Dengan Config Sync, Anda dapat mengelola resource Kubernetes dengan file konfigurasi yang disimpan di sumber kebenaran. Config Sync mendukung repositori Git, image OCI, dan diagram Helm sebagai sumber kebenaran. Halaman ini menunjukkan cara mengaktifkan dan mengonfigurasi Config Sync agar disinkronkan dari repositori root Anda. Config Sync tersedia di edisi Google Kubernetes Engine (GKE) Enterprise.
Saat Anda menginstal Config Sync menggunakan Konsol Google Cloud atau Google Cloud CLI, API RootSync
dan RepoSync
diaktifkan secara default. Platform ini
menyediakan fitur tambahan, seperti menyinkronkan dari beberapa repositori
dan menyinkronkan konfigurasi Kustomize dan Helm.
Sebelum memulai
Sebelum menginstal Config Sync, siapkan lingkungan Anda, pastikan Anda memenuhi persyaratan cluster, dan berikan peran pengguna yang tepat.
Menyiapkan lingkungan lokal Anda
Siapkan lingkungan lokal Anda dengan menyelesaikan tugas berikut:
- Buat, atau pastikan Anda memiliki akses ke, sumber yang terpercaya. Di sinilah Anda menambahkan konfigurasi yang disinkronkan dengan Config Sync. Untuk mempelajari lebih lanjut cara menyiapkan konfigurasi dan sumber tepercaya, lihat salah satu panduan berikut:
- Instal dan lakukan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
, dannomos
. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal. Jika Anda sebelumnya menginstal Google Cloud CLI, dapatkan versi terbaru dengan menjalankangcloud components update
.
Persyaratan cluster
Untuk menggunakan Config Sync, cluster Anda harus memenuhi persyaratan berikut:Harus berupa platform dan versi yang didukung edisi Google Kubernetes Engine (GKE) Enterprise.
(Opsional) Jika Anda menggunakan cluster GKE, pastikan Workload Identity diaktifkan. Cluster Autopilot mengaktifkan Workload Identity secara default.
Memiliki izin penulisan metrik yang benar sehingga Config Sync dapat mengirim metrik ke Cloud Monitoring.
Jika ingin otomatis mengupgrade versi Config Sync, pastikan cluster GKE Anda terdaftar di saluran rilis. Config Sync memperlakukan cluster yang tidak menggunakan saluran rilis GKE sebagai menggunakan saluran rilis Stabil.
Jika Anda ingin menggunakan cluster GKE pribadi, konfigurasi Cloud NAT untuk mengizinkan traffic keluar dari node GKE pribadi. Untuk mengetahui detailnya, lihat Contoh penyiapan GKE. Atau, Anda dapat mengaktifkan Akses Google Pribadi untuk terhubung ke kumpulan alamat IP eksternal yang digunakan oleh Layanan dan API Google.
Jika ingin menggunakan akun layanan IAM saat Anda memberikan akses Config Sync ke sumber kebenaran, Anda harus menyertakan cakupan hanya baca dalam cakupan akses untuk node dalam cluster untuk Cloud Source Repositories.
Anda dapat menambahkan cakupan hanya baca dengan menyertakan
cloud-source-repos-ro
dalam daftar--scopes
yang ditentukan pada waktu pembuatan cluster, atau dengan menggunakan cakupancloud-platform
pada waktu pembuatan cluster. Contoh:gcloud container clusters create CLUSTER_NAME --scopes=cloud-platform
Anda tidak dapat mengubah cakupan akses setelah membuat node pool. Namun, Anda dapat membuat kumpulan node baru dengan cakupan akses yang tepat saat menggunakan cluster yang sama. Cakupan
gke-default
default tidak menyertakancloud-source-repos-ro
.Jika memiliki persyaratan Firewall VPC yang ketat untuk memblokir traffic yang tidak diperlukan, Anda harus Membuat aturan firewall untuk mengizinkan traffic berikut di cluster GKE publik:
TCP: Mengizinkan traffic masuk dan keluar di port 53 dan 443
UDP: Mengizinkan traffic keluar di port 53
Jika Anda tidak menyertakan aturan ini, Config Sync tidak akan disinkronkan dengan benar, dan
nomos status
akan melaporkan error berikut:Error: KNV2004: unable to sync repo Error in the git-sync container
Anda dapat melewati langkah ini jika menggunakan cluster GKE pribadi.
Config Sync harus dijalankan pada kumpulan node
amd64
. Image container komponen backend Config Sync hanya dibuat, didistribusikan, dan diuji untuk arsitektur mesinamd64
. Jika komponen Config Sync dijadwalkan pada node Arm, komponen tersebut akan mengalami errorexec format
dan mengalami error.Jika Anda memiliki node Arm di cluster, tambahkan satu atau beberapa node amd64 ke cluster Anda dan, jika tidak menggunakan cluster GKE, tambahkan taint ke node arm64 Anda, untuk menghindari penjadwalan Pod ke node arm64 tanpa toleransi spesifik. Node grup GKE sudah memiliki taint default, sehingga Anda tidak perlu menambahkannya.
Jika cluster Anda adalah cluster Autopilot, Anda juga harus mengetahui bahwa Autopilot menyesuaikan persyaratan resource container untuk memenuhi aturan berikut:
- Batas resource ditetapkan sama dengan permintaan resource.
- Pod vCPU tersedia dengan kelipatan 0,25 vCPU (dibulatkan ke atas).
- Nilai minimumnya adalah 250 milliCPU (mCPU).
- Rasio memori (dalam GiB) terhadap vCPU harus berada dalam rentang 1 hingga 6,5 vCPU.
Berdasarkan aturan ini, untuk cluster Autopilot, Config Sync:
- menyesuaikan batas penggantian resource yang ditentukan pengguna untuk permintaan pencocokan.
- hanya menerapkan penggantian jika ada satu atau beberapa permintaan resource yang lebih tinggi dari output disesuaikan terkait yang dideklarasikan dalam anotasi, atau terdapat satu atau beberapa permintaan resource yang lebih rendah dari input terkait yang dideklarasikan dalam anotasi.
Menyiapkan cluster
Setelah membuat cluster yang sesuai, selesaikan langkah-langkah berikut:
Berikan peran IAM yang diperlukan kepada pengguna yang mendaftarkan cluster.
Jika Anda berencana menggunakan Google Cloud CLI untuk mengonfigurasi Config Sync atau menggunakan cluster di luar Google Cloud, pastikan cluster GKE atau cluster di luar Google Cloud Anda sudah terdaftar ke fleet sekarang juga. Jika berencana menggunakan Konsol Google Cloud, Anda dapat mendaftarkan cluster GKE saat mengonfigurasi Config Sync.
Menginstal Config Sync
Di bagian berikut, Anda memberikan akses Config Sync ke salah satu sumber tepercaya berikut:
Setelah memberikan akses, Anda dapat mengonfigurasi Config Sync.
Memberikan akses ke Git
Config Sync memerlukan akses hanya baca ke repositori Git Anda agar dapat membaca konfigurasi yang di-commit ke repositori dan menerapkannya ke cluster Anda.
Jika repositori Anda tidak memerlukan autentikasi untuk akses hanya baca, Anda dapat
terus mengonfigurasi Config Sync dan
menggunakan none
sebagai jenis autentikasi. Misalnya, jika Anda dapat menjelajahi repositori menggunakan antarmuka web tanpa login, atau jika Anda dapat menggunakan git
clone
untuk membuat clone repositori secara lokal tanpa memberikan kredensial atau menggunakan kredensial yang disimpan, Anda tidak perlu melakukan autentikasi. Dalam hal ini, Anda tidak perlu membuat Secret.
