Panduan memulai: Mengelola resource dengan Config Controller

Pelajari cara membuat instance Pengontrol Konfigurasi yang sudah terinstal dengan Config Connector, Pengontrol Kebijakan, dan Config Sync. Selanjutnya, pelajari cara memanfaatkan instance Anda dengan menyelesaikan tugas-tugas berikut:

• Gunakan Config Connector untuk membuat dan mengelola resource Google Cloud.
• Buat batasan Pengontrol Kebijakan untuk menerapkan kebijakan dan mendeteksi pelanggaran kebijakan sebelum di-deploy.
• Siapkan GitOps dengan mengonfigurasi Config Sync untuk disinkronkan dari sampel yang berisi resource Google Cloud.

Sebelum memulai

1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.
2. Menginstal Google Cloud CLI.

3. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

4. Buat atau pilih project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   • Membuat project Google Cloud:

     gcloud projects create PROJECT_ID

     Ganti PROJECT_ID dengan nama untuk project Google Cloud yang Anda buat.

   • Pilih project Google Cloud yang Anda buat:

     gcloud config set project PROJECT_ID

     Ganti PROJECT_ID dengan nama project Google Cloud Anda.

5. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

6. Aktifkan API KRM, GKE, GKE Enterprise, Resource Manager, and Service Usage:

   gcloud services enable krmapihosting.googleapis.com  container.googleapis.com  anthos.googleapis.com  cloudresourcemanager.googleapis.com  serviceusage.googleapis.com

7. Menginstal Google Cloud CLI.

8. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

9. Buat atau pilih project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   • Membuat project Google Cloud:

     gcloud projects create PROJECT_ID

     Ganti PROJECT_ID dengan nama untuk project Google Cloud yang Anda buat.

   • Pilih project Google Cloud yang Anda buat:

     gcloud config set project PROJECT_ID

     Ganti PROJECT_ID dengan nama project Google Cloud Anda.

10. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

11. Aktifkan API KRM, GKE, GKE Enterprise, Resource Manager, and Service Usage:

    gcloud services enable krmapihosting.googleapis.com  container.googleapis.com  anthos.googleapis.com  cloudresourcemanager.googleapis.com  serviceusage.googleapis.com

Membuat instance Pengontrol Konfigurasi

1. Di terminal, buat Pengontrol Konfigurasi Autopilot :

   gcloud anthos config controller create cc-example \
       --location=us-central1 \
       --full-management
   

   Operasi ini dapat memerlukan waktu hingga 15 menit hingga selesai.

   Outputnya adalah sebagai berikut:

   Created instance [cc-example].
   Fetching cluster endpoint and auth data.
   kubeconfig entry generated for krmapihost-cc-example.
   

2. Untuk mengonfigurasi kubectl agar berkomunikasi dengan Pengontrol Konfigurasi endpoint, dapatkan kredensial autentikasi dan endpoint yang diperlukan informasi:

   gcloud anthos config controller get-credentials cc-example \
       --location us-central1
   

3. Verifikasi bahwa instance Anda sudah selesai dibuat dengan melihat daftar Instance Pengontrol Konfigurasi:

   gcloud anthos config controller list --location=us-central1
   

   Outputnya adalah sebagai berikut:

   NAME                 LOCATION                 STATE
   cc-example           us-central1              RUNNING
   

Berhasil: Anda sekarang memiliki instance Pengontrol Konfigurasi yang dapat digunakan untuk memanfaatkan komponen Sinkronisasi Konfigurasi, Pengontrol Kebijakan, dan Pengontrol Konfigurasi serta menyederhanakan pengelolaan cluster Anda.

Berikan izin yang diperlukan Pengontrol Konfigurasi

Di bagian ini, Anda memberikan izin Pengontrol Konfigurasi untuk mengelola Google Cloud referensi:

1. Tetapkan variabel lingkungan untuk email akun layanan Anda:

   export SA_EMAIL="$(kubectl get ConfigConnectorContext -n config-control \
       -o jsonpath='{.items[0].spec.googleServiceAccount}' 2> /dev/null)"
   

2. Buat binding kebijakan:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member "serviceAccount:${SA_EMAIL}" \
       --role "roles/owner" \
       --project PROJECT_ID
   

   Ganti PROJECT_ID dengan project ID Anda.

