Créer des clusters d'administrateur

Dans GKE sur Bare Metal, vous configurez des clusters d'administrateur pour gérer d'autres clusters de manière sécurisée. Vous pouvez créer, mettre à jour, mettre à niveau ou supprimer des clusters d'utilisateur de clusters d'administrateur. Les clusters d'utilisateur exécutent les charges de travail séparément de l'administration, de sorte que les informations sensibles sont protégées.

Les clusters d'administrateur qui gèrent des charges de travail multicluster peuvent offrir une fiabilité disponibilité élevée. Dans un cluster à haute disponibilité, si un nœud de plan de contrôle est défaillant, les autres nœuds continuent de fonctionner.

Un cluster d'administrateur dans un environnement multicluster fournit le meilleur niveau de sécurité de base. Étant donné que l'accès aux données d'administration est séparé des charges de travail, les utilisateurs qui accèdent aux charges de travail des utilisateurs n'ont pas accès aux données administratives sensibles, telles que les clés SSH et les données de compte de service. Par conséquent, il existe un certain compromis entre la sécurité et les ressources requises, car un cluster d'administrateur distinct signifie que vous avez besoin de ressources dédiées pour la gestion et les charges de travail.

Vous créez un cluster d'administrateur à l'aide de la commande bmctl. Après avoir créé un cluster d'administrateur, vous créez des clusters d'utilisateur pour exécuter des charges de travail.

Prérequis :

La dernière version de bmctl est téléchargée (gs://anthos-baremetal-release/bmctl/1.28.300-gke.131/linux-amd64/bmctl) à partir de Cloud Storage.
Le poste de travail qui exécute bmctl dispose d'une connectivité réseau à tous les nœuds dans les clusters d'utilisateurs cibles.
Le poste de travail qui exécute bmctl dispose d'une connectivité réseau au serveur d'API du cluster (adresse IP virtuelle du plan de contrôle).
La clé SSH utilisée pour créer le cluster d'administrateur est disponible pour root ou pour un utilisateur non racine disposant des droits sudo sans mot de passe sur tous les nœuds du cluster d'administrateur cible.
Le compte de service "connect-register" est configuré pour une utilisation avec Connect.

Consultez le quickstart de GKE sur Bare Metal pour obtenir des instructions détaillées sur la création d'un cluster hybride. La création d'un cluster d'administrateur s'apparente à la création d'un cluster hybride, à la différence que vous n'exécutez pas de charges de travail sur le cluster d'administrateur.

Activer SELinux

Si vous souhaitez activer SELinux pour sécuriser vos conteneurs, vous devez vous assurer que SELinux est activé en mode Enforced sur toutes vos machines hôtes. À partir de la version 1.9.0 de GKE sur Bare Metal, vous pouvez activer ou désactiver SELinux avant ou après la création ou la mise à niveau du cluster. SELinux est activé par défaut sur Red Hat Enterprise Linux (RHEL). Si SELinux est désactivé sur vos machines hôtes ou si vous n'êtes pas sûr, consultez la section Sécuriser vos conteneurs à l'aide de SELinux pour savoir comment l'activer.

GKE sur Bare Metal n'est compatible qu'avec SELinux sur les systèmes RHEL.

Connectez-vous à la gcloud CLI et créez un fichier de configuration de cluster d'administrateur

Définissez les identifiants par défaut que GKE sur Bare Metal peut utiliser pour créer le cluster à l'aide de la commande suivante:
```
gcloud auth application-default login
```
Pour utiliser les fonctionnalités automatiques d'activation des API et de création de compte de service sur cette page, attribuez le rôle Propriétaire de projet à cette entité principale. Si l'entité ne peut pas avoir le rôle Propriétaire de projet, passez à l'étape suivante.
Pour garantir la réussite de la création du cluster sans attribuer le rôle Propriétaire de projet, ajoutez les rôles IAM suivants à l'entité principale :
- Administrateur de compte de service
- Administrateur de clés de compte de service
- Administrateur de projet IAM
- Lecteur de Compute
- Administrateur Service Usage
Si l'entité est un compte de service doté de ces rôles, vous pouvez exécuter la commande suivante :
```
export GOOGLE_APPLICATION_CREDENTIALS=JSON_KEY_FILE
```
Remplacez JSON_KEY_FILE par le chemin d'accès au fichier de clé JSON de votre compte de service.
Obtenez l'ID de votre projet Google Cloud et stockez-le dans une variable d'environnement pour l'utiliser pour la création de clusters :
```
export CLOUD_PROJECT_ID=$(gcloud config get-value project)
```

Créer une configuration de cluster d'administrateur avec `bmctl`

Une fois que vous êtes connecté à la gcloud CLI et que votre projet est configuré, vous pouvez créer le fichier de configuration du cluster à l'aide de la commande bmctl.

Dans l'exemple suivant, tous les comptes de service sont automatiquement créés par la commande bmctl create config :

bmctl create config -c ADMIN_CLUSTER_NAME --enable-apis \
    --create-service-accounts --project-id=CLOUD_PROJECT_ID

Remplacez les éléments suivants :

ADMIN_CLUSTER_NAME : nom du nouveau cluster
CLOUD_PROJECT_ID : ID de votre projet Google Cloud ou variable d'environnement $CLOUD_PROJECT_ID.

Voici un exemple de fichier de configuration pour un cluster d'administrateur appelé admin1 associé à l'ID de projet my-gcp-project:

bmctl create config -c admin1 --create-service-accounts --enable-apis --project-id=my-gcp-project

Le fichier est écrit dans bmctl-workspace/admin1/admin1.yaml.