Namun, sebagian besar pengguna perlu membuat kredensial karena akses baca ke repositori mereka dibatasi. Jika diperlukan, kredensial akan disimpan dalam Secret git-creds
pada setiap cluster yang terdaftar (kecuali jika Anda menggunakan akun layanan Google). Secret harus diberi nama git-creds
karena ini adalah nilai tetap.
Config Sync mendukung mekanisme berikut untuk autentikasi:
- Pasangan kunci SSH (
ssh
) - Cookiefile (
cookiefile
) - Token (
token
) - Akun layanan Google (
gcpserviceaccount
) - Akun layanan default Compute Engine (
gcenode
)
Mekanisme yang Anda pilih bergantung pada apa yang didukung repositori Anda. Secara umum, kami merekomendasikan penggunaan pasangan kunci SSH. GitHub dan Bitbucket keduanya mendukung pasangan kunci SSH. Namun, jika Anda menggunakan repositori di Cloud Source Repositories, sebaiknya gunakan akun layanan Google karena prosesnya lebih sederhana. Jika organisasi menghosting repositori Anda dan Anda tidak tahu metode autentikasi mana yang didukung, hubungi administrator Anda.
Untuk menggunakan repositori di Cloud Source Repositories sebagai repositori Config Sync, selesaikan langkah-langkah berikut untuk mengambil URL Cloud Source Repositories:
Tampilkan daftar semua repositori:
gcloud source repos list
Dari output, salin URL dari repositori yang ingin Anda gunakan. Contoh:
REPO_NAME PROJECT_ID URL my-repo my-project https://source.developers.google.com/p/my-project/r/my-repo-csr
Anda perlu menggunakan URL ini saat mengonfigurasi Config Sync di bagian berikut. Jika Anda mengonfigurasi Config Sync menggunakan Google Cloud Console, Anda dapat menambahkan URL di kolom URL. Jika mengonfigurasi Config Sync menggunakan Google Cloud CLI, Anda dapat menambahkan URL ke kolom
syncRepo
file konfigurasi Anda.
Pasangan kunci SSH
Pasangan kunci SSH terdiri dari dua file, yaitu kunci publik dan kunci pribadi. Kunci publik biasanya memiliki ekstensi .pub
.
Untuk menggunakan pasangan kunci SSH, selesaikan langkah-langkah berikut:
Buat pasangan kunci SSH agar Config Sync dapat melakukan autentikasi ke repositori Git Anda. Langkah ini diperlukan jika Anda perlu melakukan autentikasi ke repositori untuk meng-clone atau membaca dari repositori. Lewati langkah ini jika administrator keamanan memberi Anda pasangan kunci. Anda dapat menggunakan satu pasangan kunci untuk semua cluster, atau pasangan kunci per cluster, bergantung pada persyaratan keamanan dan kepatuhan Anda.
Perintah berikut akan membuat kunci RSA 4096-bit. Nilai yang lebih rendah tidak direkomendasikan:
ssh-keygen -t rsa -b 4096 \ -C "GIT_REPOSITORY_USERNAME" \ -N '' \ -f /path/to/KEYPAIR_FILENAME
Ganti kode berikut:
GIT_REPOSITORY_USERNAME
: nama pengguna yang Anda inginkan untuk digunakan oleh Config Sync guna melakukan autentikasi ke repositori/path/to/KEYPAIR_FILENAME
: jalur ke pasangan kunci
Jika Anda menggunakan host repositori Git pihak ketiga seperti GitHub, atau ingin menggunakan akun layanan dengan Cloud Source Repositories, sebaiknya gunakan akun terpisah.
Konfigurasi repositori Anda untuk mengenali kunci publik yang baru dibuat. Lihat dokumentasi untuk penyedia hosting Git Anda. Petunjuk untuk beberapa penyedia hosting Git populer disertakan untuk memudahkan:
- Cloud Source Repositories
- Bitbucket
- GitHub Sebaiknya Anda membuat kunci deployment terpisah untuk memberikan akses hanya baca ke satu repositori GitHub.
- GitLab
Tambahkan kunci pribadi ke Secret baru di cluster:
kubectl create ns config-management-system && \ kubectl create secret generic git-creds \ --namespace=config-management-system \ --from-file=ssh=/path/to/KEYPAIR_PRIVATE_KEY_FILENAME
Ganti
/path/to/KEYPAIR_PRIVATE_KEY_FILENAME
dengan nama kunci pribadi (kunci yang tidak memiliki akhiran.pub
).(Direkomendasikan) Untuk mengonfigurasi pemeriksaan host yang dikenal menggunakan autentikasi SSH, Anda dapat menambahkan kunci host yang diketahui ke kolom
data.known_hosts
di rahasiagit_creds
. Untuk menonaktifkan pemeriksaanknown_hosts
, Anda dapat menghapus kolomknown_hosts
dari rahasia. Untuk menambahkan kunci host yang diketahui, jalankan:kubectl edit secret git-creds \ --namespace=config-management-system
Kemudian, di bagian
data
, tambahkan entri host yang diketahui:known_hosts: KNOWN_HOSTS_KEY
Hapus kunci pribadi dari disk lokal atau lindungi dengan cara lain.
Saat mengonfigurasi Config Sync dan menambahkan URL untuk repositori Git Anda, gunakan protokol SSH. Jika menggunakan repositori di Cloud Source Repositories, Anda harus menggunakan format berikut saat memasukkan URL:
ssh://EMAIL@source.developers.google.com:2022/p/PROJECT_ID/r/REPO_NAME
Ganti kode berikut:
EMAIL
: nama pengguna Google Cloud AndaPROJECT_ID
: ID project Google Cloud tempat repositori beradaREPO_NAME
: nama repositori
File cookie
Proses untuk mendapatkan cookiefile
bergantung pada konfigurasi repositori Anda. Sebagai contoh, baca
Membuat kredensial statis
dalam dokumentasi Cloud Source Repositories.
Kredensial biasanya disimpan dalam file .gitcookies
di direktori utama Anda, atau mungkin diberikan kepada Anda oleh administrator keamanan.
Untuk menggunakan cookiefile
, selesaikan langkah-langkah berikut:
Setelah Anda membuat dan mendapatkan
cookiefile
, tambahkan ke Secret baru di cluster.Jika Anda tidak menggunakan proxy HTTPS, buat Secret dengan perintah berikut:
kubectl create ns config-management-system && \ kubectl create secret generic git-creds \ --namespace=config-management-system \ --from-file=cookie_file=/path/to/COOKIEFILE
Jika Anda perlu menggunakan proxy HTTPS, tambahkan proxy tersebut ke Secret bersama
cookiefile
dengan menjalankan perintah berikut:kubectl create ns config-management-system && \ kubectl create secret generic git-creds \ --namespace=config-management-system \ --from-file=cookie_file=/path/to/COOKIEFILE \ --from-literal=https_proxy=HTTPS_PROXY_URL
Ganti kode berikut:
/path/to/COOKIEFILE
: jalur dan nama file yang sesuaiHTTPS_PROXY_URL
: URL untuk proxy HTTPS yang Anda gunakan saat berkomunikasi dengan repositori Git
Lindungi konten
cookiefile
jika Anda masih memerlukannya secara lokal. Jika tidak, hapus token tersebut.
Token
Jika organisasi Anda tidak mengizinkan penggunaan kunci SSH, Anda dapat memilih untuk menggunakan token. Dengan Config Sync, Anda dapat menggunakan token akses pribadi (PAT) GitHub, PAT GiLab atau men-deploy kunci, atau sandi aplikasi Bitbucket sebagai token Anda.
Untuk membuat Secret menggunakan token Anda, selesaikan langkah-langkah berikut:
Buat token menggunakan GitHub, GitLab, atau Bitbucket:
- GitHub: Membuat PAT.
