管理涉及多个 Config Connector 资源的冲突

本页面介绍 Config Connector 如何处理冲突。当同一资源由多个资源管理时，可能会发生冲突。

Config Connector 通过映射 Kubernetes 资源名称、容器注解以及（如果适用）区域或位置的组合来管理或获取资源。在最简单的情况下，您可以通过 Google Cloud 项目来整理资源。

Google Cloud 支持项目以外的其他层次结构：文件夹、项目和组织。您可以使用注解将资源映射到文件夹、项目和组织。使用 Config Connector 创建不带注解的资源时，将在共享资源命名空间的项目中创建资源。

可以但不建议在管理相同 Google Cloud 资源的不同命名空间中创建两个 Config Connector 资源。 如果 Config Connector 能够获得 Google Cloud 资源的租约并且启用了冲突预防，则它只会管理相应的 Google Cloud 资源。

租约范围限制为命名空间。为了获得范围限制为命名空间的租约，Config Connector 将在资源中添加两个标签：

  1. cnrm-lease-holder-id：配置控制器为管理启用了冲突预防的资源的每个命名空间生成唯一 ID。此唯一 ID 用于设置 cnrm-lease-holder-id。要查看命名空间到 cnrm-lease-holder-id 值的映射，您可以查看 cnrm-system 命名空间中的 namespace-id ConfigMap。
  2. cnrm-lease-expiration：到期时间，以 UNIX 时间戳表示。

如果存在以下任一条件，则 Config Connector 能够更新这些值：

  • cnrm-lease-holder-id 的值与命名空间的全球唯一 ID 匹配。
  • cnrm-lease-holder-id 的值为空或不存在。
  • cnrm-lease-expiration 的值是过去的值。

当 Config Connector 实例获得资源的租约时，到期时间将设置为将来的 40 分钟。只要资源位于命名空间中，便会保留对相同的 Config Connector 实例的管理。如果剩余不到 20 分钟，则 Config Connector 会将到期时间延长 40 分钟。

如果 Config Connector 无法获取给定资源的租约，则资源上 kubectl describe 的输出将列出状态 ManagementConflict。

修改冲突预防

您可以使用下列值之一在资源中添加 cnrm.cloud.google.com/management-conflict-prevention-policy 注解来控制冲突预防：

  • resource：如上一部分所述，通过将适当的租约标签保存到资源中，可以防止在资源级层发生管理冲突。
  • none：无法防止发生管理冲突。

默认值为 none。

在以下示例中，默认 ComputeNetwork 的清单使用 none 管理政策，这意味着无法防止发生管理冲突。

apiVersion: compute.cnrm.cloud.google.com/v1beta1
kind: ComputeNetwork
metadata:
 annotations:
   cnrm.cloud.google.com/management-conflict-prevention-policy: "none"
   cnrm.cloud.google.com/project-id: "PROJECT-ID"
   cnrm.cloud.google.com/deletion-policy: "abandon"
 name: default
spec:
 description: Default network for the project

限制

冲突预防具有以下限制：

  • 冲突预防不适用于不支持标签的资源。即使您将值从 none 更改为 resource，冲突预防仍不起作用。

  • 如果您要使用 resourceID 字段管理资源，则可以在同一命名空间下创建具有相同 Google Cloud 资源名称的多个资源。这些资源会引发 Config Connector 无法管理的冲突。