   Outputnya mirip dengan hal berikut ini:

   Updated IAM policy for project [PROJECT_ID].
   auditConfigs:
   - auditLogConfigs:
     - logType: ADMIN_READ
     - logType: DATA_READ
     - logType: DATA_WRITE
     service: gkehub.googleapis.com
   # Remainder of output omitted
   

Menggunakan instance Pengontrol Konfigurasi Anda

Bagian berikut memperkenalkan cara menggunakan instance Pengontrol Konfigurasi.

Membuat resource Google Cloud dengan Config Connector

Dengan instance Pengontrol Konfigurasi, Anda dapat memanfaatkan Config Connector untuk mengelola banyak layanan dan resource Google Cloud menggunakan alat Kubernetes dan Google Cloud Platform. Di bagian ini, Anda akan menggunakan Pengontrol Konfigurasi untuk membuat Referensi PubSubTopic.

Untuk membuat topik Pub/Sub menggunakan Config Connector, selesaikan langkah-langkah berikut:

1. Gunakan Config Connector untuk mengaktifkan Pub/Sub API:

   1. Dengan editor teks pilihan Anda, buat file bernama enable-pubsub.yaml dan salin YAML berikut ke dalamnya:

      # enable-pubsub.yaml
      apiVersion: serviceusage.cnrm.cloud.google.com/v1beta1
      kind: Service
      metadata:
        name: pubsub.googleapis.com
        namespace: config-control
      spec:
        projectRef:
          external: projects/PROJECT_ID
      

      Ganti PROJECT_ID dengan project ID Anda.

   2. Untuk mengaktifkan Pub/Sub API, terapkan manifes ke cluster Anda:

      kubectl apply -f enable-pubsub.yaml
      

      Pengaktifan API ini mungkin memerlukan waktu beberapa menit.

2. Gunakan Config Connector untuk membuat topik Pub/Sub:

   1. Buat file bernama pubsub-topic.yaml dan salin YAML berikut ke dalam hal tersebut:

      # pubsub-topic.yaml
      apiVersion: pubsub.cnrm.cloud.google.com/v1beta1
      kind: PubSubTopic
      metadata:
        annotations:
          cnrm.cloud.google.com/project-id: PROJECT_ID
        labels:
          label-one: "value-one"
        name: example-topic
        namespace: config-control
      

   2. Buat topik Pub/Sub:

      kubectl apply -f pubsub-topic.yaml
      

3. Memastikan Pengontrol Konfigurasi telah membuat resource Anda di Google Cloud dengan melihat daftar topik Pub/Sub:

   gcloud pubsub topics list
   

   Outputnya mirip dengan hal berikut ini:

   ---
   name: projects/PROJECT_ID/topics/start-instance-event
   ---
   labels:
     label-one: value-one
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/example-topic
   

Berhasil: Sekarang Anda telah membuat topik Pub/Sub dengan Pengontrol Konfigurasi. Dengan menggunakan proses yang sama, Anda dapat membuat beberapa jenis akses terperinci ke resource Google Cloud tertentu. Untuk mengetahui daftar lengkapnya, lihat Config Connector resource.

Menerapkan kebijakan dengan Pengontrol Kebijakan

Instance Pengontrol Konfigurasi memungkinkan Anda menggunakan Pengontrol Kebijakan dan Batasan Pengontrol Kebijakan. Sebagai bagian dari instalasi {i>Policy Controller<i}, Pengontrol Konfigurasi secara otomatis menginstal library template batasan. Anda dapat menggunakan template di library ini untuk menerapkan berbagai kontrol kepatuhan dan keamanan pada instance Pengontrol Konfigurasi Anda.

Di bagian ini, Anda akan membuat batasan menggunakan GCPStorageLocationConstraintV1 template batasan. Template ini memungkinkan Anda membatasi lokasi yang dapat dibuat bucket Cloud Storage. Batasan yang Anda buat menggunakan template ini membatasi lokasi ke us-central1. Anda mungkin ingin menggunakan batasan ini untuk memastikan bucket Anda dibuat di region yang menawarkan harga terbaik dan performa.