Berikan cakupan
repo
pada token agar dapat membaca dari repositori pribadi. Karena Anda mengikat PAT ke akun GitHub, sebaiknya buat pengguna mesin dan ikat PAT Anda ke pengguna mesin. - GitLab: Membuat PAT atau membuat token deploy
- Bitbucket: Membuat sandi aplikasi.
- GitHub: Membuat PAT.
Berikan cakupan
Setelah Anda membuat dan mendapatkan token, tambahkan token tersebut ke Secret baru di cluster.
Jika Anda tidak menggunakan proxy HTTPS, buat Secret dengan perintah berikut:
kubectl create ns config-management-system && \ kubectl create secret generic git-creds \ --namespace="config-management-system" \ --from-literal=username=USERNAME \ --from-literal=token=TOKEN
Ganti kode berikut:
USERNAME
: nama pengguna yang ingin Anda gunakan.TOKEN
: token yang Anda buat di langkah sebelumnya.
Jika Anda perlu menggunakan proxy HTTPS, tambahkan proxy tersebut ke Secret bersama
username
dantoken
dengan menjalankan perintah berikut:kubectl create ns config-management-system && \ kubectl create secret generic git-creds \ --namespace=config-management-system \ --from-literal=username=USERNAME \ --from-literal=token=TOKEN \ --from-literal=https_proxy=HTTPS_PROXY_URL
Ganti kode berikut:
USERNAME
: nama pengguna yang ingin Anda gunakan.TOKEN
: token yang Anda buat di langkah sebelumnya.HTTPS_PROXY_URL
: URL untuk proxy HTTPS yang Anda gunakan saat berkomunikasi dengan repositori Git.
Lindungi token jika Anda masih memerlukannya secara lokal. Jika tidak, hapus file tersebut.
Akun layanan Google
Jika repositori Anda berada di Cloud Source Repositories, dan cluster Anda menggunakan GKE Workload Identity atau fleet Workload Identity, Anda dapat memberikan akses Config Sync ke repositori dalam project yang sama dengan cluster terkelola Anda menggunakan akun layanan Google.
Jika Anda belum memiliki akun layanan, buat akun layanan.
Berikan peran IAM Cloud Source Repositories Reader (
roles/source.reader
) ke akun layanan Google. Untuk mengetahui informasi selengkapnya tentang peran dan izin Cloud Source Repositories, lihat Memberikan izin untuk melihat repositori.Berikan izin di seluruh project jika izin yang sama berlaku untuk semua repositori dalam project.
gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/source.reader \ --member="serviceAccount:GSA_NAME@PROJECT_ID.iam.gserviceaccount.com"
Berikan izin khusus repositori jika Anda ingin akun layanan memiliki tingkat akses yang berbeda untuk setiap repositori dalam project.
gcloud source repos set-iam-policy REPOSITORY POLICY_FILE --project=PROJECT_ID
Jika Anda mengonfigurasi Config Sync menggunakan Google Cloud Console, pilih Workload Identity sebagai Authentication Type, lalu tambahkan email akun layanan Anda.
Jika Anda mengonfigurasi Config Sync menggunakan Google Cloud CLI, tambahkan
gcpserviceaccount
sebagaisecretType
, lalu tambahkan email akun layanan Anda kegcpServiceAccountEmail
.Setelah mengonfigurasi Config Sync, buat binding kebijakan IAM antara akun layanan Kubernetes dan akun layanan Google. Akun layanan Kubernetes tidak dibuat sebelum Anda mengonfigurasi Config Sync untuk pertama kalinya.
Jika menggunakan cluster yang terdaftar ke fleet, Anda hanya perlu membuat binding kebijakan satu kali per fleet. Semua cluster yang terdaftar dalam fleet memiliki Workload Identitypool yang sama. Dengan konsep kesamaan fleet, jika Anda menambahkan kebijakan IAM ke akun layanan Kubernetes di satu cluster, akun layanan Kubernetes dari namespace yang sama di cluster lain di fleet yang sama juga akan mendapatkan kebijakan IAM yang sama.
Dengan binding ini, akun layanan Config Sync Kubernetes dapat bertindak sebagai akun layanan Google:
gcloud iam service-accounts add-iam-policy-binding \ GSA_NAME@PROJECT_ID.iam.gserviceaccount.com \ --role=roles/iam.workloadIdentityUser \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" \ --project=PROJECT_ID
Ganti kode berikut:
PROJECT_ID
: project ID organisasi.FLEET_HOST_PROJECT_ID
: jika Anda menggunakan GKE, Workload Identity, ini sama denganPROJECT_ID
. Jika Anda menggunakan fleet Workload Identity, ini adalah project ID fleet tempat cluster Anda terdaftar.GSA_NAME
: akun layanan Google kustom yang ingin Anda gunakan untuk terhubung ke Artifact Registry. Akun layanan harus memiliki peran IAM Artifact Registry Reader (roles/artifactregistry.reader
).KSA_NAME
: akun layanan Kubernetes untuk rekonsiliasi.- Untuk repositori root, jika nama
RootSync
adalahroot-sync
, gunakanroot-reconciler
. Jika tidak, gunakanroot-reconciler-ROOT_SYNC_NAME
. Jika Anda menginstal Config Sync menggunakan Konsol Google Cloud atau Google Cloud CLI, Config Sync otomatis akan membuat objek RootSync yang bernamaroot-sync
.
- Untuk repositori root, jika nama
REPOSITORY
: nama repositori.POLICY_FILE
: file JSON atau YAML dengan kebijakan Pengelolaan Akses dan Identitas.
Akun layanan default Compute Engine
Jika repositori Anda berada di Cloud Source Repositories, dan cluster Anda adalah GKE dengan Workload Identity dinonaktifkan, Anda dapat menggunakan gcenode
sebagai jenis autentikasi.
Jika Anda mengonfigurasi Config Sync menggunakan Google Cloud Console, pilih Google Cloud Repository sebagai Authentication Type.
Jika Anda mengonfigurasi Config Sync menggunakan Google Cloud CLI, tambahkan gcenode
sebagai secretType
.
Dengan memilih Google Cloud Repository atau gcenode
, Anda dapat menggunakan akun layanan default Compute Engine. Anda harus memberikan peran IAM Cloud Source Repositories Reader (roles/source.reader
) ke akun layanan default Compute Engine. Untuk mengetahui informasi selengkapnya tentang
peran dan izin Cloud Source Repositories, lihat
Memberikan izin untuk melihat repositori.
gcloud projects add-iam-policy-binding PROJECT_ID \
--role=roles/source.reader \
--member="serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com"
Ganti PROJECT_ID
dengan project ID organisasi Anda, dan ganti PROJECT_NUMBER
dengan nomor project organisasi Anda.
Memberikan akses hanya baca Config Sync ke OCI
Config Sync memerlukan akses hanya baca ke image OCI Anda yang disimpan di Artifact Registry agar dapat membaca konfigurasi yang disertakan dalam image dan menerapkannya ke cluster Anda.
Jika image Anda tidak memerlukan autentikasi untuk akses hanya baca, Anda dapat
terus
mengonfigurasi Config Sync
dan menggunakan none
sebagai jenis autentikasi. Misalnya, jika image Anda bersifat publik dan dapat diakses oleh siapa saja di internet, Anda tidak perlu melakukan autentikasi.
Namun, sebagian besar pengguna perlu membuat kredensial untuk mengakses image yang dibatasi. Config Sync mendukung mekanisme berikut untuk autentikasi:
- Akun layanan Kubernetes (
k8sserviceaccount
) - Akun layanan Google (
gcpserviceaccount
) Akun layanan default Compute Engine (
gcenode
)
Akun layanan Kubernetes
Jika Anda menyimpan image OCI di Artifact Registry dan cluster Anda menggunakan GKE Workload Identity atau fleet Workload Identity, Anda dapat menggunakan k8sserviceaccount
sebagai jenis autentikasi di versi 1.17.2 dan yang lebih baru. Opsi ini direkomendasikan daripada gcpserviceaccount
karena
proses konfigurasinya yang disederhanakan.
