Google Cloud にあるクラスタをフリートに登録する

このページでは、Google Cloud にある GKE クラスタをフリートに追加する方法について説明します。プロジェクトとユースケースに応じて、登録には、Google Cloud コンソール、Terraform、Config Connector、Google Cloud CLI を使用できます。Google Cloud CLI、Google Cloud コンソール、Terraform を使用して、ワンステップで新しいクラスタを作成して登録することもできます。

始める前に

クラスタの登録に関する一般的な前提条件に従っていることを確認します。

ユースケースによっては、Google Cloud にある GKE クラスタの登録で、以下も必要になる場合があります。

登録済みのクラスタでフリート Workload Identity 連携を有効にする場合は（推奨）、GKE 用 Workload Identity 連携がクラスタで有効になっていることを確認します。Autopilot クラスタでは、GKE 用 Workload Identity 連携がデフォルトで有効になっています。
クラスタを別のプロジェクトのフリートに登録する（クロスプロジェクト登録とも呼ばれる）場合は、必要な権限が設定されていることを確認します。クロスプロジェクト登録されたクラスタで GKE Enterprise の機能を使用する場合は、選択したフリートのホストプロジェクトで GKE Enterprise を有効にする必要があります。クラスタのプロジェクトで有効にしても効果はありません。
Terraform または Config Connector を使用してクラスタを登録する場合は、ツールに Google Cloud サービスアカウントが設定され、ツールが Google Cloud で認証できるように構成されていることを確認します。
- Terraform 用のサービスアカウントを設定する
- Config Connector 用のサービスアカウントを設定する

Google Cloud にある GKE クラスタを登録する

前提条件で確認したとおり、GKE 用フリート Workload Identity 連携を有効にした GKE クラスタを登録することをおすすめします。これにより、アプリケーションが Google Cloud APIs とサービスに対して一貫した認証を行うことができます。GKE 用フリート Workload Identity 連携を有効にする利点については、GKE 用フリート Workload Identity 連携を使用するをご覧ください。次のいずれかの方法を使用してクラスタを登録すると、必要に応じて GKE 用フリート Workload Identity 連携を有効にできます。

クラスタの作成時に新しいクラスタを登録するか、既存のクラスタを登録するかを選択できます。

新しいクラスタを登録する

GKE Enterprise を有効にしている場合は、クラスタの作成時に新しいクラスタをフリートに登録することを強くおすすめします。このようにして「フリートで生成される」クラスタは、多くのエンタープライズ機能用に選択されているフリートレベルのデフォルト設定を使用し、推奨されるログと指標がすでに有効になった状態で作成されるためです。詳しくは、次のガイドをご覧ください。

GKE Enterprise を有効にしていない場合でも、この手順に沿ってクラスタの作成時にクラスタを登録できますが、フリートレベルのデフォルト構成は取得されません。

コンソール

Google Cloud コンソールで、関連するクラスタの作成ページに移動します。
- Autopilot クラスタを作成するには、[Autopilot クラスタの作成] ページに移動します。
  
  Autopilot クラスタを作成する
- Standard リージョンクラスタまたは Standard ゾーンクラスタを作成するには、[Kubernetes クラスタの作成] ページに移動します。
  
  Kubernetes クラスタを作成する
GKE のドキュメントの手順に沿って、Google Cloud コンソールから Autopilot、Standard リージョン、または Standard ゾーンクラスタを作成するセクションを完了します。
[フリート登録] セクションで、[フリートに登録する] チェックボックスをオンにします。デフォルトでは、フリート名はプロジェクト ID に基づいています。
残りのセクションに入力します。
Standard クラスタの作成を選択し、登録済みのクラスタでフリートの Workload Identity 連携を使用するには（推奨）、ナビゲーションパネルの [セキュリティ] をクリックして、[GKE 用 Workload Identity 連携を有効にする] が選択されていることを確認します。Autopilot クラスタではこの機能がデフォルトで有効になっています。
クラスタの詳細の確認が完了したら、[作成] をクリックし、クラスタを作成してフリートに登録します。

