このドキュメントでは、VPC Service Controls のサービス境界で Google Kubernetes Engine 限定公開クラスタを使用するときに、制限付きの仮想 IP（VIP）を使用して pkg.dev および gcr.io ドメインにリクエストをルーティングするように DNS エントリを構成する方法について説明します。
これらのレジストリ ドメインは通常、インターネット上のパブリック IP アドレスに解決されます。GKE 限定公開クラスタでは、ノードはデフォルトでインターネットから隔離されています。つまり、制限付き VIP への DNS ルーティングが構成されていない場合、レジストリへのリクエストは失敗します。
限定公開クラスタは、サポートされているサービスからサポートされていないサービスへのデータの引き出しを防ぐため、制限付き VIP を使用して Artifact Registry または Container Registry に常にアクセスする必要があります。
この手順は、次の場合にのみ必要です。
- GKE 限定公開クラスタを使用している。
pkg.devまたはgcr.ioレジストリ ドメインのrestricted.googleapis.comへのルーティングをまだ構成していない。
準備
サービス境界を作成する前に、新しい限定公開クラスタを設定するか、既存の限定公開クラスタの中から保護するクラスタを選択します。
また、ポート 443 で 199.36.153.4/30 への外向き（下り）を許可する必要があります。通常、VPC ネットワークには、任意の宛先へのすべての外向き（下り）トラフィックを許可する暗黙ルールがあります。ただし、このようなトラフィックを拒否するルールがある場合は、ポート 443 で 199.36.153.4/30 への TCP トラフィックを許可する外向き（下り）ファイアウォール ルールを作成する必要があります。
DNS の構成
レジストリ アドレスに対するリクエストが、制限付き VIP の restricted.googleapis.com に解決されるように DNS サーバーを構成します。これを行うには、Cloud DNS の非公開 DNS ゾーンを使用します。
非公開のマネージド ゾーンを作成します。
gcloud dns managed-zones create ZONE_NAME \ --visibility=private \ --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK \ --description=DESCRIPTION \ --dns-name=REGISTRY_DOMAIN \ --project=PROJECT_IDここで
ZONE_NAME は、作成するゾーンの名前です。例:
registryこの名前は、以降のステップでも使用します。PROJECT_ID は、GKE 限定公開クラスタをホストするプロジェクトの ID です。
NETWORK は、リクエストのリダイレクト元のクラスタ ネットワークの名前のリストです（省略可）。
DESCRIPTION は、人間が読める形式のマネージド ゾーンの説明です。
REGISTRY_DOMAIN は、レジストリのドメインです。
pkg.dev（Artifact Registry の場合）gcr.io（Container Registry の場合）または Artifact Registry でホストされている gcr.io リポジトリ
トランザクションを開始します。
gcloud dns record-sets transaction start \ --zone=ZONE_NAME \ --project=PROJECT_IDここで
ZONE_NAME は、最初の手順で作成したゾーンの名前です。
PROJECT_ID は、GKE 限定公開クラスタをホストするプロジェクトの ID です。
レジストリの CNAME レコードを追加します。
gcloud dns record-sets transaction add \ --name=*.REGISTRY_DOMAIN. \ --type=CNAME REGISTRY_DOMAIN. \ --zone=ZONE_NAME \ --ttl=300 \ --project=PROJECT_IDここで
ZONE_NAME は、最初の手順で作成したゾーンの名前です。
PROJECT_ID は、GKE 限定公開クラスタをホストするプロジェクトの ID です。
REGISTRY_DOMAIN は、レジストリのドメインです。
pkg.dev（Artifact Registry の場合）gcr.io（Container Registry の場合）または Artifact Registry でホストされている gcr.io リポジトリ
制限付き VIP の A レコードを追加します。
gcloud dns record-sets transaction add \ --name=REGISTRY_DOMAIN. \ --type=A 199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7 \ --zone=ZONE_NAME \ --ttl=300 \ --project=PROJECT_IDここで
ZONE_NAME は、最初の手順で作成したゾーンの名前です。
PROJECT_ID は、GKE 限定公開クラスタをホストするプロジェクトの ID です。
REGISTRY_DOMAIN は、レジストリのドメインです。
pkg.dev（Artifact Registry の場合）gcr.io（Container Registry の場合）または Artifact Registry でホストされている gcr.io リポジトリ
トランザクションを実行します。
gcloud dns record-sets transaction execute \ --zone=ZONE_NAME \ --project=PROJECT_IDここで
ZONE_NAME は、最初の手順で作成したゾーンの名前です。
PROJECT_ID は、GKE 限定公開クラスタをホストするプロジェクトの ID です。
DNS ルーティングを構成したら、GKE、レジストリ、その他の必要なサービスが VPC Service Controls のサービス境界内にあることを確認します。サービス境界を構成するには、次のセクションをご覧ください。
サービス境界を構成する
DNS レコードを構成した後、新しいサービス境界を作成するか、既存の境界を更新して、サービス境界で保護するサービスのリストに Container Registry または Artifact Registry サービスを追加します。
次の特長があります。
- レジストリで使用するほかのサポート対象のサービスを Cloud Build、Artifact Analysis、Binary Authorization などのサービス境界に追加します。
- Container Registry の場合は、Cloud Storage もサービス境界に追加する必要があります。
境界の動作を確認する
サービス境界を構成した後、サービス境界内のプロジェクトにイメージが保存されている場合、GKE 限定公開クラスタのノードは Artifact Registry と Container Registry のコンテナ イメージにアクセスできます。
一部の読み取り専用の公開リポジトリを除き、境界外のプロジェクトのコンテナ イメージにはアクセスできません。
たとえば、google-samples プロジェクトがサービス境界内にない場合、hello-app コンテナからデプロイを作成するコマンドを実行すると失敗します。
pkg.dev ドメイン
kubectl create deployment hello-server --image=us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
gcr.io ドメイン
kubectl create deployment hello-server --image=gcr.io/google-samples/hello-app:1.0
次のコマンドで Pod のステータスを確認します。
kubectl get pods
このコマンドは、次の例のようなテーブルを返します。Pod のステータス ErrImagePull は、pull が失敗したことを示します。
NAME READY STATUS RESTARTS AGE
hello-server-dbd86c8c4-h5wsf 1/1 ErrImagePull 0 45s
kubectl describe pod コマンドを使用すると、Deployment の詳細が表示されます。前の例の Pod の場合、コマンドは次のようになります。
kubectl describe pod hello-server-dbd86c8c4-h5wsf