pkg.dev
dan gcr.io
menggunakan IP virtual (VIP) yang dibatasi saat Anda
menggunakan cluster pribadi Google Kubernetes Engine di perimeter layanan
Kontrol Layanan VPC.
Domain registry biasanya di-resolve ke alamat IP publik di internet. Di cluster pribadi GKE, node diisolasi dari internet secara default. Artinya, permintaan ke domain registry akan gagal jika Anda belum mengonfigurasi pemilihan rute DNS ke VIP yang dibatasi.
Cluster pribadi Anda harus selalu mengakses Artifact Registry atau Container Registry dengan VIP yang dibatasi untuk mencegah pemindahan data yang tidak sah dari layanan yang didukung ke layanan yang tidak didukung.Konfigurasikan akses terbatas untuk cluster pribadi GKE jika semua hal berikut terpenuhi:
- Anda menggunakan cluster pribadi GKE.
- Anda belum mengonfigurasi pemilihan rute domain registry
pkg.dev
ataugcr.io
kerestricted.googleapis.com
.
Sebelum memulai
Sebelum membuat perimeter layanan, siapkan cluster pribadi baru atau identifikasi cluster pribadi yang ada yang ingin Anda lindungi.
Selain itu, Anda harus mengizinkan egress ke 199.36.153.4/30 di port 443. Biasanya, jaringan VPC memiliki aturan tersirat yang mengizinkan semua traffic keluar ke tujuan mana pun. Namun, jika Anda memiliki aturan yang menolak traffic tersebut, Anda harus membuat aturan firewall egress untuk mengizinkan traffic TCP di port 443 ke 199.36.153.4/30.
Mengonfigurasi DNS
Konfigurasikan server DNS Anda sehingga permintaan ke alamat registry di-resolve ke
restricted.googleapis.com
, VIP yang dibatasi. Anda dapat melakukannya menggunakan zona DNS pribadi Cloud DNS.
Buat zona pribadi terkelola.
gcloud dns managed-zones create ZONE_NAME \ --visibility=private \ --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK \ --description=DESCRIPTION \ --dns-name=REGISTRY_DOMAIN \ --project=PROJECT_ID
Dengan keterangan:
ZONE_NAME
adalah nama untuk zona yang Anda buat. Contoh,registry
. Nama ini akan digunakan di setiap langkah berikut.PROJECT_ID
adalah ID project yang menghosting cluster pribadi GKE Anda.NETWORK
adalah daftar nama jaringan cluster opsional yang ingin Anda alihkan permintaannya.DESCRIPTION
adalah deskripsi zona terkelola yang dapat dibaca manusia.REGISTRY_DOMAIN
adalah domain untuk registry Anda:pkg.dev
untuk Artifact Registrygcr.io
untuk repositori Container Registry ataugcr.io
yang dihosting di Artifact Registry
Mulai transaksi.
gcloud dns record-sets transaction start \ --zone=ZONE_NAME \ --project=PROJECT_ID
Dengan keterangan:
ZONE_NAME adalah nama zona yang Anda buat di langkah pertama.
PROJECT_ID adalah ID project yang menghosting cluster pribadi GKE Anda.
Tambahkan data CNAME untuk registry Anda.
gcloud dns record-sets transaction add \ --name=*.REGISTRY_DOMAIN. \ --type=CNAME REGISTRY_DOMAIN. \ --zone=ZONE_NAME \ --ttl=300 \ --project=PROJECT_ID
Dengan keterangan:
ZONE_NAME
adalah nama zona yang Anda buat di langkah pertama.PROJECT_ID
adalah ID project yang menghosting cluster pribadi GKE Anda.REGISTRY_DOMAIN
adalah domain untuk registry Anda:pkg.dev
untuk Artifact Registrygcr.io
untuk repositori Container Registry ataugcr.io
yang dihosting di Artifact Registry
Tambahkan data A untuk VIP yang dibatasi.
gcloud dns record-sets transaction add \ --name=REGISTRY_DOMAIN. \ --type=A 199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7 \ --zone=ZONE_NAME \ --ttl=300 \ --project=PROJECT_ID
Dengan keterangan:
ZONE_NAME
adalah nama zona yang Anda buat di langkah pertama.PROJECT_ID
adalah ID project yang menghosting cluster pribadi GKE Anda.REGISTRY_DOMAIN
adalah domain untuk registry Anda:pkg.dev
untuk Artifact Registrygcr.io
untuk repositori Container Registry ataugcr.io
yang dihosting di Artifact Registry
Jalankan transaksi.
gcloud dns record-sets transaction execute \ --zone=ZONE_NAME \ --project=PROJECT_ID
Dengan keterangan:
ZONE_NAME adalah nama zona yang Anda buat di langkah pertama.
PROJECT_ID adalah ID project yang menghosting cluster pribadi GKE Anda.
Setelah Anda mengonfigurasi perutean DNS, pastikan GKE, registry, dan layanan lain yang diperlukan berada di dalam perimeter layanan Kontrol Layanan VPC. Untuk mengonfigurasi perimeter layanan, lihat bagian berikut.
Mengonfigurasi perimeter layanan
Setelah mengonfigurasi data DNS, lakukan hal berikut:
- Buat perimeter layanan baru atau perbarui perimeter yang ada.
- Tambahkan layanan Container Registry atau Artifact Registry ke daftar layanan yang ingin Anda lindungi menggunakan perimeter layanan.
- Tambahkan layanan yang didukung lainnya yang Anda gunakan dengan registry ke perimeter layanan, seperti Cloud Build, Artifact Analysis, dan Binary Authorization.
- Jika perlu mengakses Container Registry, Anda juga harus menambahkan Cloud Storage ke perimeter layanan.
Memverifikasi cara kerja perimeter
Setelah mengonfigurasi perimeter layanan, node Anda di cluster pribadi GKE dapat mengakses image container di Artifact Registry dan Container Registry jika image disimpan di project yang berada di perimeter layanan Anda.Image container dalam project di luar perimeter tetap tidak dapat diakses, kecuali untuk beberapa repositori publik khusus hanya baca.
Misalnya, jika project google-samples
tidak berada dalam perimeter layanan Anda,
menjalankan perintah untuk membuat deployment dari penampung hello-app
akan gagal:
Domain pkg.dev
kubectl create deployment hello-server --image=us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
Domain gcr.io
kubectl create deployment hello-server --image=gcr.io/google-samples/hello-app:1.0
Periksa status pod dengan perintah:
kubectl get pods
Perintah ini menampilkan tabel yang mirip dengan contoh berikut. Status pod
ErrImagePull
menunjukkan bahwa pull gagal.
NAME READY STATUS RESTARTS AGE
hello-server-dbd86c8c4-h5wsf 1/1 ErrImagePull 0 45s
Anda dapat menggunakan perintah kubectl describe pod
untuk melihat detail selengkapnya tentang deployment. Untuk pod dalam contoh sebelumnya, perintahnya adalah:
kubectl describe pod hello-server-dbd86c8c4-h5wsf