gcloud

以下のコマンドを使用するには gcloud CLI バージョン 450.0.0 以降が必要です。

Google Cloud CLI を使用してクラスタを登録すると、デフォルトで、クラスタはリージョンメンバーのロケーションになります。

新しい GKE Autopilot クラスタを作成して登録するには、次のコマンドを実行します。
```
gcloud container clusters create-auto CLUSTER_NAME --enable-fleet
```
CLUSTER_NAME は、作成するクラスタの一意の名前に置き換えます。この名前はクラスタのメンバーシップ名にもなります。選択したフリートにこの名前のクラスタがすでに存在する場合、コマンドからエラーが返されます。
GKE 用 Workload Identity 連携を有効にして新しい GKE Standard クラスタを作成して登録するには、次のコマンドを実行します。
```
gcloud container clusters create CLUSTER_NAME --enable-fleet \
--workload-pool=PROJECT_ID.svc.id.goog
```
次のように置き換えます。
- CLUSTER_NAME: 作成するクラスタの一意の名前。この名前はクラスタのメンバーシップ名にもなります。選択したフリートにこの名前のクラスタがすでに存在する場合、コマンドからエラーが返されます。
- PROJECT_ID: 新しいクラスタを所有するプロジェクトの Google Cloud プロジェクト ID。
Standard クラスタを作成する場合は、GKE 用 Workload Identity 連携を有効にしてクラスタを作成することをおすすめします。これにより、登録済みのクラスタでフリート Workload Identity 連携が有効になるためです。ただし、この機能を使用しない場合は、--workload-pool フラグを省略できます。Autopilot クラスタでは、GKE 用 Workload Identity 連携がデフォルトで有効になっています。

作成するクラスタに応じて、Standard ゾーン、Standard リージョン、Autopilot のクラスタを作成するための他のオプションも指定できます。Google Cloud CLI のデフォルトゾーンを構成していない場合は Compute Engine ゾーンを指定し、デフォルトプロジェクトを構成していない場合はクラスタを持つ Google Cloud プロジェクトを指定する必要があります。

さまざまなタイプの GKE クラスタの作成方法については、GKE のドキュメントをご覧ください。

Terraform

Terraform で GKE クラスタを作成して登録するには、google プロバイダを使用します。GKE クラスタの管理に使用される google_container_cluster リソースの完全なリファレンスは、Terraform レジストリにあります。

以下の手順で操作する前に、前提条件に記載のとおり、Terraform で使用するサービスアカウントが作成されていることを確認してください。

新しいクラスタを作成して登録するには、Terraform 構成に次のブロックを追加します。

google プロバイダを必須プロバイダとして指定します。

terraform {
  required_providers {
    google = {
      source = "hashicorp/google"
      version = "VERSION"
    }
  }
}

VERSION は 5.6.0 以降に置き換えます。

新しいクラスタを作成して登録します。
```
resource "google_container_cluster" "TF_CLUSTER_RESOURCE_NAME" {
  provider = google
  name               = "CLUSTER_NAME"
  location           = "ZONE"
  initial_node_count = 1
  fleet {
    project = "FLEET_HOST_PROJECT"
  }
}
```
次のように置き換えます。
- TF_CLUSTER_RESOURCE_NAME: 作成する新しい google_container_cluster リソースの一意の名前。
- CLUSTER_NAME: 作成して登録する新しい GKE クラスタの一意の名前。
- ZONE: GKE クラスタリソースのゾーン。例: us-central1-a。
- FLEET_HOST_PROJECT: クラスタを作成して登録する Google Cloud プロジェクト ID。設定しない場合、クラスタはフリートに登録されません。クラスタを別のプロジェクトのフリートに登録する場合は、別のプロジェクト ID を指定します。

既存のクラスタを登録する

次のオプションのうちの任意のものを使用して、既存のクラスタを同じプロジェクトのフリートまたは別のプロジェクトのフリートに登録します（Google Cloud コンソール以外のすべてのオプション）。GKE Enterprise へのアップグレード中に、既存クラスタの一部または全部を登録することもできます。

