Config Connector manuell installieren

---

Auf dieser Seite wird erläutert, wie Sie Config Connector manuell installieren.

Weitere Informationen zu den verschiedenen Installationsoptionen finden Sie unter Installationstyp auswählen.

Bei der Installation mit der manuellen Methode sind Updates schneller als bei Verwendung des Add-ons.

Config Connector ist in der Anleitung unten als Clustermodus konfiguriert. Das bedeutet, dass es einen globalen Config Connector-Controller gibt, der die Identität eines einzelnen Google Cloud IAM-Dienstkontos übernimmt. Wenn Sie weitere Config Connector-Ressourcen hinzufügen und weitere Kubernetes-Namespaces im selben Cluster einführen, können Sie in den Namespace-Modus wechseln. Dieser ist skalierbarer und bietet eine bessere IAM-Berechtigungsisolation für mehrmandantenfähige Anwendungsfälle, z. B. das Verwalten von Ressourcen aus mehreren Google Cloud-Projekten.

Hinweise

Führen Sie folgenden Schritte aus, bevor Sie den Config Connector-Operator manuell installieren:

• Erstellen oder identifizieren Sie einen GKE-Cluster, in dem Config Connector noch nicht installiert ist und für den Workload Identity und Kubernetes Engine-Monitoring aktiviert sind.
• Konfigurieren Sie kubectl, um eine Verbindung zum Cluster herzustellen.

Config Connector-Operator installieren

Config Connector verwendet einen Kubernetes-Operator, um seine Installation auf dem neuesten Stand zu halten. Führen Sie folgende Schritte aus, um diesen Operator zu installieren:

1. Laden Sie die neueste Config Connector-Operator TAR-Datei herunter:

   gsutil cp gs://configconnector-operator/latest/release-bundle.tar.gz release-bundle.tar.gz
   

   Hinweis: Erstellen Sie eine Kopie des Installationspakets, da Sie dieses benötigen, um Config Connector zu deinstallieren.

2. Extrahieren Sie die TAR-Datei:

   tar zxvf release-bundle.tar.gz
   

3. Installieren Sie den Config Connector-Operator in Ihrem Cluster:

   1. Für GKE Autopilot-Cluster:

      kubectl apply -f operator-system/autopilot-configconnector-operator.yaml
      

   2. Für GKE-Standardcluster:

      kubectl apply -f operator-system/configconnector-operator.yaml
      

Identität erstellen

Config Connector erstellt und verwaltet Google Cloud-Ressourcen. Dabei erfolgt die Authentifizierung über ein IAM-Dienstkonto (Identity and Access Management). Die Verknüpfung der IAM-Dienstkonten mit Kubernetes-Dienstkonten erfolgt per Workload Identity.

Hinweis: Sie müssen diese Schritte nur einmal pro Cluster ausführen.

Führen Sie zum Erstellen der Identität folgende Schritte aus:

1. IAM-Dienstkonto erstellen. Wenn Sie ein vorhandenes Dienstkonto verwenden möchten, können Sie das tun und diesen Schritt überspringen.
   
   Erstellen Sie mit folgendem Befehl das Dienstkonto:

     gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Ersetzen Sie SERVICE_ACCOUNT_NAME durch einen Namen für Ihr Dienstkonto.

Weitere Informationen zum Erstellen von Dienstkonten finden Sie unter Dienstkonten erstellen und verwalten.

