Requisiti di vSphere

Cluster Anthos su VMware (GKE On-Prem) viene eseguito on-premise in un ambiente vSphere. Questo documento descrive i requisiti per il tuo ambiente vSphere.

Compatibilità delle versioni

I requisiti di vSphere variano a seconda della versione dei cluster Anthos su VMware in uso. Per ulteriori informazioni, consulta la matrice di compatibilità delle versioni per le versioni completamente supportate e per le versioni precedenti.

Versioni supportate

vSphere è il software di virtualizzazione server di VMware. vSphere include ESXi e vCenter Server.

Cluster Anthos su VMware supporta queste versioni di ESXi e vCenter Server:

  • 7.0 Aggiornamento 1 e successivi della versione 7.0

Se vuoi utilizzare il driver di vSphere Container Storage (CSI) o NFSv3, devi avere l'aggiornamento 7.0 o un aggiornamento successivo della versione 7.0.

Se vuoi creare snapshot del volume CSI, devi avere l'aggiornamento 3 7.0 o un aggiornamento successivo della versione 7.0.

Requisiti relativi alle licenze

Devi disporre di una delle seguenti licenze:

  • vSphere Enterprise Plus. Insieme alla licenza, devi disporre di un abbonamento all'assistenza valido.

  • Licenza vSphere Standard. Insieme alla licenza, devi disporre di un abbonamento all'assistenza valido. Con questa licenza, non puoi abilitare i gruppi di affinità. Inoltre, non puoi specificare un pool di risorse personalizzato. Devi utilizzare il pool di risorse predefinito.

Requisiti hardware

I cluster Anthos su VMware vengono eseguiti su un insieme di host fisici che eseguono l'hypervisor ESXi di VMware. Per informazioni sui requisiti hardware per ESXi, consulta la pagina Requisiti hardware ESXi.

Per gli ambienti di produzione, consigliamo vivamente quanto segue:

  • Abilita VMware Distributed Resource Scheduler (DRS).

  • Devi avere almeno quattro host ESXi per le tue VM del cluster.

  • Abilita il traffico di Network File Copy (NFC) tra gli host ESXi per consentire la condivisione dei modelli del sistema operativo, se prevedi di eseguire il deployment di Cluster Anthos su VMware su diversi cluster vSphere o pool di risorse all'interno dello stesso data center vSphere.

  • Imposta antiAffinityGroups.enabled su true nei file di configurazione del cluster.

Se imposti antiAffinityGroups.enabled su true, i cluster Anthos su VMware creano regole anti-affinità DRS per i tuoi nodi del cluster, determinando la loro distribuzione su almeno tre host ESXi fisici. Anche se le regole DRS richiedono che i nodi del cluster siano distribuiti su tre host ESXi, consigliamo vivamente di averne almeno quattro. Ciò ti impedisce di perdere il piano di controllo del cluster. Ad esempio, supponiamo di avere solo tre host ESXi e che il nodo del piano di controllo del cluster di amministrazione si trovi su un host ESXi che non riesce. La regola DRS impedisce che il nodo del piano di controllo venga posizionato su uno dei due host ESXi rimanenti.

Per la valutazione e la proof of concept, puoi impostare antiAffinityGroups.enabled su false e utilizzare un solo host ESXi. Per saperne di più, consulta la pagina Configurare un'infrastruttura minima.

Privilegi dell'account utente vCenter

Per configurare un ambiente vSphere, un amministratore dell'organizzazione potrebbe scegliere di utilizzare un account utente vCenter con il ruolo di amministratore vCenter Server. Questo ruolo fornisce accesso completo a tutti gli oggetti vSphere.

Una volta configurato l'ambiente vSphere, un amministratore del cluster può creare cluster di amministrazione e cluster utente. L'amministratore del cluster non ha bisogno di tutti i privilegi forniti dal ruolo Amministratore vCenter Server.

Quando un amministratore o uno sviluppatore del cluster crea un cluster, fornisce un account utente vCenter in un file di configurazione delle credenziali. Consigliamo di assegnare all'account utente vCenter elencato in un file di configurazione delle credenziali uno o più ruoli personalizzati che abbiano i privilegi minimi necessari per la creazione e la gestione del cluster.

Un amministratore dell'organizzazione può adottare due approcci:

  • Crea diversi ruoli con privilegi di vario tipo. Quindi crea le autorizzazioni che assegnano quei ruoli limitati a un utente o gruppo su singoli oggetti vSphere.

  • Crea un ruolo che disponga di tutti i privilegi necessari. Quindi crea un'autorizzazione globale che assegna il ruolo a un utente o gruppo specifico su tutti gli oggetti nelle gerarchie di vSphere.

Ti consigliamo il primo approccio, che limita l'accesso e aumenta la sicurezza del tuo ambiente vCenter Server. Per ulteriori informazioni, consulta Utilizzare i ruoli per assegnare privilegi e Best practice per i ruoli e le autorizzazioni

Per informazioni sull'utilizzo del secondo approccio, consulta Creare un'autorizzazione globale.

