管理ワークステーションの作成

このドキュメントでは、クラスタの作成に使用できる管理ワークステーションを Anthos clusters on VMware（GKE on-prem）に作成する方法について説明します。

このドキュメントの手順では、gkeadm コマンドライン ツールを使用します。このツールは、64 ビット Linux、Windows 10、Windows Server 2019、macOS 10.15 以降で利用できます。

ここでは手順全体を詳しく解説します。管理ワークステーションの作成に関する概要については、管理ワークステーションの作成（クイックスタート）をご覧ください。

始める前に

vCenter サーバーのアドレスを確認します。

CA 証明書のパスを確認します。

Google Cloud CLI をインストールします。

複数の Google Cloud プロジェクトの使用の説明に従って、1 つ以上の Google Cloud プロジェクトを作成します。

サービス アカウントの計画

gkeadm を使用して管理ワークステーションを作成するときに、gkeadm でサービス アカウントとキーを自動的に作成することもできます。この場合、gkeadm により、適切な Identity and Access Management ロールがサービス アカウントに付与されます。

また、サービス アカウントとキーを手動で作成することもできます。その場合、IAM のロールをサービス アカウントに手動で付与する必要があります。

サービス アカウントを手動で作成すると、gkeadm で作成する場合よりもサービス アカウントを柔軟に作成できます。

  • 自動的に作成されたサービス アカウントはすべて connect プロジェクトの子になります。サービス アカウントを手動で作成する場合は、親 Google Cloud プロジェクトを選択できます。

  • 自動的に作成されるサービス アカウントには、connect プロジェクトに対する IAM ロールがすべて付与されます。connect プロジェクトがクラスタに関連付けられている唯一の Google Cloud プロジェクトであれば問題ありませんが、クラスタに複数の Google Cloud プロジェクトが関連付けられている場合は、選択した Google Cloud プロジェクトのサービス アカウントにロールを付与できるようにする必要があります。

独自のサービス アカウントを作成する場合は、サービス アカウントとキーの手順で作成してください。

gkeadm によって自動的にサービス アカウントを作成している場合でも、コンポーネント アクセス サービス アカウントは手動で作成する必要があります。コンポーネント アクセス サービス アカウントを作成して適切な IAM ロールを付与する方法については、コンポーネント アクセス サービス アカウントをご覧ください。

構成ファイルのテンプレートを生成する

現在のディレクトリに gkeadm をダウンロードします。

テンプレートを生成します。

./gkeadm create config

上記のコマンドにより、現在のディレクトリに次のファイルが作成されます。

  • credential.yaml
  • admin-ws-config.yaml

credential.yaml の入力

credential.yaml に vCenter のユーザー名とパスワードを入力します。例:

kind: CredentialFile
items:
- name: vCenter
  username: "my-account-name"
  password: "AadmpqGPqq!a"

admin-ws-config.yaml の入力

admin-ws-config.yaml のいくつかのフィールドには、デフォルト値や生成された値がすでに入力されています。入力された値をそのまま使用することも、必要に応じて変更することもできます。

入力が必要なフィールド

次の必須フィールドに入力します。フィールドに入力する方法については、管理ワークステーションの構成ファイルをご覧ください。

gcp:
   whitelistedServiceAccountKeyPath: "Fill in"
vCenter:
  credentials:
    address: "Fill in"
  datacenter: "Fill in"
  datastore: "Fill in"
  cluster: "Fill in"
  network: "Fill in"
  resourcePool: "Fill in"
  caCertPath: "Fill in"

管理ワークステーションがプロキシ サーバーの背後にある場合は、次のように proxyURL フィールドに入力します。

adminWorkstation:
  proxyURL: "Fill in"

管理ワークステーションが DHCP サーバーから IP アドレスを取得する場合は、ipAllocationMode を "dhcp" に設定して、hostconfig セクションを削除します。

adminWorkstation:
  network:
    ipAllocationMode: "dhcp"

管理ワークステーションに静的 IP アドレスを指定する場合は、ipAllocationMode を "static" に設定し、hostconfig セクションに入力します。

adminWorkstation:
  network:
    ipAllocationMode: "static"
    hostconfig:
      ip: "Fill in"
      gateway: "Fill in"
      netmask: "Fill in"
      dns:
      - "Fill in"

管理ワークステーションの作成

次のコマンドを入力して、管理ワークステーションを作成します。gkeadm でサービス アカウントを作成する場合は、--auto-create-service-accounts フラグを指定します。独自のサービス アカウントを手動で作成する場合は、このフラグを省略します。

./gkeadm create admin-workstation [--auto-create-service-accounts]

出力には、管理ワークステーションの作成に関する詳細情報が含まれます。

...
Getting ... service account...
...
********************************************************************
Admin workstation is ready to use.

Admin workstation information saved to /usr/local/google/home/me/my-admin-workstation
This file is required for future upgrades
SSH into the admin workstation with the following command:
ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1
********************************************************************

管理ワークステーションへの SSH 接続の確立

上記の出力の終わり付近に、管理ワークステーションへの SSH 接続に使用できるコマンドが表示されています。ここで、そのコマンドを入力します。例:

ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1

管理ワークステーション上のファイルを一覧表示します。

ls -1

出力には、コンポーネント アクセス サービス アカウントの 2 つのクラスタ構成ファイル（CA 証明書ファイルと JSON キーファイル）が表示されます。gkeadm によってサービス アカウントが作成されている場合には、そのサービス アカウントの JSON キーファイルも表示されます。

admin-cluster.yaml
user-cluster.yaml
vcenter-ca-cert.pem
component-access-key.json

管理ワークステーションで gkeadm がコンポーネント アクセス サービス アカウントを有効にしたことを確認します。

gcloud config get-value account

JSON キーファイルを管理ワークステーションにコピーする

クラスタを作成する前に、サービス アカウントの JSON キーファイルをホーム ディレクトリの管理ワークステーションにコピーする必要があります。

コンポーネント アクセス サービス アカウントのキーはすでに管理ワークステーションに存在します。

gkeadm create admin-workstation の実行時に --auto-create-service-accounts フラグを指定した場合、次のサービス アカウントのキーは、ホーム ディレクトリの管理ワークステーションにすでに存在しています。それ以外の場合は、管理ワークステーションのホーム ディレクトリに手動でキーをコピーする必要があります。

  • connect-register サービス アカウント
  • connect-agent サービス アカウント
  • logging-monitoring サービス アカウント

次のいずれかのサービス アカウントを作成した場合は、そのサービス アカウントのキーを管理ワークステーションのホーム ディレクトリに手動でコピーする必要があります。

  • 使用状況測定サービス アカウント
  • 監査ロギング サービス アカウント
  • Binary Authorization サービス アカウント

次のステップ

管理クラスタの作成