Berikan peran IAM Artifact Registry Reader (
roles/artifactregistry.reader
) ke akun layanan Kubernetes dengan kumpulan Workload Identity. Untuk mengetahui informasi selengkapnya tentang peran dan izin Artifact Registry, lihat Mengonfigurasi peran dan izin untuk Artifact Registry.Berikan izin di seluruh project jika izin yang sama berlaku untuk semua repositori dalam project.
gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/artifactregistry.reader \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]"
Berikan izin khusus repositori jika Anda ingin akun layanan memiliki tingkat akses yang berbeda untuk setiap repositori dalam project.
gcloud artifacts repositories add-iam-policy-binding REPOSITORY \ --location=LOCATION \ --role=roles/artifactregistry.reader \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" \ --project=PROJECT_ID
Ganti kode berikut:
PROJECT_ID
: project ID organisasi.FLEET_HOST_PROJECT_ID
: jika Anda menggunakan GKE, Workload Identity, ini sama denganPROJECT_ID
. Jika Anda menggunakan fleet Workload Identity, ini adalah project ID fleet tempat cluster Anda terdaftar.KSA_NAME
: akun layanan Kubernetes untuk rekonsiliasi.- Untuk repositori root, jika nama
RootSync
adalahroot-sync
, gunakanroot-reconciler
. Jika tidak, gunakanroot-reconciler-ROOT_SYNC_NAME
. Jika Anda menginstal Config Sync menggunakan Konsol Google Cloud atau Google Cloud CLI, Config Sync otomatis akan membuat objek RootSync yang bernamaroot-sync
.
- Untuk repositori root, jika nama
REPOSITORY
: ID repositori.LOCATION
: lokasi repositori regional atau multi-regional.
Akun layanan Google
Jika menyimpan image OCI di Artifact Registry dan cluster menggunakan GKE Workload Identity atau fleet Workload Identity, Anda dapat menggunakan gcpserviceaccount
sebagai jenis autentikasi. Mulai
versi 1.17.2, sebaiknya gunakan k8sserviceaccount
. Opsi ini meniadakan langkah-langkah tambahan untuk membuat akun layanan Google dan binding kebijakan IAM yang terkait.
Jika Anda belum memiliki akun layanan, buat akun layanan.
Berikan peran IAM Artifact Registry Reader (
roles/artifactregistry.reader
) ke akun layanan Google. Untuk mengetahui informasi selengkapnya tentang peran dan izin Artifact Registry, lihat Mengonfigurasi peran dan izin untuk Artifact Registry.Berikan izin di seluruh project jika izin yang sama berlaku untuk semua repositori dalam project.
gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/artifactregistry.reader \ --member="serviceAccount:GSA_NAME@PROJECT_ID.iam.gserviceaccount.com"
Berikan izin khusus repositori jika Anda ingin akun layanan memiliki tingkat akses yang berbeda untuk setiap repositori dalam project.
gcloud artifacts repositories add-iam-policy-binding REPOSITORY \ --location=LOCATION \ --role=roles/artifactregistry.reader \ --member="serviceAccount:GSA_NAME@PROJECT_ID.iam.gserviceaccount.com" \ --project=PROJECT_ID
Buat binding kebijakan IAM antara akun layanan Kubernetes dan akun layanan Google dengan menjalankan perintah berikut:
gcloud iam service-accounts add-iam-policy-binding GSA_NAME@PROJECT_ID.iam.gserviceaccount.com \ --role=roles/iam.workloadIdentityUser \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" \ --project=PROJECT_ID
Ganti kode berikut:
PROJECT_ID
: project ID organisasi.FLEET_HOST_PROJECT_ID
: jika Anda menggunakan GKE, Workload Identity, ini sama denganPROJECT_ID
. Jika Anda menggunakan fleet Workload Identity, ini adalah project ID fleet tempat cluster Anda terdaftar.GSA_NAME
: akun layanan Google kustom yang ingin Anda gunakan untuk terhubung ke Artifact Registry. Akun layanan harus memiliki peran IAM Artifact Registry Reader (roles/artifactregistry.reader
).KSA_NAME
: akun layanan Kubernetes untuk rekonsiliasi.- Untuk repositori root, jika nama
RootSync
adalahroot-sync
, gunakanroot-reconciler
. Jika tidak, gunakanroot-reconciler-ROOT_SYNC_NAME
. Jika Anda menginstal Config Sync menggunakan Konsol Google Cloud atau Google Cloud CLI, Config Sync otomatis akan membuat objek RootSync yang bernamaroot-sync
.
- Untuk repositori root, jika nama
REPOSITORY
: ID repositori.LOCATION
: lokasi repositori regional atau multi-regional.
Akun layanan default Compute Engine
Jika Anda menyimpan chart Helm di Artifact Registry dan cluster Anda adalah GKE dengan Workload Identity dinonaktifkan, Anda dapat menggunakan gcenode
sebagai jenis autentikasi Anda.
Config Sync menggunakan akun layanan default Compute Engine.
Anda harus memberi akses pembaca akun layanan default Compute Engine ke Artifact Registry.
Beri akun layanan Compute Engine izin baca ke Artifact Registry dengan menjalankan perintah berikut:
gcloud projects add-iam-policy-binding PROJECT_ID \ --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \ --role=roles/artifactregistry.reader
Ganti
PROJECT_ID
dengan project ID organisasi Anda, dan gantiPROJECT_NUMBER
dengan nomor project organisasi Anda.
Memberikan akses hanya baca pada Config Sync ke Helm
Config Sync memerlukan akses hanya baca ke repositori Helm Anda agar dapat membaca diagram Helm di repositori Anda dan menginstalnya di cluster.
Jika repositori Anda tidak memerlukan autentikasi untuk akses hanya baca, Anda dapat terus mengonfigurasi Config Sync dan menggunakan none
sebagai jenis autentikasi. Misalnya, jika repositori Helm Anda bersifat publik dan dapat diakses oleh siapa saja di internet, Anda tidak perlu melakukan autentikasi.
Namun, sebagian besar pengguna perlu membuat kredensial untuk mengakses repositori Helm pribadi. Config Sync mendukung mekanisme berikut untuk autentikasi:
- Token (
token
) - Akun layanan Kubernetes (
k8sserviceaccount
) - Akun layanan Google (
gcpserviceaccount
) - Akun layanan default Compute Engine (
gcenode
)
Token
Buat Secret dengan nama pengguna dan sandi repositori Helm:
kubectl create secret generic SECRET_NAME \
--namespace=config-management-system \
--from-literal=username=USERNAME \
--from-literal=password=PASSWORD
Ganti kode berikut:
SECRET_NAME
: nama yang ingin Anda berikan Secret Anda.USERNAME
: nama pengguna repositori Helm.PASSWORD
: sandi repositori Helm.
Saat Mengonfigurasi Operator ConfigManagement, Anda akan menggunakan nama Secret yang Anda pilih untuk spec.helm.secretRef.name
.
Akun layanan Kubernetes
Jika Anda menyimpan chart Helm di Artifact Registry dan cluster Anda menggunakan GKE Workload Identity atau fleet Workload Identity, Anda dapat menggunakan k8sserviceaccount
sebagai jenis autentikasi di versi 1.17.2 dan yang lebih baru. Opsi ini direkomendasikan daripada gcpserviceaccount
karena
proses konfigurasinya yang disederhanakan.
