Crear una estación de trabajo de administrador

En este documento, se muestra cómo crear una estación de trabajo de administrador para Google Distributed Cloud. La estación de trabajo de administrador aloja las herramientas de la interfaz de línea de comandos (CLI) y archivos de configuración para aprovisionar clústeres durante la instalación, y las herramientas de la CLI con el objetivo de interactuar con los clústeres aprovisionados después de la instalación.

Las instrucciones que aparecen aquí están completas. Para obtener una introducción más corta a fin de crear una estación de trabajo de administrador, consulta Crea una estación de trabajo de administrador (guía de inicio rápido).

Existen dos maneras de crear una estación de trabajo de administrador:

  • Usa gkeadm para crear una VM de estación de trabajo de administrador en el entorno de vSphere.

  • Crea una estación de trabajo de administrador gestionada por el usuario en cualquier computadora que elijas.

gkeadm

Antes de comenzar

Conoce la dirección del servidor de vCenter.

Conoce tu ruta de acceso del certificado de CA.

Instala Google Cloud CLI.

Crea uno o más proyectos de Google Cloud como se describe en Usa varios proyectos de Google Cloud.

Planifica tus cuentas de servicio

Cuando usas gkeadm para crear una estación de trabajo de administrador, tienes la opción de dejar que gkeadm cree la mayoría de las cuentas de servicio y claves por ti. En ese caso, gkeadm también otorga las funciones adecuadas de Identity and Access Management a las cuentas de servicio.

Como alternativa, puedes crear tus cuentas de servicio y claves de forma manual. En ese caso, debes otorgar de forma manual las funciones de IAM a tus cuentas de servicio.

Cuando creas cuentas de servicio de forma manual, tienes más flexibilidad que permitir que gkeadm las cree por ti:

  • Las cuentas de servicio creadas de forma automática tienen el mismo proyecto superior de Google Cloud que tu cuenta de servicio de acceso a los componentes. Cuando creas una cuenta de servicio de forma manual, puedes elegir el proyecto superior de Google Cloud.

  • A todas las cuentas de servicio creadas de forma automática se les otorgan funciones de IAM en el proyecto superior de Google Cloud de tu cuenta de servicio de acceso a los componentes. Esto está bien si ese es el único proyecto de Google Cloud asociado con los clústeres. Sin embargo, si deseas asociar los clústeres con varios proyectos de Google Cloud, necesitas la flexibilidad para otorgar funciones a una cuenta de servicio en el proyecto de Google Cloud que elijas.

Si decides crear tus propias cuentas de servicio, sigue las instrucciones que se brindan en Claves y cuentas de servicio.

Independientemente de que gkeadm cree cuentas de servicio de forma automática por ti, hay una cuenta de servicio que debes crear de forma manual: la cuenta de servicio de acceso a componentes. A fin de obtener instrucciones para crear tu cuenta de servicio de acceso a componentes y otorgarle las funciones de IAM adecuadas, consulta Cuenta de servicio de acceso a componentes.

Hay otra cuenta de servicio que quizás debas crear de forma manual: la cuenta de servicio de registro de auditoría. Si deseas usar un cliente de la API de GKE On-Prem para administrar los clústeres de usuario, debes habilitar el registro de auditoría en el clúster de administrador.

Genera plantillas para tus archivos de configuración

Descarga gkeadm en tu directorio actual.

Genera plantillas:

./gkeadm create config

El comando anterior creó estos archivos en el directorio actual:

  • credential.yaml
  • admin-ws-config.yaml

Completa credential.yaml

En credential.yaml, completa tu nombre de usuario y contraseña de vCenter. Por ejemplo:

kind: CredentialFile
items:
- name: vCenter
username: "my-account-name"
password: "AadmpqGPqq!a"

Completa admin-ws-config.yaml

Varios campos en admin-ws-config.yaml ya se llenaron con valores predeterminados o generados. Puedes conservar los valores propagados o realizar los cambios que prefieras.