Au lieu d'activer des API et de créer des comptes de service automatiquement, vous pouvez également fournir à vos comptes de service existants les autorisations IAM appropriées. Vous pouvez ainsi ignorer la création automatique de compte de service décrite à l'étape précédente dans la commande bmctl :

bmctl create config -c admin1 --project-id=my-gcp-project

Modifier le fichier de configuration du cluster

Maintenant que vous disposez d'un fichier de configuration de cluster, modifiez-le de façon à apporter les modifications suivantes:

Fournissez la clé privée SSH pour accéder aux nœuds du cluster d'administrateur :

# bmctl configuration variables. Because this section is valid YAML but not a valid Kubernetes
# resource, this section can only be included when using bmctl to
# create the initial admin/admin cluster. Afterwards, when creating user clusters by directly
# applying the cluster and node pool resources to the existing cluster, you must remove this
# section.
gcrKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-gcr.json
sshPrivateKeyPath: /path/to/your/ssh_private_key
gkeConnectAgentServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-connect.json
gkeConnectRegisterServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-register.json
cloudOperationsServiceAccountKeyPath: bmctl-workspace/.sa-keys/my-gcp-project-anthos-baremetal-cloud-ops.json

Enregistrez vos clusters dans un parc. L'ID de projet que vous avez spécifié dans la commande bmctl create config est automatiquement ajouté au champ gkeConnect.projectID du fichier de configuration du cluster. Ce projet est appelé projet hôte du parc.
- Si vous avez créé votre fichier de configuration à l'aide des fonctionnalités d'activation automatique d'API et de création de compte de service, vous pouvez ignorer cette étape.
- Si vous avez créé le fichier de configuration sans utiliser les fonctionnalités d'activation automatique d'API et de création de compte de service, référencez les clés JSON de compte de service téléchargées dans les champs gkeConnectAgentServiceAccountKeyPath et gkeConnectRegisterServiceAccountKeyPath correspondants du fichier de configuration du cluster.
- Vous pouvez éventuellement ajouter gkeConnect.location à la spécification du cluster pour spécifier la région Google Cloud dans laquelle le parc et les services Connect s'exécutent. Cette appartenance régionale limite le trafic du service de parc à votre région. Si vous incluez gkeConnect.location dans la spécification du cluster, la région que vous spécifiez doit être identique à la région configurée dans clusterOperations.location. Si les régions ne sont pas identiques, la création du cluster échoue.

Assurez-vous que la configuration spécifie bien le type de cluster admin (valeur par défaut) :

spec:
  # Cluster type. This can be:
  #   1) admin:  to create an admin cluster. This can later be used to create user clusters.
  #   2) user:   to create a user cluster. Requires an existing admin cluster.
  #   3) hybrid: to create a hybrid cluster that runs admin cluster components and user workloads.
  #   4) standalone: to create a cluster that manages itself, runs user workloads, but does not manage other clusters.
  type: admin

Si l'API GKE On-Prem est activée dans votre projet Google Cloud, tous les clusters du projet sont enregistrés automatiquement dans l'API GKE On-Prem dans la région configurée dans clusterOperations.location.
- Si vous souhaitez enregistrer tous les clusters du projet dans l'API GKE On-Prem, suivez les étapes de la section Avant de commencer pour activer et utiliser l'API GKE On-Prem dans le projet.
- Si vous ne souhaitez pas enregistrer le cluster dans l'API GKE On-Prem, incluez cette section et définissez gkeOnPremAPI.enabled sur false. Si vous ne souhaitez enregistrer aucun cluster dans le projet, désactivez gkeonprem.googleapis.com (nom du service pour l'API GKE On-Prem) dans le projet. Pour obtenir des instructions, consultez la section Désactiver des services.
Modifiez le fichier de configuration pour spécifier un plan de contrôle à haute disponibilité contenant plusieurs nœuds. Spécifiez un nombre impair de nœuds pour disposer d'un quorum majoritaire pour la haute disponibilité :
```
  # Control plane configuration
  controlPlane:
    nodePoolSpec:
      nodes:
      # Control plane node pools. Typically, this is either a single machine
      # or 3 machines if using a high availability deployment.
      - address: 10.200.0.4
      - address: 10.200.0.5
      - address: 10.200.0.6
```
Remarque : Si vous disposez temporairement d'un nombre pair de nœuds pendant l'ajout ou la suppression de nœuds à des fins de maintenance ou de remplacement, votre déploiement maintient une haute disponibilité tant que vous avez assez de quorum.
Spécifiez la densité de pods des nœuds de cluster.
```
....
# NodeConfig specifies the configuration that applies to all nodes in the cluster.
nodeConfig:
  # podDensity specifies the pod density configuration.
  podDensity:
    # maxPodsPerNode specifies at most how many pods can be run on a single node.
    maxPodsPerNode: 250
....
```
Pour les clusters d'administration, les valeurs autorisées pour maxPodsPerNode sont 32-250 pour les clusters haute disponibilité et 64-250 pour les clusters non haute disponibilité. La valeur par défaut est 110 si elle n'est pas spécifiée. Une fois le cluster créé, cette valeur ne peut pas être mise à jour.

La densité des pods est également limitée par les ressources IP disponibles de votre cluster. Pour plus de détails, consultez la section Mise en réseau de pods.

Créer le cluster d'administrateur avec la configuration du cluster

Utilisez la commande bmctl pour déployer le cluster:

bmctl create cluster -c ADMIN_CLUSTER_NAME

ADMIN_CLUSTER_NAME spécifie le nom du cluster créé dans la section précédente.

Vous trouverez ci-dessous un exemple de la commande permettant de créer un cluster appelé admin1 :

bmctl create cluster -c admin1

Exemples de configurations de cluster d'administrateur

Pour obtenir des exemples de configurations de cluster d'administrateur, consultez la section Clusters d'administrateur dans les exemples de configurations de cluster.