Berikan peran IAM Artifact Registry Reader (
roles/artifactregistry.reader
) ke akun layanan Kubernetes dengan kumpulan Workload Identity. Untuk mengetahui informasi selengkapnya tentang peran dan izin Artifact Registry, lihat Mengonfigurasi peran dan izin untuk Artifact Registry.Berikan izin di seluruh project jika izin yang sama berlaku untuk semua repositori dalam project.
gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/artifactregistry.reader \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]"
Berikan izin khusus repositori jika Anda ingin akun layanan memiliki tingkat akses yang berbeda untuk setiap repositori dalam project.
gcloud artifacts repositories add-iam-policy-binding REPOSITORY \ --location=LOCATION \ --role=roles/artifactregistry.reader \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" \ --project=PROJECT_ID
Ganti kode berikut:
PROJECT_ID
: project ID organisasi.FLEET_HOST_PROJECT_ID
: jika Anda menggunakan GKE, Workload Identity, ini sama denganPROJECT_ID
. Jika Anda menggunakan fleet Workload Identity, ini adalah project ID fleet tempat cluster Anda terdaftar.KSA_NAME
: akun layanan Kubernetes untuk rekonsiliasi.- Untuk repositori root, jika nama
RootSync
adalahroot-sync
, gunakanroot-reconciler
. Jika tidak, gunakanroot-reconciler-ROOT_SYNC_NAME
.
- Untuk repositori root, jika nama
REPOSITORY
: ID repositori.LOCATION
: lokasi repositori regional atau multi-regional.
Akun layanan Google
Jika Anda menyimpan chart Helm di Artifact Registry dan cluster menggunakan GKE Workload Identity atau fleet Workload Identity, Anda dapat menggunakan gcpserviceaccount
sebagai jenis autentikasi. Mulai
versi 1.17.2, sebaiknya gunakan k8sserviceaccount
. Opsi ini meniadakan langkah-langkah tambahan untuk membuat akun layanan Google dan binding kebijakan IAM yang terkait.
Jika Anda belum memiliki akun layanan, buat akun layanan.
Berikan peran IAM Artifact Registry Reader (
roles/artifactregistry.reader
) ke akun layanan Google. Untuk mengetahui informasi selengkapnya tentang peran dan izin Artifact Registry, lihat Mengonfigurasi peran dan izin untuk Artifact Registry.Berikan izin di seluruh project jika izin yang sama berlaku untuk semua repositori dalam project.
gcloud projects add-iam-policy-binding PROJECT_ID \ --role=roles/artifactregistry.reader \ --member="serviceAccount:GSA_NAME@PROJECT_ID.iam.gserviceaccount.com"
Berikan izin khusus repositori jika Anda ingin akun layanan memiliki tingkat akses yang berbeda untuk setiap repositori dalam project.
gcloud artifacts repositories add-iam-policy-binding REPOSITORY \ --location=LOCATION \ --role=roles/artifactregistry.reader \ --member="serviceAccount:GSA_NAME@PROJECT_ID.iam.gserviceaccount.com" \ --project=PROJECT_ID
Buat binding kebijakan IAM antara akun layanan Kubernetes dan akun layanan Google dengan menjalankan perintah berikut:
gcloud iam service-accounts add-iam-policy-binding GSA_NAME@PROJECT_ID.iam.gserviceaccount.com \ --role=roles/iam.workloadIdentityUser \ --member="serviceAccount:FLEET_HOST_PROJECT_ID.svc.id.goog[config-management-system/KSA_NAME]" --project=PROJECT_ID
Ganti kode berikut:
PROJECT_ID
: project ID organisasi.FLEET_HOST_PROJECT_ID
: jika Anda menggunakan GKE, Workload Identity, ini sama denganPROJECT_ID
. Jika Anda menggunakan fleet Workload Identity, ini adalah project ID fleet tempat cluster Anda terdaftar.GSA_NAME
: akun layanan Google kustom yang ingin Anda gunakan untuk terhubung ke Artifact Registry. Akun layanan harus memiliki peran IAM Artifact Registry Reader (roles/artifactregistry.reader
).KSA_NAME
: akun layanan Kubernetes untuk rekonsiliasi.- Untuk repositori root, jika nama
RootSync
adalahroot-sync
, gunakanroot-reconciler
. Jika tidak, gunakanroot-reconciler-ROOT_SYNC_NAME
.
- Untuk repositori root, jika nama
REPOSITORY
: ID repositori.LOCATION
: lokasi repositori regional atau multi-regional.
Akun layanan default Compute Engine
Jika Anda menyimpan chart Helm di Artifact Registry dan cluster Anda adalah GKE dengan Workload Identity dinonaktifkan, Anda dapat menggunakan gcenode
sebagai jenis autentikasi Anda.
Config Sync menggunakan akun layanan default Compute Engine.
Anda harus memberi akses pembaca akun layanan default Compute Engine ke Artifact Registry. Anda mungkin perlu memberikan cakupan akses
storage-ro
untuk memberikan izin hanya baca
untuk mengambil gambar.
Beri akun layanan Compute Engine izin baca ke Artifact Registry:
gcloud projects add-iam-policy-binding PROJECT_ID \ --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \ --role=roles/artifactregistry.reader
Ganti
PROJECT_ID
dengan project ID organisasi Anda, dan gantiPROJECT_NUMBER
dengan nomor project organisasi Anda.
Mengonfigurasi Config Sync
Di bagian ini, Anda akan mengonfigurasi setelan untuk repositori root. Jika menyinkronkan ke repositori Git, Anda dapat menggunakan Konsol Google Cloud untuk memandu Anda melalui proses penginstalan dan mengotomatiskan beberapa langkah.
Saat Anda menginstal Config Sync menggunakan Konsol Google Cloud atau Google Cloud CLI, Config Sync otomatis membuat objek RootSync yang bernama root-sync
. Anda dapat menggunakan perintah kubectl
untuk mengubah root-sync
dan menambahkan
konfigurasi Config Sync tambahan. Untuk mempelajari lebih lanjut, lihat
Mengonfigurasi Config Sync dengan perintah kubectl
.
Konsol
Menginstal Config Sync
Untuk menginstal Config Sync, semua cluster harus terdaftar ke fleet. Saat Anda menginstal Config Sync di Konsol Google Cloud, memilih masing-masing cluster akan otomatis mendaftarkan cluster tersebut ke fleet Anda.
- Di konsol Google Cloud, buka halaman Config di bagian Features.
- Klik add Install Config Sync.
- Pilih Upgrade otomatis (Pratinjau) untuk mengaktifkan Config Sync agar dapat mengupgrade versi secara otomatis atau pilih Upgrade manual untuk mengelola sendiri versi Config Sync. Untuk mengetahui informasi selengkapnya tentang cara kerja upgrade otomatis, lihat Mengupgrade Config Sync.
- Di bagian Opsi penginstalan, pilih salah satu opsi berikut:
- Instal Config Sync di seluruh fleet (direkomendasikan): Config Sync akan diinstal di semua cluster dalam fleet.
- Instal Config Sync pada setiap cluster: semua cluster yang dipilih akan otomatis didaftarkan ke fleet. Config Sync akan diinstal di semua cluster dalam fleet.
- Jika Anda menginstal Config Sync pada setiap cluster, pada tabel Cluster yang tersedia, pilih cluster tempat Anda ingin menginstal Config Sync.
- Klik Install Config Sync. Di tab Setelan, setelah beberapa menit, Anda akan melihat Enabled di kolom Status untuk cluster di fleet Anda.
