Menggunakan repositori hierarkis

Halaman ini menjelaskan cara Config Sync membaca konfigurasi dari sumber tepercaya hierarkis dan menerapkan konfigurasi yang dihasilkan ke kluster Anda secara otomatis.

Jika menginginkan fleksibilitas struktural yang lebih besar (misalnya, Anda ingin membuat subfolder resource), Anda dapat membuat sumber tepercaya yang tidak terstruktur. Sumber tepercaya yang tidak terstruktur direkomendasikan untuk sebagian besar kasus penggunaan. Jika sudah menggunakan sumber tepercaya hierarkis, Anda dapat mengonversinya menjadi sumber tepercaya tidak terstruktur.

Untuk memahami cara Config Sync menggunakan repositori hierarkis, sebaiknya Anda memahami repositori Git dan antarmuka command line git.

Struktur direktori

Untuk sumber hierarkis, Config Sync memanfaatkan struktur seperti sistem file, dan menggunakan direktori untuk menentukan cluster atau namespace yang relevan dengan konfigurasi.

namespaces/

Direktori namespaces/ berisi konfigurasi untuk namespace dan objek cakupan namespace. Struktur dalam namespaces/ adalah mekanisme yang mendorong pewarisan namespace. Anda dapat membatasi namespace mana yang dapat mewarisi konfigurasi, dengan menggunakan NamespaceSelector.

cluster/

Direktori cluster/ berisi konfigurasi yang berlaku untuk seluruh cluster, bukan namespace. Secara default, konfigurasi apa pun di direktori cluster/ berlaku untuk setiap cluster yang terdaftar di Config Sync. Anda dapat membatasi cluster yang dapat terpengaruh oleh konfigurasi menggunakan ClusterSelector.

clusterregistry/

Direktori clusterregistry/ bersifat opsional, dan berisi konfigurasi untuk ClusterSelectors. ClusterSelectors membatasi cluster yang diterapkan konfigurasi, dan direferensikan dalam konfigurasi yang ditemukan di direktori cluster/ dan namespaces/.

system/

Direktori system/ berisi konfigurasi untuk Operator.

Contoh sumber tepercaya hierarkis

Struktur direktori berikut menunjukkan cara menggunakan sumber tepercaya hierarkis Config Sync untuk mengonfigurasi cluster Kubernetes yang digunakan bersama oleh dua tim yang berbeda, team-1 dan team-2.

  • Setiap tim memiliki namespace Kubernetes, akun layanan Kubernetes, kuota resource, kebijakan jaringan, dan penetapan peran mereka sendiri.
  • Administrator cluster menyiapkan kebijakan di namespaces/limit-range.yaml untuk membatasi alokasi resource (ke Pod atau penampung) di kedua namespace.
  • Administrator cluster juga menyiapkan ClusterRoles dan ClusterRoleBindings.

Sumber hierarkis Config Sync yang valid harus menyertakan tiga subdirektori: cluster/, namespaces/, dan system/.

Direktori cluster/ berisi konfigurasi yang berlaku untuk seluruh cluster (seperti ClusterRole, ClusterRoleBinding), bukan untuk namespace.

Direktori namespaces/ berisi konfigurasi untuk objek namespace dan objek cakupan namespace. Setiap subdirektori di bagian namespaces/ menyertakan konfigurasi untuk objek namespace dan semua objek cakupan namespace di bagian namespace. Nama subdirektori harus sama dengan nama objek namespace. Objek cakupan namespace yang perlu dibuat di setiap namespace, dapat ditempatkan langsung di bawah namespaces/ (misalnya, namespaces/limit-range.yaml).

Direktori system/ berisi konfigurasi untuk Operator ConfigManagement.

├── cluster
│   ├── clusterrolebinding-namespace-reader.yaml
│   ├── clusterrole-namespace-reader.yaml
│   ├── clusterrole-secret-admin.yaml
│   └── clusterrole-secret-reader.yaml
├── namespaces
│   ├── limit-range.yaml
│   ├── team-1
│   │   ├── namespace.yaml
│   │   ├── network-policy-default-deny-egress.yaml
│   │   ├── resource-quota-pvc.yaml
│   │   ├── rolebinding-secret-reader.yaml
│   │   └── sa.yaml
│   └── team-2
│       ├── namespace.yaml
│       ├── network-policy-default-deny-all.yaml
│       ├── resource-quota-pvc.yaml
│       ├── rolebinding-secret-admin.yaml
│       └── sa.yaml
├── README.md
└── system
    └── repo.yaml

Menggunakan pewarisan namespace dan namespace abstrak

Dengan sumber tepercaya hierarkis, Anda dapat menggunakan konsep pewarisan namespace untuk menerapkan konfigurasi secara otomatis ke grup namespace di semua cluster tempat namespace tersebut ada (atau seharusnya ada).