既存の GKE クラスタを登録する手順は次のとおりです。

コンソール

クラスタでフリート Workload Identity 連携を使用する場合は（推奨）、以下の手順で操作する前に、クラスタで GKE 用 Workload Identity 連携が有効になっていることを確認します。Autopilot クラスタでは、GKE 用 Workload Identity 連携がデフォルトで有効になっています。GKE 用 Workload Identity 連携があるクラスタでは、Google Cloud コンソールから登録するときに、フリート Workload Identity 連携が自動的に有効になります。

Google Cloud コンソールで、[GKE クラスタ] ページに移動します。

[GKE クラスタ] ページに移動
フリートに追加する未登録クラスタの横にある [登録] をクリックします。
表示される確認ダイアログで、再度 [登録] をクリックします。

gcloud

以下のコマンドを使用するには gcloud CLI バージョン 450.0.0 以降が必要です。

Google Cloud CLI を使用してクラスタを登録すると、デフォルトで、クラスタはリージョンメンバーのロケーションになります。

クラスタで GKE 用 Workload Identity 連携がすでに有効になっている場合、どちらのコマンドでもクラスタのフリート Workload Identity 連携が有効になります。

Google Cloud にある既存の GKE クラスタを同じプロジェクトのフリートに登録するには、次のコマンドを実行します。
```
gcloud container clusters update CLUSTER_NAME --enable-fleet
```
CLUSTER_NAME は、登録するクラスタの名前に置き換えます。この名前はクラスタのメンバーシップ名にもなります。
別のプロジェクトのフリートにクラスタを登録するには、次のように --fleet-project フラグを使用します。次のコマンドを実行する前に、プロジェクト間の登録に必要な権限を設定していることを確認してください。
```
gcloud container clusters update CLUSTER_NAME --fleet-project=PROJECT_ID_OR_NUMBER
```
- CLUSTER_NAME は、登録するクラスタの名前に置き換えます。この名前はクラスタのメンバーシップ名にもなります。
- PROJECT_ID_OR_NUMBER は、選択したフリートのホストプロジェクトのプロジェクト ID または番号に置き換えます。

Terraform

google プロバイダを使用して Terraform で GKE クラスタを登録できます。GKE クラスタの管理に使用される google_container_cluster リソースの完全なリファレンスは、Terraform レジストリにあります。

以下の手順で操作する前に、前提条件に記載のとおり、Terraform で使用するサービスアカウントが作成されていることを確認してください。

既存のクラスタを登録する

既存のクラスタを登録するには、クラスタの google_container_cluster リソース構成に次のブロックを追加します。

fleet {
        project = "FLEET_HOST_PROJECT"
      }

FLEET_HOST_PROJECT は、クラスタが属する Google Cloud プロジェクト ID に置き換えます。また、クラスタを別のプロジェクトのフリートに登録する場合は、別のプロジェクト ID に置き換えます。

登録済みのクラスタで GKE 用 Workload Identity 連携を有効にする

Terraform を使用すると、クラスタで GKE 用 Workload Identity 連携を有効にできます。

新規または既存のクラスタで GKE 用 Workload Identity 連携を有効にするには、関連するクラスタの google_container_cluster リソース構成に次のブロックを追加します。