Men-deploy paket
Setelah mendaftarkan cluster ke fleet dan menginstal Config Sync, Anda dapat mengonfigurasi Config Sync untuk men-deploy paket ke cluster dari sumber tepercaya. Anda dapat men-deploy paket yang sama ke beberapa cluster atau men-deploy paket yang berbeda ke cluster yang berbeda. Anda dapat mengedit paket setelah men-deploy-nya, kecuali untuk beberapa setelan seperti nama paket dan jenis sinkronisasi. Untuk mengetahui informasi selengkapnya, lihat Mengelola paket.
Untuk men-deploy paket, selesaikan langkah-langkah berikut:
Di konsol Google Cloud, buka dasbor Config Sync.
Klik Deploy Package.
Di tabel Select clusters for package deployment, pilih cluster tempat Anda ingin men-deploy paket, lalu klik Continue.
Pilih Paket yang dihosting di Git atau Paket yang dihosting di OCI sebagai jenis sumber Anda, lalu klik Lanjutkan.
Di bagian Package details, masukkan Package name, yang mengidentifikasi objek RootSync atau RepoSync.
Di kolom Sync type, pilih Sinkronisasi cakupan cluster atau Sinkronisasi cakupan namespace sebagai jenis sinkronisasi.
Sinkronisasi cakupan cluster membuat objek RootSync dan sinkronisasi cakupan Namespace membuat objek RepoSync. Untuk mengetahui informasi selengkapnya tentang objek ini, lihat Arsitektur Config Sync.
Di bagian Sumber, selesaikan langkah-langkah berikut:
Untuk sumber yang dihosting di repositori Git, masukkan kolom berikut:
- Masukkan URL repositori Git yang Anda gunakan sebagai sumber tepercaya sebagai URL Repositori.
- Opsional: Perbarui kolom Revision untuk memeriksa apakah Anda tidak menggunakan
HEAD
default. - Opsional: Perbarui kolom Path jika Anda tidak ingin menyinkronkan dari repositori root.
- Opsional: Perbarui kolom Branch jika Anda tidak menggunakan cabang
main
default.
Untuk sumber yang dihosting dalam gambar OCI, masukkan kolom berikut:
- Masukkan URL gambar OCI yang Anda gunakan sebagai sumber kebenaran sebagai Image.
- Masukkan jalur direktori yang akan disinkronkan, sesuai dengan direktori root, sebagai Directory.
(Opsional): Luaskan bagian Setelan lanjutan untuk menyelesaikan tindakan berikut:
Pilih Jenis autentikasi. Config Sync memerlukan akses hanya baca ke sumber kebenaran Anda untuk membaca file konfigurasi di sumber dan menerapkannya ke cluster. Kecuali jika sumber Anda tidak memerlukan autentikasi, seperti repositori publik, pastikan Anda memberikan akses hanya baca Config Sync ke repositori Git, gambar OKI, atau diagram Helm (khusus gcloud CLI). Pilih jenis autentikasi yang sama dengan yang Anda konfigurasi saat menginstal Config Sync:
- Tidak ada: Tidak menggunakan autentikasi.
- SSH: Autentikasi dengan menggunakan pasangan kunci SSH.
- Cookiefile: Lakukan autentikasi menggunakan
cookiefile
. - Token: Autentikasi dengan menggunakan token akses atau sandi.
- Google Cloud Repository: Gunakan akun layanan Google untuk mengakses repositori Cloud Source Repositories. Hanya pilih opsi ini jika Workload Identity tidak diaktifkan di cluster Anda.
- Workload Identity: Gunakan akun layanan Google untuk mengakses repositori Cloud Source Repositories.
Masukkan angka dalam detik untuk menetapkan Waktu tunggu sinkronisasi, yang menentukan lamanya Config Sync menunggu di antara percobaan untuk mengambil dari sumber tepercaya.
Masukkan URL proxy Git untuk proxy HTTPS yang akan digunakan saat berkomunikasi dengan sumber tepercaya.
Pilih Hierarchy untuk mengubah Source format.
Nilai default Tidak terstruktur direkomendasikan dalam sebagian besar kasus karena memungkinkan Anda mengatur sumber kebenaran sesuai keinginan Anda.
Klik Deploy Package.
Anda akan dialihkan ke halaman Packages Config Sync. Setelah beberapa menit, Anda akan melihat Synced di kolom Sync status untuk cluster yang dikonfigurasi.
gcloud
Sebelum melanjutkan, pastikan Anda telah mendaftarkan cluster ke fleet.
Aktifkan fitur fleet
ConfigManagement
:gcloud beta container fleet config-management enable
Siapkan konfigurasi dengan membuat manifes
apply-spec.yaml
baru atau dengan menggunakan manifes yang sudah ada. Dengan menggunakan manifes yang ada, Anda dapat mengonfigurasi cluster dengan setelan yang sama dengan yang digunakan oleh cluster lain.Buat manifes baru
Untuk mengonfigurasi Config Sync dengan setelan baru untuk cluster Anda, buat file bernama
apply-spec.yaml
dan salin file YAML berikut ke dalamnya.Anda dapat menetapkan semua kolom
spec.configSync
opsional yang diperlukan saat membuat manifes, dan menggunakan perintahkubectl
untuk konfigurasi. Anda juga hanya dapat menetapkan kolomspec.configSync.enabled
sebagaitrue
dan menghapus kolom opsional. Kemudian, Anda dapat menggunakan perintahkubectl
untuk membuat objek RootSync tambahan atau RepoSync yang dapat sepenuhnya dikelola menggunakan perintahkubectl
nanti.# apply-spec.yaml applySpecVersion: 1 spec: # upgrades: UPGRADE_SETTING configSync: # Set to true to install and enable Config Sync enabled: true # If you don't have a source of truth yet, omit the # following fields. You can configure them later. sourceType: SOURCE_TYPE sourceFormat: FORMAT syncRepo: REPO syncRev: REVISION syncBranch: BRANCH secretType: SECRET_TYPE gcpServiceAccountEmail: EMAIL metricsGcpServiceAccountEmail: METRICS_EMAIL policyDir: DIRECTORY preventDrift: PREVENT_DRIFT
Ganti kode berikut:
(Pratinjau)
UPGRADE_SETTING
: hapus komentar pada kolom dan tetapkan keauto
untuk mengonfigurasi Config Sync agar dapat mengupgrade secara otomatis. Tetapkan kemanual
untuk mengupgrade sendiri Config Sync secara manual. Nilai defaultnya adalahmanual
. Flag ini hanya didukung untuk GKE di cluster Google Cloud. Untuk menggunakan kolom ini, Anda mungkin perlu mengupdate gcloud CLI dengan menjalankangcloud components update
.SOURCE_TYPE
: menambahkangit
untuk menyinkronkan dari repositori Git,oci
untuk menyinkronkan dari image OCI, atauhelm
untuk disinkronkan dari diagram Helm. Jika tidak ada nilai yang ditentukan, defaultnya adalahgit
.FORMAT
: tambahkanunstructured
untuk menggunakan repositori tidak terstruktur atau tambahkanhierarchy
untuk menggunakan repositori hierarkis. Nilai ini peka huruf besar/kecil. Kolom ini bersifat opsional dan nilai defaultnya adalahhierarchy
. Sebaiknya tambahkanunstructured
karena format ini memungkinkan Anda mengatur konfigurasi dengan cara yang paling mudah bagi Anda.REPO
: menambahkan URL sumber tepercaya. URL repositori Git dan Helm menggunakan protokol HTTPS atau SSH. Misalnya,https://github.com/GoogleCloudPlatform/anthos-config-management-samples
. Jika Anda berencana menggunakan SSH sebagaisecretType
, masukkan URL dengan protokol SSH. Kolom ini wajib ada dan jika Anda tidak memasukkan protokol, URL akan diperlakukan sebagai URL HTTPS.URL OCI menggunakan format berikut:
LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME
. Secara default, gambar diambil dari taglatest
, tetapi Anda dapat menarik gambar denganTAG
atauDIGEST
sebagai gantinya. TentukanTAG
atauDIGEST
diPACKAGE_NAME
:- Untuk menarik oleh
TAG
:LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME:TAG
- Untuk menarik oleh
DIGEST
:LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY_NAME/PACKAGE_NAME@sha256:DIGEST
- Untuk menarik oleh
REVISION
: revisi Git (tag atau hash) yang akan disinkronkan. Kolom ini bersifat opsional dan nilai defaultnya adalahHEAD
. Mulai dari Config Sync versi 1.17.0, Anda juga dapat menentukan nama cabang di kolomsyncRev
. Jika menggunakan hash pada versi 1.17.0 atau yang lebih baru, hash tersebut harus berupa hash lengkap, bukan bentuk singkatan.BRANCH
: cabang repositori yang akan disinkronkan. Kolom ini bersifat opsional dan default-nya adalahmaster
. Mulai dari Config Sync versi 1.17.0, sebaiknya gunakan kolomsyncRev
untuk menentukan nama cabang agar lebih mudah. Jika kolomsyncRev
dan kolomsyncBranch
ditentukan,syncRev
akan lebih diutamakan daripadasyncBranch
.SECRET_TYPE
: salah satu darisecretTypes
berikut:git
none
: Tidak menggunakan autentikasi.ssh
: Menggunakan pasangan kunci SSH.cookiefile
: Gunakancookiefile
.token
: Menggunakan token.gcpserviceaccount
: Menggunakan akun layanan Google untuk mengakses Cloud Source Repositories. Jika memilih jenis autentikasi ini, Anda perlu membuat binding kebijakan IAM setelah selesai mengonfigurasi Config Sync. Untuk mengetahui detailnya, lihat tab akun layanan Google di bagian Grant Config Sync read-only access to Git.gcenode
: Menggunakan akun layanan Google untuk mengakses Cloud Source Repositories. Hanya pilih opsi ini jika Workload Identity tidak diaktifkan di cluster Anda.