Campos que debes completar

Completa los siguientes campos obligatorios. Si deseas obtener información para completar los campos, consulta Archivo de configuración de la estación de trabajo de administrador.

gcp:
 componentAccessServiceAccountKeyPath: "Fill in"
vCenter:
credentials:
  address: "Fill in"
datacenter: "Fill in"
datastore: "Fill in"
cluster: "Fill in"
network: "Fill in"
resourcePool: "Fill in"
caCertPath: "Fill in"

Si deseas crear la estación de trabajo de administrador dentro de una carpeta de VM de vSphere, completa el campo vCenter.folder:

vCenter:
folder: "Fill in"

Si tu estación de trabajo de administrador estará detrás de un servidor proxy, completa el campo proxyURL:

adminWorkstation:
proxyURL: "Fill in"

Si quieres que tu estación de trabajo de administrador obtenga su dirección IP de un servidor DHCP, configura ipAllocationMode como "dhcp" y quita la sección hostconfig:

adminWorkstation:
network:
  ipAllocationMode: "dhcp"

Si deseas especificar una dirección IP estática para tu estación de trabajo de administrador, configura ipAllocationMode como "static" y completa la sección hostconfig:

adminWorkstation:
network:
  ipAllocationMode: "static"
  hostconfig:
    ip: "Fill in"
    gateway: "Fill in"
    netmask: "Fill in"
    dns:
    - "Fill in"

Cómo acceder

  1. Accede con cualquier Cuenta de Google. Esto establece la propiedad account de tu SDK:
gcloud auth login
  1. Verifica que la propiedad account de tu SDK esté configurada correctamente:
gcloud config list
  1. La Cuenta de Google que está configurada como la propiedad account del SDK se llama cuenta del SDK. La herramienta de línea de comandos de gkeadm usa tu cuenta del SDK para descargar el OVA de la estación de trabajo de administrador y habilitar los servicios en tu proyecto de Google Cloud.

Si eliges hacer que gkeadm cree cuentas de servicio automáticamente por ti, entonces gkeadm también usa tu cuenta de SDK para crear claves y cuentas de servicio, y otorgar roles a las cuentas de servicio. Por lo tanto, es importante que establezcas la propiedad account de tu SDK antes de ejecutar gkeadm para crear una estación de trabajo de administrador.

En el resultado, se muestran los valores de la propiedad account de tu SDK. Por ejemplo:

[core]
account = my-name@google.com
disable_usage_reporting = False
Your active configuration is: [default]

Otorga roles a tu cuenta del SDK

Tu cuenta del SDK debe tener la siguiente función de IAM en el proyecto principal de Google Cloud de la cuenta de servicio de acceso a los componentes. Esto es para que gkeadm pueda habilitar servicios en el proyecto de Google Cloud.

  • serviceUsage.serviceUsageAdmin

Si eliges que gkeadm cree cuentas de servicio automáticamente por ti, la cuenta del SDK también debe tener los siguientes roles en el proyecto superior de la cuenta de servicio de acceso a los componentes. Esto es para que gkeadm pueda crear cuentas de servicio y claves.

  • resourcemanager.projectIamAdmin
  • iam.serviceAccountCreator
  • iam.serviceAccountKeyAdmin

Para otorgar funciones en un proyecto de Google Cloud, debes tener ciertos permisos en el proyecto. Para obtener detalles, consulta Otorga, cambia y revoca el acceso a los recursos.

Si tienes los permisos necesarios, puedes otorgar las funciones tú mismo. De lo contrario, alguien de tu organización deberá otorgar las funciones por ti.

Para otorgar el rol necesaria a tu cuenta del SDK, ejecuta lo siguiente:

Linux y macOS

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/serviceusage.serviceUsageAdmin"

Windows

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/serviceusage.serviceUsageAdmin"

Reemplaza lo siguiente:

  • PROJECT_ID: Es el ID del proyecto superior de Google Cloud de la cuenta de servicio de acceso a los componentes.

  • ACCOUNT: Es tu cuenta del SDK.

