Installer avec le module complémentaire GKE

Standard

---

Cette page explique comment installer Config Connector sur un cluster Google Kubernetes Engine (GKE) à l'aide du module complémentaire Config Connector.

Pour en savoir plus sur chaque option d'installation avec ses avantages et ses inconvénients, consultez la page Choisir un type d'installation.

Avant de commencer

Avant de commencer, effectuez les tâches suivantes :

• Activez l'API Google Kubernetes Engine.
Activer l'API Google Kubernetes Engine
• Si vous souhaitez utiliser Google Cloud CLI pour cette tâche, installez puis initialisez gcloud CLI.
  Remarque : Pour les installations de gcloud CLI existantes, veillez à définir les propriétés compute/region et compute/zone. En définissant des emplacements par défaut, vous pouvez éviter les erreurs gcloud CLI telles que celle-ci : One of [--zone, --region] must be supplied: Please specify location.

• Sélectionnez ou créez un projet Google Cloud où installer Config Connector.

• Si vous avez déjà installé manuellement Config Connector, désinstallez-le avant d'installer le module complémentaire Config Connector:

  • Désinstaller le mode cluster
  • Désinstaller le mode espace de noms

Installer le module complémentaire Config Connector

Pour utiliser le module complémentaire Config Connector, vous devez créer un nouveau cluster GKE ou l'activer sur un cluster existant. Après avoir installé le module complémentaire Config Connector, vous devez le configurer avec vos comptes de service Google et vos espaces de noms.

Remarque :Lorsque vous activez le module complémentaire Config Connector, Config Connector crée un espace de noms appelé configconnector-operator-system. N'effectuez aucune modification et n'ajoutez aucune ressource à cet espace de noms.

Conditions requises

Le module complémentaire Config Connector remplit les conditions suivantes :

• Vous devez utiliser une des versions GKE suivantes :

  • 1.15.11-gke.5 et versions ultérieures
  • 1.16.8-gke.8 et versions ultérieures
  • 1.17.4-gke.5 et versions ultérieures

• Vous devez activer un pool Workload Identity et Kubernetes Engine Monitoring sur les clusters sur lesquels vous activez Config Connector.

Configurer un cluster GKE

Vous pouvez utiliser le module complémentaire Config Connector sur un cluster nouveau ou existant.

Créer un cluster avec le module complémentaire Config Connector activé

Vous pouvez créer un cluster GKE à l'aide de gcloud CLI ou de la console Google Cloud.

gcloud

Pour créer un cluster avec Google Cloud CLI, exécutez la commande suivante:

gcloud container clusters create CLUSTER_NAME \
    --release-channel CHANNEL \
    --addons ConfigConnector \
    --workload-pool=PROJECT_ID.svc.id.goog \
    --logging=SYSTEM \
    --monitoring=SYSTEM

Remplacez les éléments suivants :

• CLUSTER_NAME par le nom de votre cluster GKE
• CHANNEL par une version disponible GKE, rapid et regular sont compatibles.
• PROJECT_ID par l'ID de votre projet Google Cloud

Console Google Cloud

Pour créer un cluster avec la console Google Cloud, procédez comme suit:

1. Accédez au menu Google Kubernetes Engine de la console Google Cloud.

   Accéder au menu Google Kubernetes Engine

2. Cliquez sur Créer. La page Créer un cluster Kubernetes s'affiche.

3. Spécifiez le nom du cluster.

4. Choisissez une version maître compatible.

5. Configurez le reste de votre cluster comme vous le souhaitez.

6. Dans le volet de navigation, cliquez sur Sécurité sous Cluster.

7. Cochez la case Activer Workload Identity.

8. Dans le volet de navigation de gauche, sous Cluster, cliquez sur Fonctionnalités.

9. Cochez la case Activer Config Connector.

10. Cliquez sur Créer.

Une fois le cluster créé, passez à la section Créer une identité.

Activer le module complémentaire Config Connector sur un cluster existant

Vous pouvez activer le module complémentaire Config Connector sur un cluster GKE existant à l'aide de gcloud ou de la console Google Cloud.

Prérequis

L'activation du module complémentaire Config Connector sur un cluster existant a les prérequis suivants :

• Vous avez besoin d'un cluster qui répond aux exigences du module complémentaire Config Connector.

• Configurez Workload Identity sur le cluster sur lequel vous souhaitez installer Config Connector.

  Remarque : L'activation de Workload Identity sur un cluster existant n'active pas automatiquement Workload Identity sur les pools de nœuds existants du cluster. Nous vous recommandons d'activer Workload Identity sur tous les pools de nœuds de votre cluster, car Config Connector peut s'exécuter sur n'importe lequel d'entre eux.

