Pelajari cara membuat instance Pengontrol Konfigurasi yang sudah diinstal sebelumnya dengan Config Connector, Pengontrol Kebijakan, dan Config Sync. Selanjutnya, pelajari cara memanfaatkan instance dengan menyelesaikan tugas berikut:
- Gunakan Config Connector untuk membuat dan mengelola resource Google Cloud.
- Membuat batasan Pengontrol Kebijakan untuk menerapkan kebijakan dan mendeteksi pelanggaran kebijakan sebelum di-deploy.
- Siapkan GitOps dengan mengonfigurasi Config Sync agar disinkronkan dari repositori contoh yang berisi resource Google Cloud.
Sebelum memulai
- Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.
- Menginstal Google Cloud CLI.
-
Untuk initialize gcloud CLI, jalankan perintah berikut:
gcloud init
-
Buat atau pilih project Google Cloud.
-
Membuat project Google Cloud:
gcloud projects create PROJECT_ID
Ganti
PROJECT_ID
dengan nama untuk project Google Cloud yang Anda buat. -
Pilih project Google Cloud yang Anda buat:
gcloud config set project PROJECT_ID
Ganti
PROJECT_ID
dengan nama project Google Cloud Anda.
-
-
Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.
-
Enable the KRM, GKE, GKE Enterprise, Resource Manager, and Service Usage APIs:
gcloud services enable krmapihosting.googleapis.com
container.googleapis.com anthos.googleapis.com cloudresourcemanager.googleapis.com serviceusage.googleapis.com - Menginstal Google Cloud CLI.
-
Untuk initialize gcloud CLI, jalankan perintah berikut:
gcloud init
-
Buat atau pilih project Google Cloud.
-
Membuat project Google Cloud:
gcloud projects create PROJECT_ID
Ganti
PROJECT_ID
dengan nama untuk project Google Cloud yang Anda buat. -
Pilih project Google Cloud yang Anda buat:
gcloud config set project PROJECT_ID
Ganti
PROJECT_ID
dengan nama project Google Cloud Anda.
-
-
Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.
-
Enable the KRM, GKE, GKE Enterprise, Resource Manager, and Service Usage APIs:
gcloud services enable krmapihosting.googleapis.com
container.googleapis.com anthos.googleapis.com cloudresourcemanager.googleapis.com serviceusage.googleapis.com
Membuat instance Pengontrol Konfigurasi
Di terminal, buat instance Pengontrol Konfigurasi Autopilot:
gcloud anthos config controller create cc-example \ --location=us-central1 \ --full-management
Operasi ini dapat memakan waktu hingga 15 menit.
Output-nya adalah sebagai berikut:
Created instance [cc-example]. Fetching cluster endpoint and auth data. kubeconfig entry generated for krmapihost-cc-example.
Untuk mengonfigurasi
kubectl
agar berkomunikasi dengan endpoint Pengontrol Konfigurasi, dapatkan kredensial autentikasi dan informasi endpoint yang diperlukan:gcloud anthos config controller get-credentials cc-example \ --location us-central1
Pastikan bahwa instance Anda dibuat dengan melihat daftar instance Config Controller:
gcloud anthos config controller list --location=us-central1
Output-nya adalah sebagai berikut:
NAME LOCATION STATE cc-example us-central1 RUNNING
Berikan izin yang diperlukan Pengontrol Konfigurasi
Di bagian ini, Anda memberikan izin Pengontrol Konfigurasi untuk mengelola resource Google Cloud:
Setel variabel lingkungan untuk email akun layanan Anda:
export SA_EMAIL="$(kubectl get ConfigConnectorContext -n config-control \ -o jsonpath='{.items[0].spec.googleServiceAccount}' 2> /dev/null)"
Buat binding kebijakan:
gcloud projects add-iam-policy-binding PROJECT_ID \ --member "serviceAccount:${SA_EMAIL}" \ --role "roles/owner" \ --project PROJECT_ID
Ganti
PROJECT_ID
dengan project ID Anda.Outputnya mirip dengan hal berikut ini:
Updated IAM policy for project [PROJECT_ID]. auditConfigs: - auditLogConfigs: - logType: ADMIN_READ - logType: DATA_READ - logType: DATA_WRITE service: gkehub.googleapis.com # Remainder of output omitted
Menggunakan instance Pengontrol Konfigurasi
Bagian berikut memperkenalkan cara menggunakan instance Pengontrol Konfigurasi.
Membuat resource Google Cloud dengan Config Connector
Dengan instance Pengontrol Konfigurasi, Anda dapat memanfaatkan Config Connector untuk mengelola banyak layanan dan resource Google Cloud menggunakan API dan alat Kubernetes. Di bagian ini, Anda akan menggunakan Pengontrol Konfigurasi untuk membuat resource PubSubTopic
.