Pewarisan namespace berlaku untuk direktori namespaces/ repositori hierarkis dan semua subdirektorinya. Konfigurasi di direktori lain dalam repositori, seperti cluster/, tidak tunduk pada pewarisan.

Dalam sumber tepercaya hierarkis, direktori namespaces/ dapat berisi dua jenis subdirektori yang berbeda:

  • Direktori namespace berisi konfigurasi untuk namespace. Nama file yang berisi konfigurasi tidak penting, tetapi konfigurasi harus memiliki kind: Namespace. Direktori namespace juga dapat berisi konfigurasi untuk jenis objek Kubernetes lainnya. Direktori namespace tidak boleh berisi subdirektori. Konfigurasi namespace mewakili namespace yang sebenarnya dalam cluster.

  • Direktori namespace abstrak berisi direktori namespace. File ini juga dapat berisi konfigurasi untuk objek Kubernetes lainnya, tetapi tidak dapat langsung berisi konfigurasi untuk namespace. Direktori namespace abstrak tidak mewakili objek di cluster Kubernetes, tetapi direktori namespace turunannya melakukannya.

Untuk membantu memastikan bahwa sumber namespace dan namespace abstrak Anda memiliki jenis konfigurasi dan struktur yang benar, error KNV1003: IllegalNamespaceSubdirectoryError akan melaporkan jika ada masalah.

Konfigurasi dalam direktori namespace hanya berlaku untuk namespace tersebut. Namun, konfigurasi dalam direktori namespace abstrak diterapkan ke semua direktori namespace turunan namespace abstrak tersebut (atau namespace turunan yang cocok dengan NamespaceSelector konfigurasi, jika ada).

Pewarisan konfigurasi di direktori namespaces/ sebagian besar didasarkan pada lokasinya dalam hierarki direktori di sumber tepercaya. Untuk memahami konfigurasi mana yang diterapkan ke namespace tertentu di cluster tertentu, Anda dapat menjelajahi repositori contoh pewarisan namespace.

Namespace yang dibatasi

config-management-system adalah namespace yang dibatasi. Anda tidak dapat menggunakannya sebagai direktori namespace abstrak. Anda dapat menentukan namespace config-management-system, tetapi satu-satunya jenis resource yang diizinkan untuk namespace config-management-system adalah RootSync.

Membuat perubahan di sumber tepercaya

Saat Anda membuat perubahan pada sumber tepercaya yang membuat atau menghapus direktori namespace dari dalam direktori namespaces/, Anda mungkin mendapatkan hasil yang tidak terduga bergantung pada tindakannya:

  • Membuat direktori: saat hierarki namespaces/ yang valid di-commit ke sumber tepercaya, Config Sync akan membuat namespace, lalu membuat objek Kubernetes di namespace tersebut untuk setiap konfigurasi yang berisi atau diwarisi direktori namespace.
  • Menghapus direktori: menghapus direktori namespace adalah operasi destruktif. Namespace, dan kontennya, akan dihapus, di setiap cluster yang dikelola oleh Config Sync tempat namespace berada. Jika Anda menghapus direktori namespace abstrak yang berisi direktori namespace turunan, semua namespace tersebut dan kontennya akan dihapus dari setiap cluster yang dikelola oleh Config Sync.

  • Mengganti nama direktori: Mengganti nama direktori namespace adalah penghapusan, diikuti dengan pembuatan dan dianggap sebagai operasi destruktif. Mengganti nama direktori namespace abstrak tidak akan terlihat secara eksternal.

  • Memindahkan direktori: memindahkan namespace atau direktori namespace abstrak dalam namespaces/ tidak akan menghapus namespace atau objek di dalamnya, kecuali jika namespace mulai atau berhenti mewarisi konfigurasi dari direktori namespace abstrak, karena perubahan dalam hierarkinya.

Langkah selanjutnya