Para otorgar funciones adicionales en caso de que desees que gkeadm cree cuentas de servicio automáticamente, haz lo siguiente:

Linux y macOS

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/resourcemanager.projectIamAdmin"

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/iam.serviceAccountCreator"

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/iam.serviceAccountKeyAdmin"

Windows

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/resourcemanager.projectIamAdmin"

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/iam.serviceAccountCreator"

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/iam.serviceAccountKeyAdmin"

Reemplaza lo siguiente:

  • PROJECT_ID: Es el ID del proyecto superior de tu cuenta de servicio de acceso a los componentes.

  • ACCOUNT: Es tu cuenta del SDK.

Crea tu estación de trabajo de administrador

Ingresa este comando para crear tu estación de trabajo de administrador. Si deseas que gkeadm cree las cuentas de servicio del connect-register y de la supervisión de registros por ti, incluye la marca --auto-create-service-accounts. Si deseas crear esas cuentas de servicio de servicio de forma manual, omite la marca.

./gkeadm create admin-workstation [--auto-create-service-accounts]

En el resultado, se proporciona información detallada sobre la creación de tu estación de trabajo de administrador;

...
Getting ... service account...
...
********************************************************************
Admin workstation is ready to use.

Admin workstation information saved to /usr/local/google/home/me/my-admin-workstation
This file is required for future upgrades
SSH into the admin workstation with the following command:
ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1
********************************************************************

Obtén una conexión SSH a tu estación de trabajo de administrador

Cerca del final del resultado anterior, hay un comando que puedes usar para obtener una conexión SSH a tu estación de trabajo de administrador. Ingresa ese comando ahora. Por ejemplo:

ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1

Enumera los archivos en tu estación de trabajo de administrador:

ls -1

En el resultado, puedes ver dos archivos de configuración de clúster, el archivo de certificado de CA y el archivo de claves JSON para tu cuenta de servicio de acceso a componentes. Si gkeadm creó cuentas de servicio por ti, también puedes ver los archivos de claves JSON para esas cuentas de servicio. Por ejemplo:

admin-cluster.yaml
user-cluster.yaml
vcenter-ca-cert.pem
component-access-key.json

Verifica que gkeadm haya activado tu cuenta de servicio de acceso de componentes en la estación de trabajo de administrador:

gcloud config get-value account

Copia archivos de claves JSON en la estación de trabajo de administrador

Antes de crear un clúster, los archivos de claves JSON para tus cuentas de servicio deben estar en tu estación de trabajo de administrador en el directorio principal.

La clave para tu cuenta de servicio de acceso a componentes ya se encuentra en tu estación de trabajo de administrador.

Si incluiste la marca --auto-create-service-accounts cuando ejecutaste gkeadm create admin-workstation, las claves para las siguientes cuentas de servicio ya se encuentran en tu estación de trabajo de administrador en el directorio principal. De lo contrario, debes copiar de forma manual las claves en el directorio principal de tu estación de trabajo de administrador:

  • Cuenta de servicio del registro de Connect
  • Cuenta de servicio de supervisión de registros

Si creaste alguna de las siguientes cuentas de servicio, debes copiar de forma manual las claves de esas cuentas en el directorio principal de tu estación de trabajo de administrador:

  • Cuenta de servicio de medición de uso
  • Cuenta de servicio de registro de auditoría
  • Cuenta de servicio de autorización binaria

Restablece la estación de trabajo de administrador a partir de un archivo de copia de seguridad

Cuando actualizas una estación de trabajo de administrador, el comando gkeadm upgrade guarda un archivo de copia de seguridad. Más adelante, si ya no tienes una estación de trabajo de administrador, o si perdiste algunos de los archivos que estaban en tu estación de trabajo de administrador actualizada, puedes usar este archivo de copia de seguridad para crear una estación de trabajo de administrador que se restablezca a lo que estaba en su lugar inmediatamente después de la actualización.

Para crear una estación de trabajo de administrador a partir de un archivo de copia de seguridad, ejecuta este comando:

gkeadm create admin-workstation --restore-from-backup ADMIN_WORKSTATION_NAME-backup.tar.gz

Reemplaza ADMIN_WORKSTATION_NAME por el nombre de la estación de trabajo de administrador.