Untuk membuat batasan:

1. Buat file bernama bucket-constraint.yaml dan salin YAML berikut ke dalamnya:

   # bucket-constraint.yaml
   apiVersion: constraints.gatekeeper.sh/v1beta1
   kind: GCPStorageLocationConstraintV1
   metadata:
     name: storage-only-in-us-central1
   spec:
     match:
       kinds:
       - apiGroups:
         - storage.cnrm.cloud.google.com
         kinds:
         - StorageBucket
     parameters:
       locations:
       - us-central1
   

2. Buat batasan:

   kubectl apply -f bucket-constraint.yaml
   

   Outputnya adalah sebagai berikut:

   gcpstoragelocationconstraintv1.constraints.gatekeeper.sh/storage-only-in-us-central1 created`
   

3. Tunjukkan bahwa batasan berfungsi dengan mencoba menggunakan Config Connector untuk membuat StorageBucket referensi di asia-southeast1:

   1. Buat file bernama asia-storage-bucket.yaml dan salin perintah berikut YAML ke dalamnya:

      # asia-storage-bucket.yaml
      apiVersion: storage.cnrm.cloud.google.com/v1beta1
      kind: StorageBucket
      metadata:
        name: bucket-in-disallowed-location
        namespace: config-control
      spec:
        location: asia-southeast1
      

   2. Cobalah untuk membuat bucket Cloud Storage:

      kubectl apply -f asia-storage-bucket.yaml
      

      Outputnya adalah sebagai berikut:

      Error from server (Forbidden): error when creating "STDIN": admission webhook "validation.gatekeeper.sh" denied the request: [storage-only-in-us-central1] Cloud Storage bucket <bucket-in-disallowed-location> uses a disallowed location <asia-southeast1>, allowed locations are ["us-central1"]
      

Berhasil: Pengontrol Kebijakan menerapkan batasan tersebut. Sekarang Anda hanya dapat membuat Bucket Cloud Storage di us-central1. Untuk mempelajari lebih lanjut tentang cara menggunakan batasan, lihat Menggunakan library template batasan.

Menyiapkan GitOps dengan Config Sync

Config Sync adalah layanan GitOps yang Anda dapat menyinkronkan instance Pengontrol Konfigurasi ke konfigurasi, kebijakan, dan Resource Google Cloud yang disimpan di repositori Git, image OCI, atau Helm repositori resource. Karena Config Sync terus merekonsiliasi status Pengontrol Konfigurasi dengan konfigurasi di sumber, Anda dapat membantu memastikan instance Anda memiliki konfigurasi yang konsisten.

Di bagian ini, Anda akan menyinkronkan instance Pengontrol Konfigurasi ke repositori GitHub publik. Repositori ini berisi resource PubSubTopic lainnya. Dengan menyinkronkan instance Anda dari repositori ini, resource dibuat dan diterapkan ke instance Anda secara otomatis. Anda mungkin memilih untuk membuat resource Anda menggunakan Config Sync (bukan menerapkan resource secara langsung) jika ingin untuk menggunakan alur kerja GitOps.

Catatan: Dalam lingkungan produksi, Anda akan menggunakan repositori pribadi yang aman.

1. Untuk menyinkronkan dari GitHub, siapkan Cloud NAT. Anda perlu melakukan ini karena Instance Pengontrol Konfigurasi didukung oleh edisi Google Kubernetes Engine (GKE) Enterprise pribadi node cluster pribadi dan cluster tidak memiliki akses internet keluar:

   1. Membuat router Cloud NAT. Anda memerlukan router ini untuk menyiapkan Gateway NAT.

      gcloud compute routers create cc-nat-router \
          --network default \
          --region us-central1
      

      Outputnya mirip dengan hal berikut ini:

      Creating router [cc-nat-router]...done.
      NAME           REGION       NETWORK
      cc-nat-router  us-central1  default
      

   2. Siapkan gateway NAT pada {i>router<i} yang Anda buat di langkah sebelumnya langkah:

      gcloud compute routers nats create cc-nat-config \
          --router-region us-central1 \
          --router cc-nat-router \
          --nat-all-subnet-ip-ranges \
          --auto-allocate-nat-external-ips
      

      Outputnya adalah sebagai berikut:

      Creating NAT [cc-nat-config] in router [cc-nat-router]...done.
      

2. Untuk mengonfigurasi instance Pengontrol Konfigurasi agar disinkronkan dari contoh repositori, buat file bernama cc-rootsync.yaml, lalu salin kode berikut YAML ke dalamnya:

   # cc-rootsync.yaml
   apiVersion: configsync.gke.io/v1beta1
   kind: RootSync
   metadata:
     name: root-sync
     namespace: config-management-system
   spec:
     sourceFormat: unstructured
     git:
       repo: https://github.com/GoogleCloudPlatform/anthos-config-management-samples
       branch: main
       dir: config-controller-quickstart
       auth: none
   

3. Terapkan konfigurasi:

   kubectl apply -f cc-rootsync.yaml
   

   Setelah instance Anda disinkronkan dari repositori, Config Sync akan membuat topik Pub/Sub dan menerapkannya ke Pengontrol Konfigurasi di instance Compute Engine.

