Config Sync のインストールをカスタマイズする

Config Sync を使用すると、Git リポジトリ、OCI イメージ、Helm チャートなどの信頼できる一元的な情報源から構成を同期して、Kubernetes リソースを管理できます。デフォルトのインストール手順がニーズに合わない場合は、Config Sync のインストールをカスタマイズする必要があります。

このページでは、Config Sync の高度なインストールと構成を行う方法について説明します。インストールプロセスには次の手順が含まれます。

Google Cloud コンソール、Google Cloud CLI、または Terraform を使用して、個々のクラスタに Config Sync をインストールする。
ルートリポジトリの構成（ソースタイプ、形式、認証など）。
Config Sync のインストールと構成が正常に完了したことを確認する。

制限事項

Config Sync では、 Google Cloud コンソールまたは Google Cloud CLI を使用した、ソースタイプとして helm を構成することはサポートされていません。Kubernetes API を使用して Helm リポジトリから同期するように RootSync オブジェクトまたは RepoSync オブジェクトを構成するか、別の信頼できるソースで宣言できます。詳細については、Helm リポジトリの構成をご覧ください。

始める前に

Config Sync をインストールする前に、信頼できる情報源と適切なクラスタを準備します。

Config Sync に信頼できる情報源へのアクセス権を付与する

信頼できる情報源からクラスタに構成を同期するには、Config Sync にリポジトリに対する読み取り専用権限が必要です。Config Sync が構成を読み取れるように承認するには、次の操作を行います。

Config Sync がクラスタに同期する構成ファイルを含む信頼できる情報源を作成するか、該当する情報源へのアクセス権を取得します。詳しくは、次のリソースをご覧ください。
- 信頼できる情報源に構成を追加する: 構成に関するコンセプト情報。
- GitOps のベストプラクティス: リポジトリの整理と管理に関するヒントと一般的なベストプラクティス。
- 非構造化リポジトリを使用する: 非構造化リポジトリの使用と整理に関する推奨事項。
信頼できる情報源が公開されている場合は、追加の操作は必要ありません。Config Sync には追加の権限は必要ありません。
信頼できるソースが非公開の場合は、次のいずれかのページの手順に沿って操作します。
- Config Sync に Git へのアクセス権を付与する。
- Config Sync に OCI または Helm へのアクセス権を付与する。

クラスタ要件を確認する

クラスタを作成する前に、クラスタの要件を確認してください。

Config Sync のインストール

Google Cloud コンソールまたは Google Cloud CLI を使用して Config Sync をインストールすると、root-sync という名前の RootSync オブジェクトが自動的に作成されます。kubectl コマンドを使用して root-sync を変更し、Config Sync の構成を追加できます。詳細については、kubectl コマンドを使用して Config Sync を構成するをご覧ください。

コンソール

Config Sync のインストール

Config Sync をインストールするには、すべてのクラスタをフリートに登録する必要があります。 Google Cloud コンソールで Config Sync をインストールするときに、個々のクラスタを選択すると、それらのクラスタがフリートに自動的に登録されます。

Google Cloud コンソールで、[機能] セクションの [構成] ページに移動します。

[構成] に移動

[ Config Sync のインストール] をクリックします。
使用する Config Sync のバージョンを選択します。
[インストールオプション] で、次のいずれかのオプションを選択します。
- フリート全体に Config Sync をインストールする（推奨）: フリート内のすべてのクラスタに Config Sync がインストールされます。
- 個々のクラスタに Config Sync をインストールする: 選択したクラスタに Config Sync がインストールされます。選択したクラスタは、フリートに自動的に登録されます。
個々のクラスタに Config Sync をインストールする場合は、使用可能なクラスタ テーブルで、Config Sync をインストールするクラスタを選択します。
[Config Sync のインストール] をクリックします。数分後、[設定] タブで、フリート内のクラスタの [ステータス] 列が「有効」になっていることを確認します。

