管理ワークステーションの作成

このドキュメントでは、GKE on VMware の管理ワークステーションを作成する方法について説明します。管理ワークステーションは、インストール中にクラスタをプロビジョニングするためのコマンドラインインターフェース（CLI）ツールと構成ファイルをホストします。また、インストール後に、プロビジョニングされたクラスタとやり取りするための CLI ツールもホストします。

ここでは手順全体を詳しく解説します。管理ワークステーションの作成に関する概要については、管理ワークステーションの作成（クイックスタート）をご覧ください。

管理ワークステーションを作成するには、次の 2 つの方法があります。

gkeadm を使用して、vSphere 環境に管理ワークステーション VM を作成します。
任意のパソコンでユーザー管理の管理ワークステーションを作成します。

`gkeadm`

gkeadm コマンドラインツールは、64 ビット Linux、Windows 10、Windows Server 2019、macOS 10.15 以降で使用できます。

準備

vCenter サーバーのアドレスを確認します。

CA 証明書のパスを確認します。

Google Cloud CLI をインストールする

複数の Google Cloud プロジェクトの使用の説明に従って、1 つ以上の Google Cloud プロジェクトを作成します。

サービスアカウントの計画

gkeadm を使用して管理ワークステーションを作成するときに、gkeadm でサービスアカウントとキーを自動的に作成することもできます。この場合、gkeadm により、適切な Identity and Access Management ロールがサービスアカウントに付与されます。

また、サービスアカウントとキーを手動で作成することもできます。その場合、IAM のロールをサービスアカウントに手動で付与する必要があります。

サービスアカウントを手動で作成すると、gkeadm で作成する場合よりもサービスアカウントを柔軟に作成できます。

自動的に作成されたサービスアカウントはすべて、コンポーネントアクセスサービスアカウントと同じ親 Google Cloud プロジェクトを持ちます。サービスアカウントを手動で作成する場合は、親 Google Cloud プロジェクトを選択できます。
自動的に作成されたサービスアカウントには、コンポーネントアクセスサービスアカウントの親の Google Cloud プロジェクトに対する IAM のロールがすべて付与されます。クラスタに関連付けられている Google Cloud プロジェクトが 1 つだけであれば問題ありませんが、クラスタに複数の Google Cloud プロジェクトが関連付けられている場合は、選択した Google Cloud プロジェクトのサービスアカウントにロールを付与できるようにする必要があります。

独自のサービスアカウントを作成する場合は、サービスアカウントとキーの手順で作成してください。

gkeadm によって自動的にサービスアカウントを作成している場合でも、コンポーネントアクセスサービスアカウントは手動で作成する必要があります。コンポーネントアクセスサービスアカウントを作成して適切な IAM ロールを付与する方法については、コンポーネントアクセスサービスアカウントをご覧ください。

構成ファイルのテンプレートを生成する

現在のディレクトリに gkeadm をダウンロードします。

テンプレートを生成します。

./gkeadm create config

上記のコマンドにより、現在のディレクトリに次のファイルが作成されます。

credential.yaml
admin-ws-config.yaml

`credential.yaml` の入力

credential.yaml に vCenter のユーザー名とパスワードを入力します。例:

kind: CredentialFile
items:
- name: vCenter
username: "my-account-name"
password: "AadmpqGPqq!a"

`admin-ws-config.yaml` の入力

admin-ws-config.yaml のいくつかのフィールドには、デフォルト値や生成された値がすでに入力されています。入力された値をそのまま使用することも、必要に応じて変更することもできます。

すでに入力されているフィールドを確認します。

vCenter:
credentials:
  fileRef:
  path: credential.yaml
  entry: vCenter

adminWorkstation:
name: gke-admin-ws-...
cpus: 4
memoryMB: 8192

diskGB: 100
dataDiskName: gke-on-prem-admin-workstation-data-disk,,,.vmdk
dataDiskMB: 512
network:
  ntpServer: ntp.ubuntu.com

入力が必要なフィールド

次の必須フィールドに入力します。フィールドに入力する方法については、管理ワークステーションの構成ファイルをご覧ください。

gcp:
 componentAccessServiceAccountKeyPath: "Fill in"
vCenter:
credentials:
  address: "Fill in"
datacenter: "Fill in"
datastore: "Fill in"
cluster: "Fill in"
network: "Fill in"
resourcePool: "Fill in"
caCertPath: "Fill in"

vSphere VM フォルダ内に管理ワークステーションを作成する場合は、vCenter.folder フィールドに入力します。

vCenter:
folder: "Fill in"

管理ワークステーションがプロキシサーバーの背後にある場合は、次のように proxyURL フィールドに入力します。

adminWorkstation:
proxyURL: "Fill in"

