOUNT -role Anthos -propagate=true \
    /my-dc/datastore/my-ds  \
    /my-dc/vm/my-folder \
    /my-dc/host/my-cluster/Resources/my-rp \
    /my-dc/network/my-net

Créer une autorisation globale

Cette section propose une alternative à la création de plusieurs rôles et de plusieurs autorisations. Nous ne recommandons pas cette approche, car elle accorde un grand nombre de droits sur tous les objets de vos hiérarchies vSphere.

Si vous n'avez pas encore créé le rôle personnalisé Anthos, créez-le maintenant.

Créez une autorisation globale :

govc permissions.set -principal ACCOUNT \
 -role Anthos -propagate=true

Remplacez les éléments suivants :

Remplacez ACCOUNT par le compte d'utilisateur vCenter Server auquel le rôle est attribué

Par exemple, la commande suivante crée une autorisation globale qui attribue le rôle Anthos à bob@vsphere.local. L'autorisation se propage à tous les objets de vos hiérarchies vSphere :

govc permissions.set -principal bob@vsphere.local -role Anthos -propagate=true

Problèmes connus

Consultez la section Échec de l'installation lors de la création du disque de données vSphere.

Étapes suivantes

Exigences concernant le processeur, la RAM et l'espace de stockage