Untuk mengetahui informasi selengkapnya tentang jenis autentikasi ini, lihat Memberikan akses hanya baca Config Sync ke Git.
oci
none
: Tidak menggunakan autentikasigcenode
: Gunakan akun layanan default Compute Engine untuk mengakses image di Artifact Registry. Hanya pilih opsi ini jika Workload Identity tidak diaktifkan di cluster Anda.gcpserviceaccount
: Menggunakan akun layanan Google untuk mengakses gambar.
helm
token
: Menggunakan token.gcenode
: Gunakan akun layanan default Compute Engine untuk mengakses image di Artifact Registry. Hanya pilih opsi ini jika Workload Identity tidak diaktifkan di cluster Anda.gcpserviceaccount
: Menggunakan akun layanan Google untuk mengakses gambar.
EMAIL
: Jika Anda menambahkangcpserviceaccount
sebagaisecretType
, tambahkan alamat email akun layanan Google Anda. Contoh,acm@PROJECT_ID.iam.gserviceaccount.com
.METRICS_EMAIL
: email Akun Layanan Google Cloud (GSA) yang digunakan untuk mengekspor metrik Config Sync ke Cloud Monitoring. GSA harus memiliki peran IAM Monitoring Metric Writer (roles/monitoring.metricWriter
).default
ServiceAccount Kubernetes dalam namespaceconfig-management-monitoring
harus terikat dengan GSA.DIRECTORY
: jalur direktori yang akan disinkronkan, sesuai dengan root repositori Git. Semua subdirektori direktori yang Anda tentukan akan disertakan dan disinkronkan ke cluster. Nilai defaultnya adalah direktori utama repositori.PREVENT_DRIFT
: Jika disetel ketrue
, webhook penerimaan Config Sync dapat mencegah penyimpangan dengan menolak perubahan yang bertentangan agar tidak dikirim ke cluster aktif. Setelan default-nya adalahfalse
. Config Sync selalu memperbaiki penyimpangan, apa pun nilai kolom ini.
Untuk mengetahui daftar lengkap kolom yang dapat ditambahkan ke kolom
spec
, lihat kolom gcloud.Gunakan manifes yang ada
Untuk mengonfigurasi cluster Anda dengan setelan yang sama dengan yang digunakan oleh cluster lain, ambil setelan dari cluster terdaftar:
gcloud alpha container fleet config-management fetch-for-apply \ --membership=MEMBERSHIP_NAME \ --project=PROJECT_ID \ > CONFIG_YAML_PATH
Ganti kode berikut:
MEMBERSHIP_NAME
: nama keanggotaan cluster terdaftar yang memiliki setelan Config Sync yang ingin Anda gunakanPROJECT_ID
: project ID AndaCONFIG_YAML_PATH
: jalur ke fileapply-spec.yaml
yang berisi setelan yang diambil dari cluster
Terapkan file
apply-spec.yaml
. Jika menggunakan manifes yang sudah ada, Anda harus menerapkan file ke cluster yang ingin dikonfigurasi dengan setelan yang diambil di perintah sebelumnya:gcloud beta container fleet config-management apply \ --membership=MEMBERSHIP_NAME \ --config=CONFIG_YAML_PATH \ --project=PROJECT_ID
Ganti kode berikut:
MEMBERSHIP_NAME
: nama keanggotaan fleet yang Anda pilih saat mendaftarkan cluster. Anda dapat menemukan namanya dengangcloud container fleet memberships list
.CONFIG_YAML_PATH
: jalur ke fileapply-spec.yaml
Anda.PROJECT_ID
: project ID Anda.
Terraform
Untuk setiap cluster yang ingin Anda konfigurasi Config Sync, terapkan blok resource google_gkehub_feature_membership
yang berisi blok configmanagement
dan config_sync
:
git
resource "google_container_cluster" "cluster" {
name = EXISTING_CLUSTER_NAME
location = "EXISTING_CLUSTER_LOCATION"
}
resource "google_gke_hub_membership" "membership" {
membership_id = "MEMBERSHIP_ID"
endpoint {
gke_cluster {
resource_link = "//container.googleapis.com/${google_container_cluster.cluster.id}"
}
}
resource "google_gke_hub_feature" "feature" {
name = "configmanagement"
location = "global"
}
}
resource "google_gke_hub_feature_membership" "feature_member" {
location = "global"
feature = google_gke_hub_feature.feature.name
membership = google_gke_hub_membership.membership.membership_id
configmanagement {
version = "VERSION"
config_sync {
git {
sync_repo = "REPO"
sync_branch = "BRANCH"
policy_dir = "DIRECTORY"
secret_type = "SECRET"
}
}
}
}
Ganti kode berikut:
EXISTING_CLUSTER_NAME
: nama cluster yang ada.EXISTING_CLUSTER_LOCATION
: lokasi cluster yang ada.MEMBERSHIP_ID
: ID binding keanggotaan.VERSION
: (opsional) nomor versi Config Sync. Harus disetel ke versi 1.17.0 atau yang lebih baru. Jika dibiarkan kosong, versi defaultnya adalah versi terbaru.REPO
: URL ke repositori yang berisi file konfigurasi Anda.BRANCH
: cabang repositori, misalnyamain
.DIRECTORY
: jalur dalam repositori Git yang mewakili level teratas repositori yang ingin Anda sinkronkan.SECRET
: jenis autentikasi rahasia.