2. Gewähren Sie dem IAM-Dienstkonto erhöhte Berechtigungen für Ihr Projekt:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/editor"

   Ersetzen Sie dabei Folgendes:
   • PROJECT_ID durch Ihre Projekt-ID,
   • SERVICE_ACCOUNT_NAME durch den Namen Ihres Dienstkontos.
   Hinweis: Wenn Sie die Bearbeiterrolle gewähren, sind die meisten Config Connector-Funktionen mit Ausnahme von projekt- und organisationsweiten Konfigurationen wie IAM-Änderungen möglich. In einer Produktionsumgebung empfehlen wir, detailliertere Berechtigungen festzulegen. Weitere Informationen zu IAM-Rollen finden Sie unter Informationen zu Rollen.
3. Erstellen Sie eine IAM-Richtlinienbindung zwischen dem IAM-Dienstkonto und dem vordefinierten Kubernetes-Dienstkonto, das Config Connector ausführt:

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:PROJECT_ID.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
       --role="roles/iam.workloadIdentityUser"

   Ersetzen Sie dabei Folgendes:
   • SERVICE_ACCOUNT_NAME durch den Namen Ihres Dienstkontos.
   • PROJECT_ID durch Ihre Projekt-ID,

Config Connector konfigurieren

Um die Installation abzuschließen, erstellen Sie eine Konfigurationsdatei für die CustomResource-ConfigConnector und wenden diese dann mit dem Befehl kubectl apply an. Der Config Connector Operator installiert Google Cloud-Ressourcen-CRDs und Config Connector-Komponenten in Ihrem Cluster.

Führen Sie die folgenden Schritte aus, um den Operator für den Clustermodus zu konfigurieren:

1. Kopieren Sie die folgende YAML-Datei in eine Datei mit dem Namen configconnector.yaml:

   # configconnector.yaml
   apiVersion: core.cnrm.cloud.google.com/v1beta1
   kind: ConfigConnector
   metadata:
     # the name is restricted to ensure that there is only one
     # ConfigConnector resource installed in your cluster
     name: configconnector.core.cnrm.cloud.google.com
   spec:
    mode: cluster
    googleServiceAccount: "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com"

   Ersetzen Sie dabei Folgendes:
   • SERVICE_ACCOUNT_NAME durch den Namen Ihres Dienstkontos.
   • PROJECT_ID durch Ihre Projekt-ID,
2. Wenden Sie die Konfiguration mit kubectl apply auf Ihren Cluster an:

     kubectl apply -f configconnector.yaml

Speicherort für Ressourcen angeben

Config Connector kann Ressourcen nach Projekt, Ordner oder Organisation organisieren. Dies entspricht dem Organisieren von Ressourcen mit Google Cloud.

Bevor Sie mit Config Connector Ressourcen erstellen, müssen Sie festlegen, wo die Ressourcen angelegt werden sollen. Um zu ermitteln, wo eine Ressource erstellt werden soll, nutzt Config Connector eine Annotation in der Ressourcenkonfiguration oder in einem vorhandenen Namespace. Weitere Informationen finden Sie unter Ressourcen organisieren.

Wenn Sie keinen für diesen Zweck geeigneten Namespace haben, erstellen Sie einen mit kubectl.

kubectl create namespace NAMESPACE

Ersetzen Sie dabei NAMESPACE durch Ihren Namespace-Namen. Beispiel: config-connector.

Wählen Sie den Tab aus, in dem Config Connector Ressourcen anlegen soll.

Projekt

Führen Sie folgenden Befehl aus, um Ressourcen in einem bestimmten Projekt zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/project-id=PROJECT_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• PROJECT_ID durch Ihre Google Cloud-Projekt-ID.

Ordner

Führen Sie folgenden Befehl aus, um Ressourcen in einem bestimmten Ordner zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/folder-id=FOLDER_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• FOLDER_ID durch Ihre Google Cloud-Ordner-ID.

Organisation

Führen Sie folgenden Befehl aus, um Ressourcen in einer bestimmten Organisation zu erstellen:

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/organization-id=ORGANIZATION_ID

Ersetzen Sie Folgendes:

• NAMESPACE durch Ihren Namespace-Namen.
• ORGANIZATION_ID durch Ihre Google Cloud-Organisations-ID.

Wenn Sie Ihren Namespace mit Annotationen versehen, erstellt Config Connector Ressourcen im entsprechenden Projekt, im entsprechenden Ordner oder in der entsprechenden Organisation. Weitere Informationen dazu, wie Config Connector Kubernetes-Namespaces nutzt, finden Sie unter Kubernetes-Namespaces und Google Cloud-Projekte.