パッケージをデプロイする

クラスタをフリートに登録し、Config Sync をインストールしたら、信頼できる情報源からクラスタにパッケージをデプロイするように Config Sync を構成できます。同じパッケージを複数のクラスタにデプロイする、または異なるパッケージを異なるクラスタにデプロイできます。パッケージ名や同期タイプなどの設定を除き、パッケージはデプロイ後に編集できます。詳細については、パッケージを管理するをご覧ください。

パッケージをデプロイする手順は次のとおりです。

Google Cloud コンソールで、Config Sync のダッシュボードに移動します。

Config Sync のダッシュボードに移動
[パッケージをデプロイ] をクリックします。
[Select clusters for package deployment] テーブルで、パッケージをデプロイするクラスタを選択し、[続行] をクリックします。
ソースタイプとして [Package hosted on Git] または [Package hosted on OCI] を選択し、[続行] をクリックします。
[Package details] セクションで、パッケージ名を入力します。この名前は RootSync オブジェクトまたは RepoSync オブジェクトを表します。
[同期タイプ] フィールドで、同期タイプとして [クラスタスコープの同期] または [Namespace スコープの同期] を選択します。

クラスタスコープの同期では RootSync オブジェクトが作成され、Namespace スコープの同期では RepoSync オブジェクトが作成されます。これらのオブジェクトの詳細については、Config Sync のアーキテクチャをご覧ください。
[ソース] セクションで、次の操作を行います。
- Git リポジトリでホストされているソースの場合は、次のフィールドを入力します。
  1. [リポジトリの URL] に、信頼できる情報源として使用する Git リポジトリの URL を入力します。
  2. 省略可: [リビジョン] フィールドを更新して、デフォルトの HEAD を使用していないかどうかを確認します。
  3. 省略可: ルートリポジトリから同期しない場合は、[パス] フィールドを更新します。
  4. 省略可: デフォルトの main ブランチを使用していない場合は、[ブランチ] フィールドを更新します。
- OCI イメージでホストされているソースの場合は、次のフィールドを入力します。
  1. [イメージ] に、信頼できる情報源として使用する OCI イメージの URL を入力します。
  2. [ディレクトリ] に、同期元となるディレクトリのパスをルートディレクトリからの相対パスとして入力します。
（省略可）: [詳細設定] セクションを開いて、次の操作を行います。
1. 認証タイプを選択します。Config Sync がソースの構成ファイルを読み取り、クラスタに適用するには、信頼できる情報源に対する読み取り専用アクセス権が必要です。ソースに公開リポジトリなどの認証が不要な場合を除き、Config Sync に、Git リポジトリ、OCI イメージ、または Helm チャート（gcloud CLI のみ）に対する読み取り専用アクセス権を付与してください。Config Sync のインストール時に構成したのと同じ認証タイプを選択します。
  
  注: OCI の場合、認証に選択できるのは Workload Identity のみです。
  - なし: 認証を使用しない
  - SSH: SSH 認証鍵ペアを使用して認証を行います。
  - Cookiefile: cookiefile を使用して認証します。
  - トークン: アクセストークンまたはパスワードを使用して認証します。
  - Google Cloud Repository: Google サービスアカウントを使用して Cloud Source Repositories にアクセスします。このオプションは、Workload Identity Federation for GKE がクラスタで有効になっていない場合にのみ選択してください。
  - Workload Identity: Google サービスアカウントを使用して、Cloud Source Repositories のリポジトリにアクセスします。
2. 同期の待機時間を秒単位で入力します。これにより、Config Sync が信頼できる情報源から pull を試みてから再度試行するまでの待機時間が決定されます。
3. 信頼できる情報源との通信時に使用する HTTPS プロキシの Git プロキシ URL を入力します。
4. [階層] を選択して [ソース形式] を変更します。
  
  ほとんどの場合は、デフォルト値の「Unstructured」をおすすめします。これにより、信頼できる情報源を必要に応じて整理できます。
[パッケージをデプロイ] をクリックします。

