创建可用区级集群

标准

---

本页介绍了如何在 Google Kubernetes Engine (GKE) 中创建启用了默认功能的标准区域级集群。区域级集群在单个区域具有一个控制层面。根据您的可用性要求，您可以选择将区域级集群的节点分布到单个区域或多个区域。

最佳实践：使用区域级集群运行生产工作负载，因为它们提供的可用性高于可用区级集群提供的可用性。在区域级集群中，控制平面会复制到一个区域的多个可用区中。

创建集群后，无法将其从可用区级集群更改为区域级集群，或从区域级集群更改为可用区级集群。如需了解不同的集群可用性类型，请参阅集群配置选项简介。

本页面适用于需要创建和配置集群以及在 GKE 上部署工作负载的运维人员、云架构师和开发者。如需详细了解我们在 Google Cloud内容中提及的常见角色和示例任务，请参阅常见的 GKE Enterprise 用户角色和任务。

在阅读本页面之前，请确保您熟悉集群配置选项。

单区域与多区域

单可用区集群有一个控制平面，该平面在一个可用区中运行，并负责管理在同一可用区中运行的节点上的工作负载。如果您在单个可用区中运行工作负载，则在发生可用区级服务中断时，此工作负载会不可用。

多可用区集群的节点在多个可用区中运行，但只有一个控制平面副本。如果您在多个可用区中运行工作负载，并且发生可用区级服务中断，则工作负载会在该可用区中断，但在其他可用区仍然可用。

准备工作

在开始之前，请确保您已执行以下任务：

• 启用 Google Kubernetes Engine API。
启用 Google Kubernetes Engine API
• 如果您要使用 Google Cloud CLI 执行此任务，请安装并初始化 gcloud CLI。 如果您之前安装了 gcloud CLI，请运行 gcloud components update 以获取最新版本。
  注意：对于现有 gcloud CLI 安装，请务必设置 compute/region 和 compute/zone 属性。通过设置默认位置，您可以避免 gcloud CLI 中出现以下错误：One of [--zone, --region] must be supplied: Please specify location。

• 多地区集群比单地区集群耗用的资源更多。 如果您要创建多区域集群，请确保您有足够的配额。
• 确保您具有创建集群的正确权限。您至少应是 Kubernetes Engine Cluster Admin。
• 如果您要将新集群注册到舰队，请确保您拥有所需的 API 和权限。

重要提示：默认情况下，新集群会启用 cos-metrics-enabled 标志。此设置允许使用 dmesg 收集内核崩溃日志。该报告不包含任何用户日志，也不会刻意收集任何个人身份信息。如果您从特权容器写入日志并绑定挂载了 /dev/kmsg，则其中可能包含用户日志。如果内核在错误消息（例如 OOM 终止）中包含了某些个人身份信息（例如进程名称），则报告中可能会出现这些个人身份信息。

注意：如果您有组织政策限制条件 constraints/compute.vmExternalIpAccess 配置为 Deny All 或者在您尝试创建公共 GKE 集群时在组织、文件夹或项目级层限制外部 IP 地址，则集群创建操作将失败。如需了解详情，请参阅问题排查信息。

为 GKE 设置 IAM 服务账号

GKE 使用关联到节点的 IAM 服务账号来运行日志记录和监控等系统任务。这些节点服务账号必须至少拥有项目的 Kubernetes Engine Default Node Service Account (roles/container.defaultNodeServiceAccount) 角色。默认情况下，GKE 会将 Compute Engine 默认服务账号（在您的项目中自动创建）用作节点服务账号。

最佳实践：请勿使用 Compute Engine 默认服务账号，而是创建自定义服务账号以供节点使用，并仅向其授予 GKE 运行系统任务所需的权限。 如需了解详情，请参阅使用最小权限服务账号。

如需向 Compute Engine 默认服务账号授予 roles/container.defaultNodeServiceAccount 角色，请完成以下步骤：

控制台gcloud

1. 前往欢迎页面：

   前往“欢迎”页面

2. 在项目编号字段中，点击 复制到剪贴板。
3. 转到 IAM 页面：

   转到 IAM

4. 点击 授予访问权限。
5. 在新的主账号字段中，指定以下值：

   [e-mail]

   将 PROJECT_NUMBER 替换为您复制的项目编号。
6. 在选择角色菜单中，选择 Kubernetes Engine Default Node Service Account 角色。
7. 点击保存。