Administrada por el usuario

Elige una computadora para que funcione como tu estación de trabajo de administrador. Puedes usar Ubuntu o Red Hat Enterprise Linux (RHEL). Estos son los requisitos:

  • Ubuntu 20.04 LTS o 22.04 LTS

    • 4 núcleos de CPU
    • 8 GiB de RAM
    • 100 GiB de almacenamiento

  • RHEL 8.6, 8.7 u 8.8

    • 4 núcleos de CPU
    • 12 GB de RAM
    • 256 GiB de almacenamiento

Acceso a Google Cloud

La estación de trabajo de administrador debe tener acceso a Google Cloud para descargar e instalar herramientas, procesar solicitudes de autorización, crear cuentas de servicio y mucho más.

Para obtener información sobre las diferentes formas de conectarse a Google Cloud, consulta Conéctate a Google.

El acceso a Google Cloud puede ser directo o a través de un servidor proxy. Para obtener más información sobre las reglas de firewall y la configuración de un servidor proxy, consulta Reglas de proxy y firewall.

Acceso a vCenter Server

Para crear y administrar clústeres desde la estación de trabajo de administrador, necesitas acceso a la instancia de vCenter Server. Para obtener más información, consulta lo siguiente:

Configurar un servidor NTP

Cuando el clúster está configurado para usar un servidor NTP, debes configurar un servicio de sincronización de tiempo en la estación de trabajo de administrador a fin de asegurarte de que timedatectl informe la hora sincronizada con el clúster. Esto es necesario para evitar grandes problemas de desvío de reloj, que pueden provocar fallas en la verificación de certificados debido a fechas de vencimiento sin coincidencias.

Ubuntu

Te recomendamos que uses el servidor de hora chrony.

Para instalar chrony, haz lo siguiente:

sudo apt-get update
sudo apt install chrony

Esto proporciona dos objetos binarios:

  • chronyd: Es el daemon que se sincronizará y entregará mediante el protocolo NTP.
  • chronyc: La interfaz de línea de comandos para el daemon chrony

Para configurar chronyd, haz lo siguiente:

Edita /etc/chrony/chrony.conf para agregar o quitar líneas de servidor. Luego, reinicia chrony:

sudo systemctl restart chrony.service

RHEL

Te recomendamos que uses el servidor de hora chrony.

Para obtener instrucciones de instalación, consulta Cómo configurar Chrony.

Sudo sin contraseña

Si la política de seguridad lo permite, habilita el sudo sin contraseña para el usuario actual. Esto permite que gkectl prepare un registro privado (si se proporciona uno), configure el proxy de Docker si tu red está detrás de un servidor proxy y fuerce la eliminación del clúster de arranque que se usa para las operaciones del ciclo de vida del clúster de administrador en caso de que la eliminación falle.

Si decides no habilitar el sudo sin contraseña y tienes la intención de usar un registro privado para el clúster de administrador, realiza la siguiente configuración manual antes de crear el clúster de administrador:

Si eliges no habilitar el sudo sin contraseña, es posible que debas borrar de forma manual el clúster kind después de crear un clúster de administrador. Para obtener más información, consulta El clúster de similares no se borra en la documentación de solución de problemas.

Instalar el software

Ubuntu

Instala el siguiente software:

sudo apt-get update
sudo apt-get -y install kubectl

RHEL

Instala el siguiente software:

Docker 19.03 o versiones posteriores

  1. Quita cualquier versión anterior de Docker:

    sudo dnf remove docker \
  docker-client \
  docker-client-latest \
  docker-common \
  docker-latest \
  docker-latest-logrotate \
  docker-logrotate \
  docker-engine

  2. Quita podman-manpages:

    sudo dnf remove podman-manpages

  3. Instala Docker 19.03+:

    sudo dnf install -y yum-utils

sudo yum-config-manager \
  --add-repo \
  https://download.docker.com/linux/centos/docker-ce.repo

sudo dnf install -y --allowerasing docker-ce docker-ce-cli containerd.io

sudo systemctl start docker

  4. Verifica que se esté ejecutando la versión 19.03+:

    sudo docker version

  5. Compara tu resultado con el siguiente ejemplo para garantizar que las versiones de cliente y servidor sean 19.03+:

    Client: Docker Engine - Community
Version:           19.03.13
...
Server: Docker Engine - Community
Engine:
Version:          19.03.13

  6. Verifica que se ejecute Docker:

    docker run hello-world

    Deberías ver un resultado similar a este:

    Hello from Docker!