Untuk membuat topik Pub/Sub menggunakan Config Connector, selesaikan langkah-langkah berikut:
Gunakan Config Connector untuk mengaktifkan Pub/Sub API:
Dengan menggunakan editor teks pilihan Anda, buat file bernama
enable-pubsub.yaml
dan salin YAML berikut ke dalamnya:# enable-pubsub.yaml apiVersion: serviceusage.cnrm.cloud.google.com/v1beta1 kind: Service metadata: name: pubsub.googleapis.com namespace: config-control spec: projectRef: external: projects/PROJECT_ID
Ganti
PROJECT_ID
dengan project ID Anda.Untuk mengaktifkan Pub/Sub API, terapkan manifes ke cluster Anda:
kubectl apply -f enable-pubsub.yaml
Mengaktifkan API ini mungkin memerlukan waktu beberapa menit.
Gunakan Config Connector untuk membuat topik Pub/Sub:
Buat file bernama
pubsub-topic.yaml
dan salin YAML berikut ke dalam file tersebut:# pubsub-topic.yaml apiVersion: pubsub.cnrm.cloud.google.com/v1beta1 kind: PubSubTopic metadata: annotations: cnrm.cloud.google.com/project-id: PROJECT_ID labels: label-one: "value-one" name: example-topic namespace: config-control
Buat topik Pub/Sub:
kubectl apply -f pubsub-topic.yaml
Pastikan bahwa Pengontrol Konfigurasi telah membuat resource Anda di Google Cloud dengan melihat daftar topik Pub/Sub:
gcloud pubsub topics list
Outputnya mirip dengan hal berikut ini:
--- name: projects/PROJECT_ID/topics/start-instance-event --- labels: label-one: value-one managed-by-cnrm: 'true' name: projects/PROJECT_ID/topics/example-topic
Menerapkan kebijakan dengan Pengontrol Kebijakan
Instance Pengontrol Konfigurasi memungkinkan Anda menggunakan batasan Pengontrol Kebijakan dan Pengontrol Kebijakan. Sebagai bagian dari penginstalan Pengontrol Kebijakan, Pengontrol Konfigurasi otomatis menginstal library template batasan. Anda dapat menggunakan template dalam library ini untuk menerapkan berbagai kontrol kepatuhan dan keamanan umum pada instance Pengontrol Konfigurasi.
Di bagian ini, Anda akan membuat batasan menggunakan
template
batasan GCPStorageLocationConstraintV1
. Template ini memungkinkan Anda membatasi lokasi pembuatan bucket Cloud Storage. Batasan yang Anda buat menggunakan template ini
membatasi lokasi ke us-central1
. Anda mungkin ingin menggunakan batasan ini
untuk memastikan bucket dibuat di region yang menawarkan harga
dan performa terbaik.
Untuk membuat batasan:
Buat file bernama
bucket-constraint.yaml
dan salin YAML berikut ke dalamnya:# bucket-constraint.yaml apiVersion: constraints.gatekeeper.sh/v1beta1 kind: GCPStorageLocationConstraintV1 metadata: name: storage-only-in-us-central1 spec: match: kinds: - apiGroups: - storage.cnrm.cloud.google.com kinds: - StorageBucket parameters: locations: - us-central1
Buat batasan:
kubectl apply -f bucket-constraint.yaml
Output-nya adalah sebagai berikut:
gcpstoragelocationconstraintv1.constraints.gatekeeper.sh/storage-only-in-us-central1 created`
Tunjukkan bahwa batasan tersebut berfungsi dengan mencoba menggunakan Config Connector untuk membuat resource StorageBucket di
asia-southeast1
:Buat file bernama
asia-storage-bucket.yaml
dan salin YAML berikut ke dalamnya:# asia-storage-bucket.yaml apiVersion: storage.cnrm.cloud.google.com/v1beta1 kind: StorageBucket metadata: name: bucket-in-disallowed-location namespace: config-control spec: location: asia-southeast1
Coba buat bucket Cloud Storage:
kubectl apply -f asia-storage-bucket.yaml
Output-nya adalah sebagai berikut:
Error from server (Forbidden): error when creating "STDIN": admission webhook "validation.gatekeeper.sh" denied the request: [storage-only-in-us-central1] Cloud Storage bucket <bucket-in-disallowed-location> uses a disallowed location <asia-southeast1>, allowed locations are ["us-central1"]
Menyiapkan GitOps dengan Config Sync
Config Sync adalah layanan GitOps yang memungkinkan Anda menyinkronkan instance Pengontrol Konfigurasi ke konfigurasi, kebijakan, dan resource Google Cloud yang disimpan dalam repositori Git, image OCI, atau repositori Helm. Karena Config Sync terus-menerus merekonsiliasi status Pengontrol Konfigurasi dengan konfigurasi di sumber, Anda dapat membantu memastikan bahwa instance memiliki konfigurasi yang konsisten.
Di bagian ini, Anda akan menyinkronkan instance Pengontrol Konfigurasi ke repositori GitHub publik. Repositori ini berisi
resource PubSubTopic
lain. Dengan menyinkronkan instance Anda dari repositori ini, resource akan otomatis dibuat dan diterapkan ke instance Anda. Anda dapat memilih untuk membuat resource menggunakan Config Sync (bukan menerapkan resource secara langsung) jika ingin menggunakan alur kerja GitOps.