4. Memastikan bahwa Config Sync menyinkronkan repositori Git ke Instance Pengontrol Konfigurasi:

   nomos status --contexts gke_PROJECT_ID_us-central1_krmapihost-cc-example
   

   Outputnya mirip dengan hal berikut ini:

   *gke_PROJECT_ID_us-central1_krmapihost-cc-example
   --------------------
   <root>:root-sync                         https://github.com/GoogleCloudPlatform/anthos-config-management-samples/config-controller-quickstart@main
   SYNCED @ 2023-01-10 18:31:02 +0000 UTC   715b4295d3eac07b057cce2543275c1ee104cad8
   Managed resources:
      NAMESPACE        NAME                                                               STATUS   SOURCEHASH
      config-control   pubsubtopic.pubsub.cnrm.cloud.google.com/pubsub-topic-sample-sync  Current   715b429
      config-control   service.serviceusage.cnrm.cloud.google.com/pubsub.googleapis.com   Current   715b429
   

   Jika Anda tidak melihat output ini, tunggu beberapa menit dan coba lagi.

5. Pastikan Pengontrol Konfigurasi telah membuat resource Anda:

   gcloud pubsub topics list
   

   Outputnya mirip dengan hal berikut ini:

   name: projects/PROJECT_ID/topics/start-instance-event
   ---
   labels:
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/sample-topic
   ---
   labels:
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/pubsub-topic-sample-sync
   ---
   labels:
     label-one: value-one
     managed-by-cnrm: 'true'
   name: projects/PROJECT_ID/topics/example-topic
   

   Dalam output ini, Anda dapat melihat Pub/Sub yang Anda buat di Bagian Create a Config Controller instance dan yang Anda buat dengan menyinkronkan instance Anda ke repositori GitHub.

Berhasil: Sekarang Anda menggunakan Config Sync untuk men-deploy resource.

Pembersihan

Agar tidak menimbulkan biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource, atau pertahankan proyek dan menghapus sumber daya individual.

Menghapus project

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika menggunakan project yang sudah ada untuk tugas dalam dokumen ini, saat Anda menghapusnya, pekerjaan lain yang telah Anda lakukan dalam project tersebut juga akan terhapus.
• Project ID kustom hilang. Saat membuat project ini, Anda mungkin telah membuat project ID kustom yang ingin digunakan di masa mendatang. Untuk mempertahankan URL yang menggunakan project ID, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari berbagai arsitektur, tutorial, atau panduan memulai, menggunakan kembali project dapat membantu agar Anda tidak melampaui batas kuota project.

Menghapus project Google Cloud:

gcloud projects delete PROJECT_ID

Menghapus resource satu per satu

1. Hapus resource PubSubTopic Config Connector:

   kubectl delete -f pubsub-topic.yaml
   

2. Hapus batasan Pengontrol Kebijakan:

   kubectl delete -f bucket-constraint.yaml
   

3. Hapus router NAT:

   gcloud compute routers delete cc-nat-router \
       --project=PROJECT_ID \
       --region=us-central1
   

   Tekan y saat diminta.

4. Hapus resource Pub/Sub yang dibuat oleh Config Sync:

   kubectl delete PubSubTopic pubsub-topic-sample-sync -n config-control
   

5. Hapus resource RootSync:

   kubectl delete rootsync root-sync -n config-management-system
   

6. Dengan menggunakan editor teks pilihan Anda, hapus semua {i>file<i} YAML yang dibuat:

   • enable-pubsub.yaml
   • pubsub-topic.yaml
   • bucket-constraint.yaml
   • asia-storage-bucket.yaml
   • cc-rootsync.yaml

7. Hapus instance Pengontrol Konfigurasi:

   gcloud anthos config controller delete --location=us-central1 cc-example
   

   Tekan y saat diminta.

Langkah selanjutnya

• Pelajari cara melakukan penyiapan Pengontrol Konfigurasi.
• Pelajari lebih lanjut cara Pengontrol Konfigurasi.