管理ワークステーションが DHCP サーバーから IP アドレスを取得する場合は、ipAllocationMode を "dhcp" に設定して、hostconfig セクションを削除します。

adminWorkstation:
network:
  ipAllocationMode: "dhcp"

管理ワークステーションに静的 IP アドレスを指定する場合は、ipAllocationMode を "static" に設定し、hostconfig セクションに入力します。

adminWorkstation:
network:
  ipAllocationMode: "static"
  hostconfig:
    ip: "Fill in"
    gateway: "Fill in"
    netmask: "Fill in"
    dns:
    - "Fill in"

SDK の account プロパティとして設定された Google アカウントは、SDK アカウントと呼ばれます。gkeadm コマンドラインツールは、SDK アカウントを使用して管理ワークステーション OVA をダウンロードし、Google Cloud プロジェクトでサービスを有効にします。

gkeadm によってサービスアカウントが自動的に作成されるようにする場合は、gkeadm でも SDK アカウントを使用してサービスアカウントとキーを作成し、サービスアカウントにロールを付与します。つまり gkeadm を実行して管理ワークステーションを作成する前に、SDK account プロパティを設定することが重要です。

出力には、SDK account プロパティの値が表示されます。次に例を示します。

[core]
account = my-name@google.com
disable_usage_reporting = False
Your active configuration is: [default]

SDK アカウントにロールを付与する

SDK アカウントには、コンポーネントアクセスサービスアカウントの親 Google Cloud プロジェクトに対する次の IAM ロールが必要です。これにより、gkeadm が Google Cloud プロジェクトでサービスを有効にできるようになります。

serviceUsage.serviceUsageAdmin

gkeadm によってサービスアカウントが自動的に作成されるようにする場合は、SDK アカウントに、コンポーネントアクセスサービスアカウントの親プロジェクトに対する次のロールも付与されている必要があります。これにより、gkeadm がサービスアカウントとキーを作成できるようになります。

resourcemanager.projectIamAdmin
iam.serviceAccountCreator
iam.serviceAccountKeyAdmin

Google Cloud プロジェクトにロールを付与するには、Google Cloud プロジェクトに対する特定の権限が必要です。詳細については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

必要な権限があれば、自分でロールを付与できます。それ以外の場合は、組織内の別のユーザーがロールを付与する必要があります。

必要なロールを SDK アカウントに付与するには:

Linux / macOS

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/serviceusage.serviceUsageAdmin"

Windows

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/serviceusage.serviceUsageAdmin"

以下を置き換えます。

PROJECT_ID: コンポーネントアクセスサービスアカウントの親の Google Cloud プロジェクトの ID
ACCOUNT: SDK アカウント

gkeadm がサービスアカウントを自動的に作成する場合に追加のロールを付与するには:

Linux / macOS

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/resourcemanager.projectIamAdmin"

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/iam.serviceAccountCreator"

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="user:ACCOUNT" \
  --role="roles/iam.serviceAccountKeyAdmin"

Windows

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/resourcemanager.projectIamAdmin"

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/iam.serviceAccountCreator"

gcloud projects add-iam-policy-binding PROJECT_ID ^
  --member="user:ACCOUNT" ^
  --role="roles/iam.serviceAccountKeyAdmin"

次のように置き換えます。

PROJECT_ID: コンポーネントアクセスサービスアカウントの親プロジェクトの ID
ACCOUNT: SDK アカウント

管理ワークステーションの作成

次のコマンドを入力して、管理ワークステーションを作成します。gkeadm でサービスアカウントを作成する場合は、--auto-create-service-accounts フラグを指定します。独自のサービスアカウントを手動で作成する場合は、このフラグを省略します。

./gkeadm create admin-workstation [--auto-create-service-accounts]

出力には、管理ワークステーションの作成に関する詳細情報が含まれます。

...
Getting ... service account...
...
********************************************************************
Admin workstation is ready to use.

Admin workstation information saved to /usr/local/google/home/me/my-admin-workstation
This file is required for future upgrades
SSH into the admin workstation with the following command:
ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1
********************************************************************

管理ワークステーションへの SSH 接続の確立

上記の出力の終わり付近に、管理ワークステーションへの SSH 接続に使用できるコマンドが表示されています。ここで、そのコマンドを入力します。例:

ssh -i /usr/local/google/home/me/.ssh/gke-admin-workstation ubuntu@172.16.5.1

管理ワークステーション上のファイルを一覧表示します。

ls -1

出力には、コンポーネントアクセスサービスアカウントの 2 つのクラスタ構成ファイル（CA 証明書ファイルと JSON キーファイル）が表示されます。gkeadm によってサービスアカウントが作成されている場合には、そのサービスアカウントの JSON キーファイルも表示されます。次に例を示します。

admin-cluster.yaml
user-cluster.yaml
vcenter-ca-cert.pem
component-access-key.json