Pour activer Workload Identity pour un pool de nœuds, utilisez l'outil de ligne de commande gcloud :

gcloud container node-pools update NODE_POOL \
    --workload-metadata=GKE_METADATA \
    --cluster CLUSTER_NAME

Remplacez les éléments suivants :

• NODE_POOL par le nom de votre pool de nœuds
• Remplacez CLUSTER_NAME par le nom de votre cluster.

Activer le module complémentaire Config Connector

Vous pouvez activer le module complémentaire Config Connector dans un cluster GKE existant à l'aide de Google Cloud CLI ou de la console Google Cloud.

gcloud

Pour activer le module complémentaire Config Connector dans un cluster GKE existant, utilisez Google Cloud CLI:

gcloud container clusters update CLUSTER_NAME \
    --update-addons ConfigConnector=ENABLED

Remplacez CLUSTER_NAME par le nom de votre cluster GKE.

Console Google Cloud

1. Accédez au menu Google Kubernetes Engine de la console Google Cloud.

   Accéder au menu Google Kubernetes Engine

2. Sélectionnez le cluster sur lequel vous souhaitez installer Config Connector. La page Détails du cluster s'affiche.

3. Sous la section Fonctionnalités, localisez la ligne Config Connector, puis cliquez sur Modifier.

4. Cochez la case Activer Config Connector, puis cliquez sur Enregistrer les modifications pour mettre à jour votre cluster.

Créer une identité

Config Connector crée et gère les ressources Google Cloud en s'authentifiant avec un compte de service de gestion de l'authentification et des accès (IAM) et en utilisant Workload Identity de GKE pour lier des comptes de service IAM aux comptes de service Kubernetes.

Remarque:Vous n'avez besoin d'effectuer ces étapes qu'une seule fois par cluster.

Pour créer l'identité, procédez comme suit :

1. Créer un compte de service IAM Si vous avez un compte de service existant, vous pouvez l'utiliser et ignorer cette étape.
   
   Pour créer le compte de service, exécutez la commande suivante :

     gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Remplacez SERVICE_ACCOUNT_NAME par le nom de votre compte de service.

Pour en savoir plus sur la création de comptes de service, consultez la page Créer et gérer des comptes de service.

2. Accordez au compte de service IAM des autorisations élevées sur votre projet:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/editor"

   Remplacez les éléments suivants :
   • PROJECT_ID par votre ID de projet.
   • SERVICE_ACCOUNT_NAME par le nom de votre compte de service.
   Remarque:Le rôle d'éditeur permet à la plupart des fonctionnalités de Config Connector, à l'exception des configurations à l'échelle du projet et de l'organisation telles que les modifications IAM. Dans un environnement de production, nous vous recommandons de définir des autorisations plus précises. Pour en savoir plus sur les rôles IAM, consultez la page Comprendre les rôles.
3. Créez une liaison de stratégie IAM entre le compte de service IAM et le compte de service Kubernetes prédéfini exécuté par Config Connector:

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:PROJECT_ID.svc.id.goog[cnrm-system/cnrm-controller-manager]" \
       --role="roles/iam.workloadIdentityUser"

   Remplacez les éléments suivants :
   • SERVICE_ACCOUNT_NAME par le nom de votre compte de service.
   • PROJECT_ID par votre ID de projet.

Configurer Config Connector

Remarque :Lorsque vous activez le module complémentaire Config Connector, celui-ci crée automatiquement une ressource personnalisée ConfigConnector configurée en mode espace de noms. Cette opération est effectuée pour d'anciennes raisons. Vous devez toujours effectuer les étapes suivantes pour configurer ConfigConnector afin d'utiliser le mode cluster. Si vous souhaitez installer Config Connector en mode espace de noms, consultez ces instructions d'installation.

Pour terminer l'installation, créez un fichier de configuration pour la ressource CustomResource ConfigConnector, puis appliquez-le à l'aide de la commande kubectl apply. L'opérateur Config Connector installe les CRD de ressources Google Cloud et les composants de Config Connector dans votre cluster.