1. 找到您的 Google Cloud 项目编号：

   gcloud projects describe PROJECT_ID \
       --format="value(projectNumber)"

   将 PROJECT_ID 替换为您的项目 ID。

   输出内容类似如下：

   12345678901
   

2. 将 roles/container.defaultNodeServiceAccount 角色授予 Compute Engine 默认服务账号：

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:[e-mail]" \
       --role="roles/container.defaultNodeServiceAccount"

   将 PROJECT_NUMBER 替换为上一步中的项目编号。

创建区域级集群

创建新的区域集群时，您需要指定的最低信息是名称、项目（通常是当前项目）和区域（通常是命令行工具的默认位置），并使用所有其他值的默认设置。不过，还有更多可能的配置设置，本部分仅介绍其中一部分，其中一些设置在创建集群后无法更改。请确保您了解哪些设置在创建集群后无法更改，并且在创建集群时选择正确的设置，以免不得不重新创建集群。

您可以在集群配置选项简介中查看集群配置选项的概览，并在 gcloud container clusters create 和 Terraform google_container_cluster 参考指南中查看可能的选项的完整列表。

您可以使用 gcloud CLI、Google Cloud 控制台或 Terraform 创建可用区级集群。

如果您要使用 Cloud Code for VS Code 开发 GKE 应用，请尝试使用 Cloud Code 创建集群。

gcloud控制台Terraform

如需使用 gcloud CLI 创建可用区级集群，请使用以下命令之一。

注意：如果您要创建单区域集群，则可以忽略命令中的 --node-locations 标志。

请替换以下内容：

• CLUSTER_NAME：新集群的名称。
• CHANNEL：发布版本的类型，可以是 rapid、regular、stable 或 None 之一。默认情况下，集群会注册在 regular 发布版本中，除非至少指定了以下标志之一：--cluster-version、--release-channel、--no-enable-autoupgrade、--no-enable-autorepair。
• COMPUTE_ZONE：集群控制平面的计算可用区。
• VERSION：您要为集群指定的版本。
• COMPUTE_ZONE,COMPUTE_ZONE1,[...]：在其中创建节点的可用区。您可以根据集群的需要指定任意数量的可用区。所有可用区必须与集群的控制平面位于同一区域，由 --zone 标志指定。对于可用区级集群，--node-locations 必须包含集群的主要可用区。

我们强烈建议您指定节点可以使用的具有最低权限的 IAM 服务账号，而不是 Compute Engine 默认服务账号。如需了解如何创建具有最低权限的服务账号，请参阅使用最小权限服务账号。

如需在 gcloud CLI 中指定自定义服务账号，请在您的命令中添加以下标志：

--service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

将 SERVICE_ACCOUNT_NAME 替换为具有最低权限的服务账号的名称。

使用特定的发布版本：

如需使用特定发布版本创建新集群，请运行以下命令：

gcloud container clusters create CLUSTER_NAME \
    --release-channel CHANNEL \
    --zone COMPUTE_ZONE \
    --node-locations COMPUTE_ZONE,COMPUTE_ZONE1

使用特定版本：

如需使用特定集群版本创建新集群，请运行以下命令：

gcloud container clusters create CLUSTER_NAME \
    --cluster-version VERSION \
    --zone COMPUTE_ZONE \
    --node-locations COMPUTE_ZONE,COMPUTE_ZONE1

注意：如果您指定集群版本，则集群会使用该特定版本，并在该版本最成熟的发布渠道中注册。

使用未在发布渠道中注册的集群的默认版本：

如需使用未在发布渠道中注册的集群的默认版本创建新集群，您无需指定集群版本，但需要将发布渠道设置为 None：

gcloud container clusters create CLUSTER_NAME \
    --release-channel None \
    --zone COMPUTE_ZONE \
    --node-locations COMPUTE_ZONE,COMPUTE_ZONE1

示例

以下命令会创建一个名为 example-cluster 的多可用区集群，其中集群控制平面位于 us-central-a 可用区，并且有三个节点位置。集群已在 regular 发布版本中注册。

如果省略 --num-nodes 标志，则集群会默认为每个区域创建三个节点。由于指定了三个地区，因此该命令会创建一个包含九个节点的集群，us-central1-a、us-central1-b、us-central1-c 中各有三个节点。

gcloud container clusters create example-cluster \
    --zone us-central1-a \
    --node-locations us-central1-a,us-central1-b,us-central1-c