Config Sync の [パッケージ] ページにリダイレクトされます。数分後、構成したクラスタの [同期ステータス] 列に「同期済み」と表示されます。

gcloud

続行する前に、クラスタをフリートに登録していることを確認してください。

ConfigManagement フリート機能を有効にします。

gcloud beta container fleet config-management enable

apply-spec.yaml という名前のファイルを作成し、次の YAML ファイルをそのファイルにコピーして、構成を準備します。

マニフェストを作成するときに、必要な spec.configSync オプションフィールドをすべて設定して、後で kubectl コマンドを使用して構成を行うことができます。また、spec.configSync.enabled フィールドを true に設定して、オプションフィールドを省略することもできます。後で kubectl コマンドを使用して追加の RootSync オブジェクトを作成できます。また、後で kubectl コマンドで完全に管理できる RepoSync を作成することもできます。
```
# apply-spec.yaml

     applySpecVersion: 1
     spec:
       configSync:
         enabled: true
         # If you don't have a source of truth yet, omit the
         # following fields. You can configure them later.
         sourceType: SOURCE_TYPE
         sourceFormat: FORMAT
         syncRepo: REPO
         syncRev: REVISION
         secretType: SECRET_TYPE
         gcpServiceAccountEmail: EMAIL
         metricsGcpServiceAccountEmail: METRICS_EMAIL
         policyDir: DIRECTORY
         preventDrift: false
```
次のように置き換えます。
- SOURCE_TYPE: Git リポジトリから同期する場合は git、OCI イメージから同期する場合は oci、Helm チャートから同期する場合は helm を追加します。値を指定しない場合、デフォルトの git が使用されます。
- FORMAT: 非構造化リポジトリを使用するには unstructured を追加し、階層型リポジトリを使用するには hierarchy を追加します。この値では大文字と小文字が区別されます。このフィールドは省略可能で、デフォルト値は hierarchy です。unstructured を追加することをおすすめします。この形式では、自分が一番使いやすい方法で構成ファイルを整理できます。
- REPO: 信頼できる情報源の URL を追加します。Git リポジトリと Helm リポジトリの URL は、HTTPS または SSH プロトコルを使用します。例: https://github.com/GoogleCloudPlatform/anthos-config-management-samplessecretType として SSH を使用する場合は、SSH プロトコルを使用して URL を入力します。このフィールドは必須です。プロトコルを入力しない場合、URL は HTTPS URL として扱われます。
  