Untuk menyinkronkan dari GitHub, siapkan Cloud NAT. Anda perlu melakukannya karena instance Config Controller Anda didukung oleh cluster edisi Google Kubernetes Engine (GKE) Enterprise pribadi dan node cluster pribadi tidak memiliki akses internet keluar:
Membuat router Cloud NAT. Anda memerlukan {i>router<i} ini untuk menyiapkan {i>gateway NAT<i} Anda.
gcloud compute routers create cc-nat-router \ --network default \ --region us-central1
Outputnya mirip dengan hal berikut ini:
Creating router [cc-nat-router]...done. NAME REGION NETWORK cc-nat-router us-central1 default
Siapkan gateway NAT di router yang Anda buat di langkah sebelumnya:
gcloud compute routers nats create cc-nat-config \ --router-region us-central1 \ --router cc-nat-router \ --nat-all-subnet-ip-ranges \ --auto-allocate-nat-external-ips
Output-nya adalah sebagai berikut:
Creating NAT [cc-nat-config] in router [cc-nat-router]...done.
Untuk mengonfigurasi instance Pengontrol Konfigurasi Anda agar disinkronkan dari repositori contoh, buat file bernama
cc-rootsync.yaml
dan salin YAML berikut ke dalamnya:# cc-rootsync.yaml apiVersion: configsync.gke.io/v1beta1 kind: RootSync metadata: name: root-sync namespace: config-management-system spec: sourceFormat: unstructured git: repo: https://github.com/GoogleCloudPlatform/anthos-config-management-samples branch: main dir: config-controller-quickstart auth: none
Terapkan konfigurasi:
kubectl apply -f cc-rootsync.yaml
Setelah instance Anda disinkronkan dari repositori, Config Sync akan membuat topik Pub/Sub dan menerapkannya ke instance Pengontrol Konfigurasi Anda.
Pastikan Config Sync menyinkronkan repositori Git ke instance Config Controller Anda:
nomos status --contexts gke_PROJECT_ID_us-central1_krmapihost-cc-example
Outputnya mirip dengan hal berikut ini:
*gke_PROJECT_ID_us-central1_krmapihost-cc-example -------------------- <root>:root-sync https://github.com/GoogleCloudPlatform/anthos-config-management-samples/config-controller-quickstart@main SYNCED @ 2023-01-10 18:31:02 +0000 UTC 715b4295d3eac07b057cce2543275c1ee104cad8 Managed resources: NAMESPACE NAME STATUS SOURCEHASH config-control pubsubtopic.pubsub.cnrm.cloud.google.com/pubsub-topic-sample-sync Current 715b429 config-control service.serviceusage.cnrm.cloud.google.com/pubsub.googleapis.com Current 715b429
Jika Anda tidak melihat output ini, tunggu beberapa menit dan coba lagi.
Verifikasi bahwa Pengontrol Konfigurasi telah membuat resource Anda:
gcloud pubsub topics list
Outputnya mirip dengan hal berikut ini:
name: projects/PROJECT_ID/topics/start-instance-event --- labels: managed-by-cnrm: 'true' name: projects/PROJECT_ID/topics/sample-topic --- labels: managed-by-cnrm: 'true' name: projects/PROJECT_ID/topics/pubsub-topic-sample-sync --- labels: label-one: value-one managed-by-cnrm: 'true' name: projects/PROJECT_ID/topics/example-topic
Dalam output ini, Anda dapat melihat Pub/Sub yang Anda buat di bagian Membuat instance Pengontrol Konfigurasi dan yang Anda buat dengan menyinkronkan instance Anda ke repositori GitHub.
Pembersihan
Agar tidak menimbulkan biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project tersebut dan hapus resource individual.
Menghapus project
Menghapus project Google Cloud:
gcloud projects delete PROJECT_ID
Menghapus resource satu per satu
Hapus resource
PubSubTopic
Config Connector:kubectl delete -f pubsub-topic.yaml
Hapus batasan Pengontrol Kebijakan:
kubectl delete -f bucket-constraint.yaml
Hapus router NAT:
gcloud compute routers delete cc-nat-router \ --project=PROJECT_ID \ --region=us-central1
Tekan
y
saat diminta.Hapus resource Pub/Sub yang dibuat oleh Config Sync:
kubectl delete PubSubTopic pubsub-topic-sample-sync -n config-control
Hapus resource RootSync:
kubectl delete rootsync root-sync -n config-management-system
Dengan menggunakan editor teks pilihan Anda, hapus semua file YAML yang Anda buat:
enable-pubsub.yaml
pubsub-topic.yaml
bucket-constraint.yaml
asia-storage-bucket.yaml
cc-rootsync.yaml
Hapus instance Pengontrol Konfigurasi:
gcloud anthos config controller delete --location=us-central1 cc-example
Tekan
y
saat diminta.
Langkah selanjutnya
- Pelajari cara menyiapkan Pengontrol Konfigurasi.
- Pelajari Pengontrol Konfigurasi lebih lanjut.