Como criar uma estação de trabalho de administrador

Este documento mostra como criar uma estação de trabalho de administrador, para clusters do Anthos no VMware (GKE On-Prem), que podem ser usados para criar clusters.

Nas etapas deste documento, usamos a ferramenta de linha de comando gkeadm, disponível para Linux de 64 bits, Windows 10, Windows Server 2019 e macOS 10.15 e superior.

As instruções aqui são completas. Para uma introdução mais rápida à criação de uma estação de trabalho de administrador, consulte Criar uma estação de trabalho de administrador (guia de início rápido).

Antes de começar

Saber o endereço do servidor vCenter.

Conheça seu programa de certificação da CA.

Instale a Google Cloud CLI.

Crie um ou mais projetos do Google Cloud, conforme descrito em Como usar vários projetos do Google Cloud.

Como planejar suas contas de serviço

Ao usar gkeadm para criar uma estação de trabalho de administrador, é possível deixar que gkeadm crie a maioria das suas contas de serviço e chaves para você. Nesse caso, gkeadm também concede os papéis apropriados do gerenciamento de identidade e acesso às contas de serviço.

Como alternativa, crie as contas de serviço e as chaves manualmente. Nesse caso, você precisa conceder manualmente os papéis do IAM às suas contas de serviço.

Criar contas de serviço manualmente oferece mais flexibilidade do que gkeadm para criá-las:

  • As contas de serviço criadas automaticamente são todas as filhas do seu projeto de conexão. Ao criar uma conta de serviço manualmente, escolha o projeto pai do Google Cloud.

  • Todas as contas de serviço criadas automaticamente recebem papéis do IAM no projeto de conexão. Não será um problema se o projeto de conexão for o único projeto do Google Cloud associado aos clusters. No entanto, se você quiser associar seus clusters a vários projetos do Google Cloud, precisará de flexibilidade para conceder papéis a uma conta de serviço em um projeto do Google Cloud de sua escolha.

Se você decidir criar suas próprias contas de serviço, siga as instruções em Contas e chaves de serviço.

Se você tiver gkeadm como criar contas de serviço automaticamente, há uma conta de serviço que precisa ser criada manualmente: sua conta de serviço de acesso ao componente. Para saber como criar sua conta de serviço de acesso a componentes e conceder a ela os papéis apropriados do IAM, consulte Conta de serviço de acesso a componentes.

Como gerar modelos para seus arquivos de configuração

Faça o download de gkeadm no seu diretório atual.

Para gerar modelos:

./gkeadm create config

O comando acima criou esses arquivos no diretório atual:

  • credential.yaml
  • admin-ws-config.yaml

Preenchendo credential.yaml

Em credential.yaml, preencha o nome de usuário e senha do vCenter. Exemplo:

kind: CredentialFile
items:
- name: vCenter
  username: "my-account-name"
  password: "AadmpqGPqq!a"

Preenchendo admin-ws-config.yaml

Vários campos em admin-ws-config.yaml já estão preenchidos com valores padrão ou gerados. Mantenha os valores preenchidos ou faça alterações à medida que preferir.

Campos que você precisa preencher

Preencha os campos obrigatórios a seguir. Para informações sobre como preencher os campos, consulte Arquivo de configuração de estação de trabalho de administrador.

gcp:
   whitelistedServiceAccountKeyPath: "Fill in"
vCenter:
  credentials:
    address: "Fill in"
  datacenter: "Fill in"
  datastore: "Fill in"
  cluster: "Fill in"
  network: "Fill in"
  resourcePool: "Fill in"
  caCertPath: "Fill in"

Se a estação de trabalho de administrador estiver atrás de um servidor proxy, preencha o campo proxyURL:

adminWorkstation:
  proxyURL: "Fill in"

Se você quiser que sua estação de trabalho de administrador receba seu endereço IP de um servidor DHCP, defina ipAllocationMode como "dhcp" e remova a seção hostconfig:

adminWorkstation:
  network:
    ipAllocationMode: "dhcp"

Se você quiser especificar um endereço IP estático para sua estação de trabalho de administrador, defina ipAllocationMode como "static" e preencha a seção hostconfig:

adminWorkstation:
  network:
    ipAllocationMode: "static"
    hostconfig:
      ip: "Fill in"
      gateway: "Fill in"
      netmask: "Fill in"
      dns:
      - "Fill in"

Como criar sua estação de trabalho do administrador

Digite este comando para criar a estação de trabalho de administrador. Se quiser que gkeadm crie contas de serviço para você, inclua a sinalização --auto-create-service-accounts. Se você quiser criar manualmente suas próprias contas de serviço, omita a sinalização.

./gkeadm create admin-workstation [--auto-create-service-accounts]

A saída fornece informações detalhadas sobre a criação da estação de trabalho do administrador:

...
Getting ... service account...
...
********************************************************************
Admin workstation is ready to use.

Admin workstation information saved to /usr/local/google/home/me/my-admin-workstation
This file is required for future upgrades
SSH into the admin workstation with the following command:
ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1
********************************************************************

Como conseguir uma conexão SSH com a estação de trabalho do administrador

Próximo ao final da saída anterior, há um comando que pode ser usado para conseguir uma conexão SSH com a estação de trabalho de administrador. Digite esse comando agora. Exemplo:

ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1

Liste os arquivos na estação de trabalho do administrador:

ls -1

Na saída, é possível ver dois arquivos de configuração do cluster, o arquivo do certificado de CA e o arquivo de chave JSON para a conta de serviço do acesso a componentes. Se gkeadm criou contas de serviço para você, também será possível ver os arquivos de chave JSON dessas contas de serviço:

admin-cluster.yaml
user-cluster.yaml
vcenter-ca-cert.pem
component-access-key.json

Verifique se gkeadm ativou a conta de serviço de acesso a componentes na estação de trabalho de administrador:

gcloud config get-value account

Como copiar o arquivo de chave JSON para a estação de trabalho de administrador

Antes de criar um cluster, os arquivos de chave JSON das contas de serviço precisam estar na estação de trabalho de administrador no diretório inicial.

A chave da sua conta de serviço de acesso a componentes já está na estação de trabalho do administrador.

Se você incluiu a sinalização --auto-create-service-accounts ao executar gkeadm create admin-workstation, as chaves para as contas de serviço a seguir já estarão na estação de trabalho do administrador no diretório inicial. Caso contrário, copie as chaves manualmente para o diretório inicial da estação de trabalho de administrador:

  • Conta de serviço connect-register
  • Conta de serviço connect-agent
  • Conta de serviço logging-monitoring

Se você criou uma das contas de serviço a seguir, precisará copiar manualmente as chaves dessas contas de serviço para o diretório inicial da sua estação de trabalho de administrador:

  • Conta de serviço de medição de uso
  • Conta de serviço do Audit Logging
  • Conta de serviço de autorização binária

A seguir

Como criar um cluster de administrador