  OCI URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME です。デフォルトでは、イメージは latest タグから取得されますが、TAG または DIGEST を使用してイメージを pull することもできます。PACKAGE_NAME で TAG または DIGEST を指定します。
  - TAG で pull するには: LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME:TAG
  - DIGEST で pull するには: LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME@sha256:DIGEST
  注意: Config Sync では、OCI レイヤを tar または tar+gzip 形式で圧縮する必要があります。他の形式（tar+bz2 など）は Config Sync で認識されません。有効な REPO からサポートされていない形式の OCI イメージに切り替えると、マネージドリソースがエラーなしでプルーニングされます。
- REVISION: 同期元となる Git リビジョン（タグまたはハッシュ）またはブランチ名。ハッシュを使用する場合は、省略形ではなく完全なハッシュにする必要があります。
- SECRET_TYPE: 以下の secretTypes のいずれかです。
  git
  - none: 認証なし。
  - ssh: SSH 認証鍵ペアを使用。
  - cookiefile: cookiefile を使用。
  - token: トークンを使用。
  - gcpserviceaccount: Google サービスアカウントを使用して Cloud Source Repositories または Secure Source Manager リポジトリにアクセス。この認証タイプを選択した場合は、Config Sync の構成を完了した後に IAM ポリシーバインディングを作成する必要があります。詳しくは、Google サービスアカウントを使用して Config Sync に Git へのアクセス権を付与するの「Google サービスアカウント」タブをご覧ください。
  - gcenode: Google サービスアカウントを使用して Cloud Source Repositories にアクセス。このオプションは、Workload Identity Federation for GKE がクラスタで有効になっていない場合にのみ選択してください。
  - githubapp: GitHub アプリを使用して GitHub リポジトリの認証を行う。
  この認証のタイプの詳細については、Config Sync に Git へのアクセス権を付与するをご覧ください。
  oci
  - none: 認証なし
  - gcenode: Compute Engine のデフォルトサービスアカウントを使用して、Artifact Registry のイメージにアクセスします。このオプションは、Workload Identity Federation for GKE がクラスタで有効になっていない場合にのみ選択してください。
  - gcpserviceaccount: Google サービスアカウントを使用してイメージにアクセスします。
  helm
  - token: トークンを使用します。
  - gcenode: Compute Engine のデフォルトサービスアカウントを使用して、Artifact Registry のイメージにアクセスします。このオプションは、Workload Identity Federation for GKE がクラスタで有効になっていない場合にのみ選択してください。
  - gcpserviceaccount: Google サービスアカウントを使用してイメージにアクセスします。
  - EMAIL: secretType として gcpserviceaccount を追加した場合は、Google サービスアカウントのメールアドレスを追加します。例: acm@PROJECT_ID.iam.gserviceaccount.com
  - METRICS_EMAIL: Config Sync の指標を Cloud Monitoring にエクスポートする際に使用される Google Cloudサービスアカウント（GSA）のメールアドレス。GSA には、モニタリング指標の書き込み（roles/monitoring.metricWriter）IAM ロールが必要です。Namespace config-management-monitoring の Kubernetes ServiceAccount default は、GSA にバインドされている必要があります。
  - DIRECTORY: 同期元となるディレクトリのパスであり、Git リポジトリのルートからの相対パス。指定したディレクトリのすべてのサブディレクトリがクラスタと同期されます。デフォルト値は、リポジトリのルートディレクトリです。
spec フィールドに追加できるフィールドの一覧については、gcloud フィールドをご覧ください。

注: 信頼できる情報源がまだ準備されていない場合、spec.configSync.enabled を true に設定し、他のすべての spec.configSync フィールドを省略することで、設定を構成せずに Config Sync を有効にできます。リポジトリが準備できたら、apply-spec.yaml を編集して構成設定を追加します。
apply-spec.yaml ファイルを適用します。既存のマニフェストを使用している場合は、前のコマンドで取得した設定を使用して、構成するクラスタにファイルを適用する必要があります。
```
gcloud beta container fleet config-management apply \
    --membership=MEMBERSHIP_NAME \
    --config=CONFIG_YAML_PATH \
    --project=PROJECT_ID
```
次のように置き換えます。
- MEMBERSHIP_NAME: クラスタの登録時に選択したフリートメンバーシップ名。名前は gcloud container fleet memberships list で確認できます。
- CONFIG_YAML_PATH: apply-spec.yaml ファイルのパス。
- PROJECT_ID: プロジェクト ID。

Terraform

Config Sync を構成するクラスタごとに、configmanagement ブロックと config_sync ブロックを含む google_gkehub_feature_membership リソースブロックを適用します。次の例をご覧ください。

git

data "google_project" "default" {}

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-basic"
  location = "us-central1"

  fleet {
    project = data.google_project.default.project_id
  }

  enable_autopilot = true
}

resource "google_gke_hub_feature" "configmanagement_feature" {
  name     = "configmanagement"
  location = "global"
}

resource "google_gke_hub_feature_membership" "configmanagement_feature_member" {
  location = "global"

  feature             = google_gke_hub_feature.configmanagement_feature.name
  membership          = google_container_cluster.default.fleet[0].membership_id
  membership_location = google_container_cluster.default.fleet[0].membership_location

  configmanagement {
    config_sync {
      # The field `enabled` was introduced in Terraform version 5.41.0, and
      # needs to be set to `true` explicitly to install Config Sync.
      enabled = true
      git {
        sync_repo   = "REPO"
        sync_branch = "BRANCH"
        policy_dir  = "DIRECTORY"
        secret_type = "SECRET"
      }
    }
  }
}