    This message shows that your installation appears to be working correctly.

Versión más reciente de Google Cloud CLI:

Consulta Instala gcloud CLI.

kubectl

Ejecuta gcloud components install kubectl.

Acceder

La Cuenta de Google que está configurada como la propiedad account del SDK se llama cuenta del SDK. La herramienta de línea de comandos de gkectl usa tu cuenta del SDK para descargar OVA del nodo del clúster, extraer imágenes de contenedor y mucho más. Por lo tanto, es importante que configures la propiedad de tu cuenta del SDK antes de ejecutar comandos gkectl.

Accede con cualquier Cuenta de Google. Esto establece la propiedad account de tu SDK:

gcloud auth login

Verifica que la propiedad account de tu SDK esté configurada correctamente:

gcloud config list

En el resultado, se muestran los valores de la propiedad account de tu SDK. Por ejemplo:

[core]
account = my-name@google.com
disable_usage_reporting = False
Your active configuration is: [default]

Descarga gkectl y el paquete

Navega hasta un directorio en el que desees instalar gkectl.

Descargar gkectl:

gsutil cp gs://gke-on-prem-release/gkectl/VERSION/gkectl ./
chmod +x gkectl

Reemplaza VERSION por la versión de Google Distributed Cloud. Por ejemplo: 1.16.0-gke.1.

Descarga el paquete de Google Distributed Cloud. Asegúrate de que la versión coincida con la que usaste para descargar gkectl:

gsutil cp gs://gke-on-prem-release/gke-onprem-bundle/VERSION/gke-onprem-vsphere-VERSION.tgz ./

Cuentas de servicio y claves

Asegúrate de haber creado las siguientes cuentas de servicio obligatorias y los archivos de claves JSON:

Además, asegúrate de haber creado las cuentas de servicio opcionales y los archivos de claves JSON que necesites:

Coloca todos los archivos de claves JSON en el directorio principal de la estación de trabajo de administrador.

Soluciona problemas

En la siguiente sección, se vuelve a habilitar el acceso SSH a la estación de trabajo de administrador en caso de que la Llave SSH se pierda o se dañe.

Recuperación de la clave SSH

Usa una VM temporal para realizar los siguientes pasos:

  1. Para generar un nuevo conjunto de claves SSH, sigue las instrucciones en Crea claves SSH en la documentación de Compute Engine.

  2. Asegúrate de que la VM temporal y la estación de trabajo de administrador tengan el estado Powered Off.

  3. En vSphere, conecta el disco de arranque de la estación de trabajo de administrador a la VM temporal.

    El disco de arranque tiene la etiqueta Hard disk 1.

  4. Activa el disco de arranque dentro de la VM mediante la ejecución de los siguientes comandos:

    sudo mkdir -p /mnt/boot-disk
sudo mount DISK_ID /mnt/boot-disk

    Reemplaza DISK_ID por el identificador de tu disco de arranque, que debe tener un formato similar a dev/sdc1.

  5. Edita el archivo authorized_keys en el disco de arranque para agregar el contenido del archivo de clave pública generado en el primer paso:

    vi /mnt/boot-disk/.ssh/authorized_keys

  6. Apaga la VM temporal.

  7. Enciende la estación de trabajo de administrador

  8. Usa la clave privada recién generada para acceder a la estación de trabajo de administrador.

    ssh -i ~/.ssh/new-admin-ws.key ubuntu@"${ADMIN_WS_IP}"

Usa la clave privada recién generada para seguir accediendo a tu estación de trabajo de administrador.

¿Qué sigue?

Crear un clúster de administrador