La tabella seguente mostra quattro ruoli personalizzati che un amministratore dell'organizzazione può creare. L'amministratore può quindi utilizzare i ruoli personalizzati per assegnare autorizzazioni su oggetti vSphere specifici:

Ruolo personalizzatoPrivilegiOggettiPropagare agli
oggetti secondari?
Editor cluster Sistema.Lettura
Sistema.Visualizzazione
Sistema.Anonimo
Host.Inventario.Modifica cluster 		cluster Sì
Convalida sessioni System.Read
System.View
System.Anonimo
Sessioni.Convalida sessione
Cns.Ricercabile
Archiviazione basata su profilo. 		Server vCenter root No
Sola lettura System.Read
System.View
System.Anonimo 		data center
rete 		Sì
Anthos Privilegi nel ruolo Anthos datastore
pool di risorse
cartella VM
rete 		Sì

Privilegi nel ruolo personalizzato Anthos

Creare ruoli e autorizzazioni personalizzati

Un amministratore dell'organizzazione può utilizzare lo strumento a riga di comando govc per creare autorizzazioni e ruoli personalizzati.

L'amministratore dell'organizzazione deve avere un account vCenter Server con privilegi sufficienti per la creazione di ruoli e autorizzazioni. Ad esempio, un account con il ruolo Amministratore sarebbe appropriato.

Prima di eseguire govc, imposta alcune variabili di ambiente:

  • Imposta GOVC_URL sull'URL dell'istanza di vCenter Server.

  • Imposta GOVC_USERNAME sul nome utente dell'account vCenter Server dell'amministratore.

  • Imposta GOVC_PASSWORD sulla password dell'account vCenter Server dell'amministratore.

Ad esempio:

export GOVC_URL=vc-01.example
export GOVC_USERNAME=alice@vsphere.local
export GOVC_PASSWORD=8ODQYHo2Yl@

Creazione di ruoli personalizzati

Crea i ruoli personalizzati ClusterEditor, SessionValidator e ReadOnly:

govc role.create ClusterEditor System.Read System.View System.Anonymous Host.Inventory.EditCluster
govc role.create SessionValidator System.Read System.View System.Anonymous Session.ValidateSessions Cns.Searchable StorageProfile.View
govc role.create ReadOnly System.Read System.View System.Anonymous

Crea un'autorizzazione che conceda il ruolo ClusterEditor

Un'autorizzazione accetta una coppia (utente, ruolo) e la associa a un oggetto. Quando assegni un'autorizzazione per un oggetto, puoi specificare se questa viene propagata agli oggetti secondari. Per farlo, govc imposta il flag --propagate su true o false. Il valore predefinito è false.

Creare un'autorizzazione che conceda il ruolo ClusterEditor a un utente in un oggetto cluster. Questa autorizzazione si propaga a tutti gli oggetti secondari dell'oggetto cluster:

govc permissions.set -principal ACCOUNT \
 -role ClusterEditor -propagate=true CLUSTER_PATH`

Sostituisci quanto segue:

  • ACCOUNT: l'account utente vCenter Server a cui viene concesso il ruolo

  • CLUSTER_PATH: il percorso del cluster nella gerarchia degli oggetti vSphere

Ad esempio, il seguente comando crea un'autorizzazione che associa la coppia (bob@vSphere.local, ClusterEditor a my-dc/host/my-cluster). L'autorizzazione si propaga a tutti gli oggetti secondari di my-dc/host/my-cluster:

govc permissions.set -principal bob@vsphere.local \
    -role ClusterEditor -propagate=true my-dc/host/my-cluster

Crea autorizzazioni aggiuntive

Questa sezione fornisce esempi di creazione di autorizzazioni aggiuntive. Sostituisci i percorsi degli oggetti di esempio secondo le necessità per il tuo ambiente.

Crea un'autorizzazione che conceda il ruolo SessionValidator a un account nell'oggetto root vCenter Server. Questa autorizzazione non viene propagata agli oggetti secondari:

govc permissions.set -principal ACCOUNT \
    -role SessionValidator -propagate=false

Creare autorizzazioni che concedono il ruolo ReadOnly a un account su un oggetto data center e un oggetto di rete. Queste autorizzazioni si propagano agli oggetti secondari:

govc permissions.set -principal ACCOUNT \
    -role ReadOnly -propagate=true \
    /my-dc \
    /my-dc/network/my-net

Crea le autorizzazioni che concedono il ruolo Anthos a un account su quattro oggetti: un datastore, una cartella VM, un pool di risorse e una rete. Queste autorizzazioni si propagano agli oggetti secondari:

govc permissions.set -principal ACCOUNT -role Anthos -propagate=true \
    /my-dc/datastore/my-ds  \
    /my-dc/vm/my-folder \
    /my-dc/host/my-cluster/Resources/my-rp \
    /my-dc/network/my-net

Crea un'autorizzazione globale

Questa sezione offre un'alternativa alla creazione di più ruoli e autorizzazioni. Questo approccio non è consigliato perché garantisce una vasta gamma di privilegi su tutti gli oggetti delle gerarchie di vSphere.

Se non hai già creato il ruolo personalizzato Anthos, crealo ora.

Crea un'autorizzazione globale:

govc permissions.set -principal ACCOUNT \
 -role Anthos -propagate=true

Sostituisci quanto segue:

Sostituisci ACCOUNT con l'account utente vCenter Server a cui viene concesso il ruolo

Ad esempio, il seguente comando crea un'autorizzazione globale che concede il ruolo Anthos a bob@vSphere.local. L'autorizzazione si propaga a tutti gli oggetti nelle gerarchie di vSphere:

govc permissions.set -principal bob@vsphere.local -role Anthos -propagate=true

Problemi noti

Vedi Il programma di installazione non riesce durante la creazione del disco dati vSphere.

Passaggi successivi

Requisiti di CPU, RAM e spazio di archiviazione