次のように置き換えます。

REPO: 構成ファイルを含む Git リポジトリの URL。
BRANCH: リポジトリブランチ。例: main
DIRECTORY: 同期するリポジトリの最上位レベルを表す Git リポジトリ内のパス。
SECRET: Secret 認証タイプ。

oci

data "google_project" "default" {}

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-basic"
  location = "us-central1"

  fleet {
    project = data.google_project.default.project_id
  }

  enable_autopilot = true
}

resource "google_gke_hub_feature" "configmanagement_feature" {
  name     = "configmanagement"
  location = "global"
}

resource "google_gke_hub_feature_membership" "configmanagement_feature_member" {
  location = "global"

  feature             = google_gke_hub_feature.configmanagement_feature.name
  membership          = google_container_cluster.default.fleet[0].membership_id
  membership_location = google_container_cluster.default.fleet[0].membership_location

  configmanagement {
    config_sync {
      # The field `enabled` was introduced in Terraform version 5.41.0, and
      # needs to be set to `true` explicitly to install Config Sync.
      enabled = true
      oci {
        sync_repo   = "REPO"
        policy_dir  = "DIRECTORY"
        secret_type = "SECRET"
      }
    }
  }
}

次のように置き換えます。

REPO: 構成ファイルを含む OCI イメージリポジトリの URL。
DIRECTORY: 同期するリソースを含むディレクトリの絶対パス。ルートディレクトリを使用する場合は、このフィールドを空白のままにします。
SECRET: Secret 認証タイプ。

同期するクラスタごとに、この手順を繰り返します。

Terraform の使用方法の詳細については、Config Sync での Terraform サポートをご覧ください。

ルートリポジトリを構成したら、必要に応じて、他のルートリポジトリや Namespace リポジトリなど、複数のリポジトリからの同期を構成することもできます。Namespace リポジトリは、クラスタ全体で特定の Namespace に同期される Namespace スコープの構成ファイルを 1 つのリポジトリに保存する場合に役立ちます。

インストールを確認する

Config Sync をインストールして構成したら、インストールが正常に完了したことを確認します。

gcloud

次のコマンドを実行します。

nomos status

インストールが正常に完了すると、ステータスは SYNCED または PENDING になります。

報告されたエラーなど、nomos status によって提供される情報の詳細については、nomos コマンドラインツールのドキュメントの Config Sync のステータスを確認するをご覧ください。

コンソール

次の手順を行います。

Google Cloud コンソールで、[機能] セクションの [構成] ページに移動します。

[構成] に移動

[パッケージ] タブで、クラスタテーブルの [同期ステータス] 列を確認します。Config Sync が正常にインストールされると、ステータスは「インストール済み」になります。正常に構成されている信頼できる情報源のステータスは「同期済み」になります。

次のステップ

Config Sync をアップグレードする方法を確認する。
Config Sync の構成用の gcloud コマンドの詳細を確認する。
複数のリポジトリからの同期を構成する方法を確認する。
nomos コマンドを使用する。
Config Sync のトラブルシューティングの概要を読む。
Config Sync をアンインストールする方法を確認する。
デフォルトの Config Sync 権限を確認する。

Config Sync のインストールをカスタマイズする コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

制限事項

始める前に

Config Sync に信頼できる情報源へのアクセス権を付与する

クラスタ要件を確認する

Config Sync のインストール

コンソール

Config Sync のインストール

パッケージをデプロイする

gcloud

git

oci

helm

Terraform

git

oci

インストールを確認する

gcloud

コンソール

次のステップ

Config Sync のインストールをカスタマイズする