如需使用 Google Cloud 控制台创建可用区级集群，请执行以下任务：

1. 转到 Google Cloud 控制台中的 Google Kubernetes Engine 页面。

   转到 Google Kubernetes Engine

2. 点击 创建。

3. 在集群基本信息部分，完成以下操作：

   1. 为集群输入名称。
   2. 对于位置类型，选择可用区，然后为您的集群选择所需的可用区。
   3. 如果要创建多可用区集群，请选中指定默认节点位置复选框，然后选择您希望运行节点池的其他可用区。

   4. 选择发布渠道。您可以根据需要从下拉列表中选择无渠道，但我们建议您查看已注册发布渠道和未注册发布渠道的集群之间的比较，然后再选择此选项。GKE 会自动使用来自稳定渠道的版本升级不在发布渠道中的集群。

   5. 可选：从版本下拉列表中指定控制平面版本。

4. 可选（适用于 GKE Enterprise）：如果您要将新集群注册到舰队，请前往舰队注册部分，然后按照 Google Cloud 控制台有关创建和注册新集群的说明完成集群注册。

5. 在导航窗格的节点池下，点击默认池 (default-pool)。

6. 在节点池详情部分，完成以下操作：

   1. 为默认节点池输入一个名称。
   2. 可选：选择节点版本。
   3. 输入要在集群中创建的节点数。您必须具有节点及其资源（例如防火墙路由）的可用资源配额。
   4. 可选：您可以选择停用节点自动升级，但我们建议您在选择此选项之前先查看停用节点自动升级功能之前的注意事项。

7. 在导航窗格的节点池下，点击节点。

8. 从映像类型下拉列表中，选择节点映像。

9. 选择要用于实例的默认机器配置。每种机器类型的计费方式都各不相同。默认机器类型为 e2-medium。如需了解机器类型价格信息，请参阅机器类型价格表。

10. 从启动磁盘类型下拉列表中，选择磁盘类型。

11. 输入启动磁盘大小。

12. 可选：在导航窗格的节点池下，点击安全。

13. （可选）为节点指定自定义 IAM 服务账号：
    1. 在高级设置页面中，展开安全部分。
    2. 在服务账号菜单中，选择您想使用的服务账号。

    我们强烈建议您指定节点可以使用的具有最低权限的 IAM 服务账号，而不是 Compute Engine 默认服务账号。如需了解如何创建具有最低权限的服务账号，请参阅使用最小权限服务账号。

注意：创建后，您无法修改现有节点池的服务账号。

14. 点击创建。

如需使用 Terraform 创建具有单可用区节点池的可用区级集群，请参阅以下示例：

resource "google_container_cluster" "default" {
  name               = "gke-standard-zonal-single-zone"
  location           = "us-central1-a"
  initial_node_count = 1

  # Set `deletion_protection` to `true` will ensure that one cannot
  # accidentally delete this instance by use of Terraform.
  deletion_protection = false
}

如需使用 Terraform 创建具有多可用区节点池的可用区级集群，请参阅以下示例：

resource "google_container_cluster" "default" {
  name               = "gke-standard-zonal-multi-zone"
  location           = "us-central1-a"
  node_locations     = ["us-central1-b", "us-central1-c"]
  initial_node_count = 2

  # Set `deletion_protection` to `true` will ensure that one cannot
  # accidentally delete this instance by use of Terraform.
  deletion_protection = false
}

如需详细了解如何使用 Terraform，请参阅针对 GKE 的 Terraform 支持。

使用 kubectl 与集群交互

创建集群后，您需要配置 kubectl，然后才能通过命令行与集群交互。

集群模板

GKE 之前支持集群模板。这些模板已从 Google Cloud 控制台中移除，但仍可通过以下链接访问：

• 您的第一个集群

  注意：GKE 为我的第一个集群提供了操作指南。

• CPU 密集型应用

• 内存密集型应用

• GPU 加速计算

• 高可用性

后续步骤

• 了解您可以创建的集群配置选项。
• 了解 GKE 集群架构。
• 了解如何管理集群。
• 了解如何删除集群。

自行试用

如果您是 Google Cloud 新手，请创建一个账号来评估 GKE 在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

免费试用 GKE