Pour configurer l'opérateur, procédez comme suit:

1. Copiez le fichier YAML suivant dans un fichier nommé configconnector.yaml:

   # configconnector.yaml
   apiVersion: core.cnrm.cloud.google.com/v1beta1
   kind: ConfigConnector
   metadata:
     # the name is restricted to ensure that there is only one
     # ConfigConnector resource installed in your cluster
     name: configconnector.core.cnrm.cloud.google.com
   spec:
    mode: cluster
    googleServiceAccount: "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com"
   

   Remplacez les éléments suivants :
   • SERVICE_ACCOUNT_NAME par le nom de votre compte de service.
   • PROJECT_ID par votre ID de projet.
2. Appliquez la configuration à votre cluster à l'aide de la commande kubectl apply :

     kubectl apply -f configconnector.yaml

Spécifier l'emplacement où créer les ressources

Config Connector peut organiser les ressources par projet, dossier ou organisation, de la même manière que vous organiseriez les ressources à l'aide de Google Cloud.

Avant de créer des ressources à l'aide de Config Connector, vous devez configurer où créer vos ressources. Pour déterminer où créer la ressource, Config Connector utilise une annotation sur la configuration de la ressource ou un espace de noms existant. Pour en savoir plus, consultez la section Organiser les ressources.

Si vous ne disposez pas d'un espace de noms à cette fin, créez-en un avec kubectl.

kubectl create namespace NAMESPACE

Remplacez NAMESPACE par le nom de votre espace de noms. Par exemple, config-connector.

Sélectionnez un onglet pour choisir où vous souhaitez que Config Connector crée des ressources.

Projet

Pour créer des ressources dans un projet donné, exécutez la commande suivante :

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/project-id=PROJECT_ID

Remplacez les éléments suivants :

• NAMESPACE par le nom de votre espace de noms
• PROJECT_ID par l'ID de votre projet Google Cloud

Dossier

Pour créer des ressources dans un dossier donné, exécutez la commande suivante :

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/folder-id=FOLDER_ID

Remplacez les éléments suivants :

• NAMESPACE par le nom de votre espace de noms
• FOLDER_ID par l'ID de votre dossier Google Cloud

Organisation

Pour créer des ressources dans une organisation donnée, exécutez la commande suivante :

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/organization-id=ORGANIZATION_ID

Remplacez les éléments suivants :

• NAMESPACE par le nom de votre espace de noms
• ORGANIZATION_ID par l'ID de votre organisation Google Cloud

Lorsque vous annotez votre espace de noms, Config Connector crée des ressources dans le projet, le dossier ou l'organisation correspondant. Pour en savoir plus sur la façon dont Config Connector utilise les espaces de noms Kubernetes, consultez la section Espaces de noms Kubernetes et projets Google Cloud.

Vérifier votre installation

Config Connector exécute tous ses composants dans un espace de noms nommé cnrm-system. Vous pouvez vérifier si les pods sont prêts en exécutant la commande suivante :

kubectl wait -n cnrm-system \
      --for=condition=Ready pod --all

Si Config Connector est correctement installé, le résultat ressemble à ce qui suit:

pod/cnrm-controller-manager-0 condition met

Remarque: Le pod du contrôleur peut prendre plusieurs minutes.

Mettre à niveau Config Connector

Les mises à niveau du module complémentaire Config Connector de votre cluster sont gérées par Google Cloud.

Les ressources de votre cluster sont conservées à chaque mise à niveau.

Découvrez comment Google Cloud gère les mises à niveau des modules complémentaires Config Connector ou accédez à la page expliquant comment obtenir la dernière version de Config Connector.

Comment Google Cloud gère les mises à niveau des modules complémentaires Config Connector

La version du connecteur de configuration dont dispose un cluster GKE dépend entièrement de la version mineure de GKE du cluster. Exemple :

Version mineure de GKE	Version de Config Connector
1.20	1,69
1.21	1,69
1.22	1,71
1.23	1,82
1.24	1,89

Remarque :Le tableau ci-dessus n'est qu'un exemple et ne doit pas être utilisé pour déterminer la version de Config Connector que votre cluster obtiendra.

Toutes les deux semaines, Google Cloud remappe les dernières versions mineures de GKE avec la nouvelle version de Config Connector. Cela est possible pour toutes les versions mineures de GKE suffisamment nouvelles pour être non disponibles en version standard ou stable.

Étant donné que la version du connecteur Config fournie par le cluster dépend de sa version mineure, il existe deux cas dans lesquels Google Cloud met automatiquement à jour le module complémentaire Config Connector d'un cluster:

1. Le cluster est mis à niveau vers une nouvelle version mineure de GKE mappée à une version plus récente de Config Connector.

   Remarque :La mise à niveau de Config Connector peut parfois prendre jusqu'à une semaine après la mise à niveau du cluster GKE vers une nouvelle version mineure.