Installation prüfen

Config Connector führt alle seine Komponenten in einem Namespace mit dem Namen cnrm-system aus. Mit dem folgenden Befehl können Sie prüfen, ob die Pods bereit sind:

kubectl wait -n cnrm-system \
      --for=condition=Ready pod --all

Wenn Config Connector richtig installiert ist, sieht die Ausgabe in etwa so aus:

pod/cnrm-controller-manager-0 condition met

Hinweis: Es kann einige Minuten dauern, bis der Controller-Pod gestartet wird.

Config Connector aktualisieren

Wichtig: Direkte Downgrades werden nicht unterstützt. Wenn Sie ein Downgrade von Config Connector ausführen möchten, müssen Sie Config Connector deinstallieren, neu installieren und dann Ihre Ressourcen noch einmal übernehmen.

Laden Sie die neueste Version des Config Connector-Operators herunter und installieren Sie sie:

gsutil cp gs://configconnector-operator/latest/release-bundle.tar.gz release-bundle.tar.gz
tar zxvf release-bundle.tar.gz
kubectl apply -f operator-system/configconnector-operator.yaml

Config Connector deinstallieren

Entfernen Sie mit kubectl delete die Config Connector-CRDs und die Controllerkomponenten:

kubectl delete ConfigConnector configconnector.core.cnrm.cloud.google.com \
    --wait=true

Führen Sie folgenden Befehl aus, um den Config Connector-Operator zu deinstallieren:

kubectl delete -f operator-system/configconnector-operator.yaml  --wait=true

Upgrade von Installationen ohne Operator ausführen

Config Connector Version 1.33.0 und höher unterstützt nur die Installation mit dem GKE-Add-on oder dem Operator.

Wenn Sie ein Upgrade auf den Operator durchführen und alle Config Connector-Ressourcen beibehalten möchten, müssen Sie alle Config Connector-Systemkomponenten mit Ausnahme der CRDs entfernen und dann den Operator installieren.

1. Führen Sie folgenden Befehle aus, um Nicht-CRD-Komponenten des Config Connector-Systems zu entfernen:

   kubectl delete sts,deploy,po,svc,roles,clusterroles,clusterrolebindings --all-namespaces -l cnrm.cloud.google.com/system=true --wait=true
   kubectl delete validatingwebhookconfiguration abandon-on-uninstall.cnrm.cloud.google.com --ignore-not-found --wait=true
   kubectl delete validatingwebhookconfiguration validating-webhook.cnrm.cloud.google.com --ignore-not-found --wait=true
   kubectl delete mutatingwebhookconfiguration mutating-webhook.cnrm.cloud.google.com --ignore-not-found --wait=true
   

2. Installieren Sie Config Connector mit dem GKE-Add-on oder dem Operator.

Vom Add-on auf eine manuelle Installation umstellen

Bei der Installation als Add-on wird die Version von Config Connector direkt mit der installierten GKE-Version verknüpft.

Die manuelle Installation ermöglicht schnellere Aktualisierungen zu den Kosten der manuellen Upgrades.

So wechseln Sie unter Beibehaltung aller Ressourcen:

1. Deaktivieren Sie das Add-on, ohne irgendwelche ConfigConnector- oder ConfigConnectorContext-Objekte zu löschen:

   gcloud container clusters update CLUSTER_NAME --update-addons ConfigConnector=DISABLED
   

   Ersetzen Sie CLUSTER_NAME durch den Namen des Clusters, auf dem Sie Config Connector installiert haben.

2. Folgen Sie der Anleitung zur Installation der gewünschten Version.

Hinweis: Da namespace-id ConfigMap im Namespace configconnector-operator-system als Teil der Deaktivierung des Add-ons gelöscht wird, werden alte cnrm-controller-manager StatefulSets neu erstellt.

Nächste Schritte

• Erste Schritte mit Config Connector.
• Best Practices für Config Connector