管理ワークステーションで gkeadm がコンポーネントアクセスサービスアカウントを有効にしたことを確認します。

gcloud config get-value account

JSON キーファイルを管理ワークステーションにコピーする

クラスタを作成する前に、サービスアカウントの JSON キーファイルをホームディレクトリの管理ワークステーションにコピーする必要があります。

コンポーネントアクセスサービスアカウントのキーはすでに管理ワークステーションに存在します。

gkeadm create admin-workstation の実行時に --auto-create-service-accounts フラグを指定した場合、次のサービスアカウントのキーは、ホームディレクトリの管理ワークステーションにすでに存在しています。それ以外の場合は、管理ワークステーションのホームディレクトリに手動でキーをコピーする必要があります。

Connect-register サービスアカウント
logging-monitoring サービスアカウント

次のいずれかのサービスアカウントを作成した場合は、そのサービスアカウントのキーを管理ワークステーションのホームディレクトリに手動でコピーする必要があります。

使用状況測定サービスアカウント
監査ロギングサービスアカウント
Binary Authorization サービスアカウント

バックアップファイルから管理ワークステーションを復元する

管理ワークステーションをアップグレードすると、デフォルトで gkeadm upgrade コマンドによってバックアップファイルも保存されます。今後、管理ワークステーションがなくなった場合や、アップグレードした管理ワークステーション上に存在したファイルの一部が失われた場合は、バックアップファイルを使用して、アップグレード直後の状態に復元された管理ワークステーションを作成できます。

バックアップファイルから管理ワークステーションを作成するには、次のコマンドを実行します。

gkeadm create admin-workstation --restore-from-backup ADMIN_WORKSTATION_NAME-backup.tar.gz

ADMIN_WORKSTATION_NAME は、管理ワークステーションの名前に置き換えます。

ユーザー管理

管理ワークステーションとして機能するパソコンを選択します。Ubuntu または Red Hat Enterprise Linux（RHEL）を使用できます。要件は次のとおりです。

Ubuntu 20.04 LTS または 22.04 LTS
- 4 個の CPU コア
- 8 GiB の RAM
- 100 GiB のストレージ
RHEL 8.6、8.7、または 8.8
- 4 個の CPU コア
- 12 GB の RAM
- 256 GiB のストレージ

Google Cloud へのアクセス

管理者ワークステーションは、ツールのダウンロードとインストール、承認リクエストの処理、サービスアカウントの作成などを行うために、Google Cloud にアクセスできる必要があります。

Google Cloud に接続するさまざまな方法については、Google に接続するをご覧ください。

Google Cloud へのアクセスは直接またはプロキシサーバー経由になります。ファイアウォールルールとプロキシサーバーの構成については、プロキシとファイアウォールルールをご覧ください。

vCenter Server へのアクセス

管理ワークステーションからクラスタを作成して管理するには、vCenter Server のインスタンスにアクセスする必要があります。詳細については、以下をご覧ください。

NTP サーバーの設定

NTP サーバーを使用するようにクラスタが構成されている場合は、timedatectl がクラスタと同期した時刻を報告するように、管理ワークステーションに時刻同期サービスを設定する必要があります。これは、大きなクロックドリフトの問題を回避するために必要です。ドリフトの問題により、有効期限の不一致による証明書の検証が失敗する場合があります。

Ubuntu

chrony タイムサーバーを使用することをおすすめします。

chrony をインストールするには:

sudo apt-get update
sudo apt install chrony

これにより、次の 2 つのバイナリが提供されます。

chronyd - ネットワークタイムプロトコルを使用して同期し提供するデーモン
chronyc - chrony デーモンのコマンドラインインターフェース

chronyd を構成するには、次の手順を実行します。

/etc/chrony/chrony.conf を編集してサーバー行を追加または削除します。その後、chrony を再起動します。

sudo systemctl restart chrony.service

RHEL

chrony タイムサーバーを使用することをおすすめします。

インストール手順については、Chrony を構成する方法をご覧ください。

パスワードなしの sudo

セキュリティポリシーで許可されている場合は、現在のユーザーに対してパスワードなしの sudo を有効にします。これにより、gkectl では非公開レジストリが用意され、ネットワークがプロキシサーバーの背後にある場合は Docker のプロキシを設定し、削除が失敗した場合の管理クラスタのライフサイクルに使用するブートストラップクラスタを強制的に削除できます。

パスワードなしの sudo を有効にせず、管理クラスタに非公開レジストリを使用する場合は、管理クラスタを作成する前に次の手動構成を行います。

非公開レジストリの CA ルート証明書をこのディレクトリに配置します。
```
/etc/docker/certs.d/REGISTRY_ADDRESS/
```
REGISTRY_ADDRESS は、非公開レジストリを実行するマシンのアドレスに置き換えます。