  workload_identity_config {
    workload_pool = "PROJECT_ID.svc.id.goog"
  }
  ```

 Replace <code><var>PROJECT_ID</var></code> with the Google Cloud project ID for your Terraform resources.

Config Connector

Config Connector アドオンがインストールされている場合は、Config Connector を使用して GKE クラスタを登録できます。Config Connector のバージョンが 1.47.0 以降であることと、前提条件に記載のとおり、サービスアカウントが作成されていることを確認してください。

GKEHubMembership リソースの完全なリファレンスについては、Config Connector リファレンスドキュメントをご覧ください。

GKE クラスタを登録する

クラスタを登録するには、まず Config Connector ガイドの手順に沿って、リソースを作成する場所を指定します。その後、以下のように YAML ファイルを作成して登録し、必要に応じてクラスタを作成します。

GKE クラスタの作成と登録

次の簡単な例に示すように、GKE クラスタを作成します。
```
apiVersion: container.cnrm.cloud.google.com/v1beta1
kind: ContainerCluster
metadata:
  name: CLUSTER_NAME
spec:
  location: LOCATION
  initialNodeCount: 1
```
次のように置き換えます。
- CLUSTER_NAME: Config Connector で作成したクラスタを一意に表すために使用する名前。
- LOCATION: GKE クラスタリソースのプロビジョニングに選択したゾーンまたはリージョン。例: us-central1-a。
Config Connector を使用して GKE クラスタを作成する際のオプションの一覧については、Config Connector のドキュメントをご覧ください。
GKE クラスタのメンバーシップを登録します。
```
apiVersion: gkehub.cnrm.cloud.google.com/v1beta1
kind: GKEHubMembership
metadata:
  name: MEMBERSHIP_NAME
spec:
  location: MEMBERSHIP_LOCATION
  endpoint:
    gkeCluster:
      resourceRef:
        name: CLUSTER_NAME
```
次のように置き換えます。
- MEMBERSHIP_NAME: フリートに登録されているクラスタを一意に識別するために選択したメンバーシップ名。
- MEMBERSHIP_LOCATION: クラスタのメンバーシップを管理するフリートサービスのロケーション。これは、クラスタ自身のロケーション（推奨）または global のいずれかです。詳細については、フリートメンバーシップのロケーションをご覧ください。クラスタのロケーションと異なるロケーションは指定できません。指定すると、登録に失敗します。
- CLUSTER_NAME: Config Connector で作成したクラスタを一意に表すために使用する名前。

別のプロジェクトにクラスタを登録する

次のコードを GKEHubMembership リソースの metadata フィールドに追加して、クラスタを別プロジェクトのフリートに登録します。

   metadata:
     annotations:
       cnrm.cloud.google.com/project-id: FLEET_PROJECT_ID

次のように置き換えます。

FLEET_PROJECT_ID: GKE クラスタを登録するフリートのホストプロジェクト。

既存のクラスタを登録する

既存のクラスタを登録する場合は、作成された方法に関係なく、次の構成を使用します。この場合、Config Connector が見つけられるように、クラスタの完全なリソース名を指定する必要があります。GKEHubMembership リソースの resourceRef フィールドは、次のように置き換えます。

   resourceRef:
     external: //container.googleapis.com/CLUSTER_RESOURCE_NAME

次のように置き換えます。

CLUSTER_RESOURCE_NAME: GKE クラスタの Google Cloud リソース名。例: projects/my-project/zones/us-west1-a/clusters/my-cluster。

クラスタを Config Connector で作成した場合、完全修飾クラスタ名を指定する必要はありません。

登録済みのクラスタで GKE 用 Workload Identity 連携を有効にする

GKE 用 Workload Identity 連携を有効にする場合、クラスタの登録と同じ構成を使用しますが、次の追加手順があります。

ContainerCluster リソースの spec フィールドに次の記述を追加して、GKE 用 Workload Identity 連携を有効にします。これは、新しいクラスタと既存のクラスタの両方で行う必要があります。
```
spec:
  workloadIdentityConfig:
    workloadPool: PROJECT_ID.svc.id.goog
```
次のように置き換えます。
- PROJECT_ID: GKE クラスタリソースを作成するために名前空間アノテーションによって選択したデフォルトのプロジェクト。
GKEHubMembership リソースブロックの spec フィールドに次の記述を追加して、フリートの Workload Identity 連携を有効にします。
```
spec:
  authority:
    issuer: https://container.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME
}
```
次のように置き換えます。
- PROJECT_ID: GKE クラスタリソースを作成するために名前空間アノテーションによって選択したデフォルトのプロジェクト。
- LOCATION: GKE クラスタリソースのプロビジョニングに選択したゾーンまたはリージョン。例: us-central1-a。
- CLUSTER_NAME: 作成したクラスタを一意に表すために使用する名前。

トラブルシューティング

この設定中に問題が発生した場合は、トラブルシューティングガイドをご覧ください。

次のステップ

フリートメンバーシップのステータスを取得するで説明されているように、クラスタの登録が成功したことを確認し、他のフリートメンバーシップの詳細を取得する
登録済みクラスタに対して認証を設定する
- Google Cloud を使用
- サードパーティ ID を使用
Google Cloud コンソールからクラスタにログインする