2. Le cluster utilise une version mineure de GKE suffisamment récente pour être non disponible en version standard ou stable, et Google Cloud associe à nouveau cette version de GKE à une nouvelle version de Config Connector.

Lorsque Google Cloud remappe une version mineure de GKE et met à niveau des clusters existants vers une nouvelle version de Config Connector, la commande indique qu'elle "déploie une nouvelle version de Config Connector" sur la version mineure de GKE.

Google Cloud ne déploie pas de nouvelles versions de Config Connector sur des versions mineures de GKE suffisamment anciennes pour être disponibles sur les versions standards ou stables pour des raisons de stabilité, sauf dans les situations d'urgence où un problème généralisé a été détecté.

Obtenir la dernière version de Config Connector

La version de Config Connector installée via le module complémentaire Config Connector peut être considérablement retardée de 12 mois au maximum si vous n'utilisez pas toujours la dernière version mineure de GKE. Si vous avez besoin de la dernière version de Config Connector, nous vous recommandons de passer à Config Controller ou d'installer manuellement Config Connector. Voici les instructions de migration pour chaque option:

• Pour passer à Config Controller, suivez les instructions de migration de Config Controller pour migrer vos ressources Config Connector vers une instance Config Controller.

• Pour installer manuellement Config Connector, suivez les instructions afin de passer du module complémentaire Config Connector à Installation manuelle.

Si vous souhaitez rester au module complémentaire Config Connector et tenter d'obtenir la dernière version Config Connector, vous devez vous assurer que votre cluster utilise une version mineure de GKE qui est suffisamment récente pour ne pas être disponible en version standard ou stable.

Pour ce faire, il existe deux moyens :

1. Enregistrez votre cluster en version précoce.

   Cette option présente un inconvénient: vous pouvez mettre à niveau votre cluster vers une version mineure de GKE disponible à la fois sur les canaux rapide et standard. Dans ce cas, Config Connector ne sera pas mis à niveau vers la dernière version tant que votre cluster ne sera pas mis à niveau vers une nouvelle version mineure de GKE, disponible uniquement sur Rapid.

2. Mettez à niveau votre cluster manuellement.

Remarque :La mise à niveau de Config Connector peut parfois prendre jusqu'à une semaine après la mise à niveau du cluster GKE vers une nouvelle version mineure.

Vous pouvez déterminer la version de GKE de votre cluster à l'aide des commandes suivantes:

• Pour les clusters régionaux:

  gcloud container clusters describe NAME \
      --region REGION --format "value(currentMasterVersion)"
  

  Remplacez les éléments suivants :

  • NAME par le nom de votre cluster.
  • REGION par la région de votre cluster.

• Pour les clusters zonaux:

  gcloud container clusters describe NAME \
      --zone ZONE --format "value(currentMasterVersion)"
  

  Remplacez les éléments suivants :

  • NAME par le nom de votre cluster.
  • ZONE par la zone de votre cluster.

Pour déterminer les versions de GKE disponibles en fonction des versions disponibles, consultez la page Afficher les versions par défaut et disponibles pour les versions disponibles.

Désinstaller Config Connector

Pour désinstaller Config Connector, procédez comme suit :

1. Utilisez kubectl delete pour supprimer les CRD Config Connector et les composants du contrôleur :

   kubectl delete ConfigConnector configconnector.core.cnrm.cloud.google.com --wait=true
   

2. Désactivez le module complémentaire Config Connector dans votre cluster à l'aide de gcloud CLI ou de la console Google Cloud:

   gcloud

   Pour désactiver le module complémentaire Config Connector, exécutez la commande gcloud suivante :

   gcloud container clusters update CLUSTER_NAME --update-addons ConfigConnector=DISABLED
   

   Remplacez CLUSTER_NAME par le nom du cluster dans lequel le module complémentaire Config Connector est installé.

   console Cloud

   Pour désactiver le module complémentaire Config Connector depuis la console Google Cloud, procédez comme suit :

   1. Accédez à la page "Clusters Google Kubernetes Engine" de la console Google Cloud, puis sélectionnez le cluster que vous souhaitez mettre à jour.

      Accéder au menu Google Kubernetes Engine

   2. Cliquez sur Modifier. L'écran permettant de modifier le cluster s'affiche.

   3. Cliquez sur Modules complémentaires.

   4. Sélectionnez Config Connector, puis Désactivé.

   5. Cliquez sur Enregistrer pour mettre à jour le cluster.

Étapes suivantes

• Premiers pas avec Config Connector
• Découvrez comment résoudre les problèmes liés à Config Connector.