詳細については、証明書を使用してリポジトリクライアントを確認するをご覧ください。
ネットワークがプロキシサーバーの背後にある場合は、管理クラスタの構成ファイル内のプロキシサーバーを指定し、プロキシサーバーを使用するように Docker を構成します。

パスワードなしの sudo を有効にしない場合は、管理クラスタの作成後に kind クラスタを手動で削除する必要があります。詳細については、トラブルシューティングドキュメントのKindクラスタが削除されないをご覧ください。

ソフトウェアをインストール

Ubuntu

以下のソフトウェアをインストールします。

Docker バージョン 19.03 以降: Ubuntu に Docker Engine をインストールするをご覧ください。root 以外のユーザーが Docker グループのメンバーであることを確認します。root 以外のユーザーとして Docker を管理するをご覧ください。
Google Cloud CLI の最新バージョン: gcloud CLI をインストールするをご覧ください。
kubectl: gcloud components install kubectl を実行するか、apt-get を使用します。

sudo apt-get update
sudo apt-get -y install kubectl

RHEL

以下のソフトウェアをインストールします。

Docker 19.03 以降

以前の Docker バージョンをすべて削除します。

sudo dnf remove docker \
  docker-client \
  docker-client-latest \
  docker-common \
  docker-latest \
  docker-latest-logrotate \
  docker-logrotate \
  docker-engine

podman-manpages を削除します。
```
sudo dnf remove podman-manpages
```

Docker 19.03 以降をインストールします。

sudo dnf install -y yum-utils

sudo yum-config-manager \
  --add-repo \
  https://download.docker.com/linux/centos/docker-ce.repo

sudo dnf install -y --allowerasing docker-ce docker-ce-cli containerd.io

sudo systemctl start docker

バージョン 19.03 以降が実行されていることを確認します。
```
sudo docker version
```
出力と次の例を比較して、クライアントとサーバーのバージョンが 19.03 以降であることを確認します。
```
Client: Docker Engine - Community
Version:           19.03.13
...
Server: Docker Engine - Community
Engine:
Version:          19.03.13
```
Docker が動作していることを確認します。
```
docker run hello-world
```
次のように表示されます。
```
Hello from Docker!
```
This message shows that your installation appears to be working correctly.

Google Cloud CLI の最新バージョン:

gcloud CLI をインストールするをご覧ください。

kubectl

gcloud components install kubectl を実行します。

SDK の account プロパティとして設定された Google アカウントは、SDK アカウントと呼ばれます。gkectl コマンドラインツールは、SDK アカウントを使用して、クラスタノードの OVA のダウンロード、コンテナイメージの pull などを行います。そのため、gkectl コマンドを実行する前に、SDK アカウントのプロパティを設定することが重要です。

任意の Google アカウントでログインします。SDK の account プロパティが設定されます。

gcloud auth login

SDK の account プロパティが正しく設定されていることを確認します。

gcloud config list

出力には、SDK account プロパティの値が表示されます。例:

[core]
account = my-name@google.com
disable_usage_reporting = False
Your active configuration is: [default]

gkectl とバンドルをダウンロードする

gkectl をインストールするディレクトリに移動します。

gkectl をダウンロードする

gsutil cp gs://gke-on-prem-release/gkectl/VERSION/gkectl ./
chmod +x gkectl

VERSION を GKE on VMware のバージョンに置き換えます。例: 1.16.0-gke.1

GKE on VMware バンドルをダウンロードします。バージョンが gkectl のダウンロードに使用したバージョンと一致することを確認します。

gsutil cp gs://gke-on-prem-release/gke-onprem-bundle/VERSION/gke-onprem-vsphere-VERSION.tgz ./

次のステップ

管理クラスタを作成する

管理ワークステーションの作成

gkeadm

準備

サービス アカウントの計画

構成ファイルのテンプレートを生成する

credential.yaml の入力

admin-ws-config.yaml の入力

入力が必要なフィールド

ログイン

SDK アカウントにロールを付与する

Linux / macOS

Windows

Linux / macOS

Windows

管理ワークステーションの作成

管理ワークステーションへの SSH 接続の確立

JSON キーファイルを管理ワークステーションにコピーする

バックアップ ファイルから管理ワークステーションを復元する

ユーザー管理

Google Cloud へのアクセス

vCenter Server へのアクセス

NTP サーバーの設定

Ubuntu

RHEL

パスワードなしの sudo

ソフトウェアをインストール

Ubuntu

RHEL

ログイン

gkectl とバンドルをダウンロードする

次のステップ

`gkeadm`

サービスアカウントの計画

`credential.yaml` の入力

`admin-ws-config.yaml` の入力

バックアップファイルから管理ワークステーションを復元する