oci
resource "google_container_cluster" "cluster" {
name = EXISTING_CLUSTER_NAME
location = "EXISTING_CLUSTER_LOCATION"
}
resource "google_gke_hub_membership" "membership" {
membership_id = "MEMBERSHIP_ID"
endpoint {
gke_cluster {
resource_link = "//container.googleapis.com/${google_container_cluster.cluster.id}"
}
}
resource "google_gke_hub_feature" "feature" {
name = "configmanagement"
location = "global"
}
}
resource "google_gke_hub_feature_membership" "feature_member" {
location = "global"
feature = google_gke_hub_feature.feature.name
membership = google_gke_hub_membership.membership.membership_id
configmanagement {
version = "VERSION"
config_sync {
oci {
sync_repo = "REPO"
policy_dir = "DIRECTORY"
secret_type = "SECRET"
}
}
}
}
Ganti kode berikut:
EXISTING_CLUSTER_NAME
: nama cluster yang ada.EXISTING_CLUSTER_LOCATION
: lokasi cluster yang ada.MEMBERSHIP_ID
: ID binding keanggotaan.VERSION
: (opsional) nomor versi Config Sync. Jika dibiarkan kosong, versi defaultnya adalah versi terbaru.REPO
: URL ke repositori image OCI yang berisi file konfigurasi Anda.DIRECTORY
: jalur absolut direktori berisi resource yang ingin Anda sinkronkan. Biarkan kosong untuk menggunakan direktori root.SECRET
: jenis autentikasi rahasia.
Ulangi proses ini untuk setiap cluster yang ingin Anda sinkronkan.
Setelah selesai mengonfigurasi repositori root, Anda dapat memilih untuk mengonfigurasi sinkronisasi dari beberapa repositori, termasuk repositori root dan repositori namespace lainnya. Repositori namespace sangat membantu jika Anda menginginkan repositori yang berisi konfigurasi dengan cakupan namespace yang disinkronkan ke namespace tertentu di seluruh cluster.
Mengonfigurasi default tingkat fleet
Jika telah mengaktifkan Google Kubernetes Engine (GKE) edisi Enterprise, Anda dapat mengaktifkan dan mengonfigurasi Config Sync sebagai default tingkat fleet untuk cluster Anda. Artinya, setiap cluster GKE baru di Google Cloud yang dibuat dalam fleet akan mengaktifkan Config Sync di cluster tersebut dengan setelan yang Anda tentukan. Anda dapat mengetahui konfigurasi default fleet lebih lanjut di Mengelola fitur tingkat fleet.
Jika hanya menggunakan konsol Google Cloud, Anda dapat mengaktifkan Config Sync secara default pada cluster dan menetapkan versi Config Sync untuk fleet Anda. Jika menggunakan Terraform, Anda dapat mengaktifkan Config Sync secara default di cluster, menetapkan versi Config Sync untuk fleet, dan menyiapkan koneksi ke repositori Git atau repositori image OCI Anda.
Guna mengonfigurasi default tingkat fleet untuk Config Sync, selesaikan langkah-langkah berikut:
Konsol
Di konsol Google Cloud, buka halaman Feature Manager.
Di panel Config Sync, klik Configure.
Tinjau setelan tingkat fleet Anda. Semua cluster baru yang Anda buat akan mewarisi setelan ini.
Opsional: Untuk mengubah setelan default, klik Customize fleet settings. Dalam dialog yang muncul, lakukan hal berikut:
Pilih Upgrade otomatis (Pratinjau) untuk otomatis mendapatkan versi upgrade Config Sync atau pilih Upgrade manual untuk mengelola sendiri versi Config Sync. Untuk mengetahui informasi selengkapnya tentang cara kerja upgrade otomatis, lihat Mengupgrade Config Sync.
Jika Anda memilih Upgrade manual, dalam daftar Version, pilih versi Config Sync yang ingin Anda gunakan.
Klik Save changes.
Klik Konfigurasikan.
Pada dialog konfirmasi Configure fleet settings, klik Confirm. Jika sebelumnya Anda belum mengaktifkan Config Sync, mengklik Confirm juga akan mengaktifkan
anthosconfigmanagement.googleapis.com
API.
Terraform
Buat direktori untuk file Terraform konfigurasi default fleet. Pada direktori tersebut, tambahkan file
main.tf
dengan resource berikut yang mengonfigurasi setelan Config Sync:git
terraform { required_providers { google = { source = "hashicorp/google" version = ">=5.16.0" } } } provider "google" { project = "PROJECT_ID" } resource "google_gke_hub_feature" "feature" { name = "configmanagement" location = "global" provider = google fleet_default_member_config { configmanagement { version = "VERSION" config_sync { source_format = "unstructured" git { sync_repo = "REPO" sync_branch = "BRANCH" policy_dir = "DIRECTORY" secret_type = "SECRET" } } } } }
Ganti kode berikut:
PROJECT_ID
: project ID host fleet.VERSION
: (opsional) nomor versi Config Sync. Jika dibiarkan kosong, versi defaultnya adalah versi terbaru.REPO
: URL ke repositori yang berisi file konfigurasi Anda.BRANCH
: cabang repositori, misalnyamain
.DIRECTORY
: jalur dalam repositori Git yang mewakili level teratas repositori yang ingin Anda sinkronkan.SECRET
: jenis autentikasi rahasia.
Untuk mengetahui daftar lengkap setelan yang didukung dalam blok
git
Config Sync, lihat dokumentasi referensi Terraform untuk fitur hub GKE.OCI
terraform { required_providers { google = { source = "hashicorp/google" version = ">=5.16.0" } } } provider "google" { project = "PROJECT_ID" } resource "google_gke_hub_feature" "feature" { name = "configmanagement" location = "global" provider = google fleet_default_member_config { configmanagement { version = "VERSION" config_sync { source_format = "unstructured" oci { sync_repo = "REPO" policy_dir = "DIRECTORY" secret_type = "SECRET" } } } } }
Ganti kode berikut:
PROJECT_ID
: project ID host fleet.VERSION
: nomor versi Config Sync. Harus disetel ke versi 1.17.0 atau yang lebih baru. Jika dibiarkan kosong, versi defaultnya adalah versi terbaru.REPO
: URL ke repositori image OCI yang berisi file konfigurasi.DIRECTORY
: jalur absolut direktori berisi resource yang ingin Anda sinkronkan. Biarkan kosong untuk menggunakan direktori root.SECRET
: jenis autentikasi rahasia.
Untuk mengetahui daftar lengkap setelan yang didukung dalam blok
oci
Config Sync, lihat dokumentasi referensi Terraform untuk fitur hub GKE.Lakukan inisialisasi Terraform di direktori yang Anda buat:
terraform init
Pastikan perubahan yang Anda ajukan dengan Terraform sesuai dengan rencana yang diharapkan:
terraform plan
Buat konfigurasi anggota fleet default:
terraform apply
Jika Anda sudah memiliki cluster yang ingin diperbarui untuk menggunakan setelan
Config Sync default, gunakan konsol Google Cloud untuk menyinkronkan cluster fleet
yang dipilih dengan default fleet Anda. Selain itu, Anda dapat mengonfigurasi setiap cluster secara manual dengan setelan yang sama menggunakan Terraform atau gcloud CLI dengan mengikuti petunjuk untuk mengonfigurasi Config Sync. Jika sebelumnya Anda menggunakan Terraform untuk menentukan setelan default fleet, gunakan blok configmanagement
dan config_sync
yang sama dengan yang Anda gunakan untuk menetapkan setelan default guna mengonfigurasi cluster yang dipilih.
Untuk menyinkronkan setelan default Config Sync di seluruh perangkat Anda, ikuti langkah-langkah berikut:
Buka Feature Manager:
Di tabel cluster, pilih cluster yang ingin Anda sinkronkan ke setelan fleet.
Klik Sinkronkan ke setelan inventaris.
Setelan default Config Sync akan diterapkan ke cluster mana pun yang Anda pilih. Meskipun konsol Google Cloud hanya menampilkan subset setelan, seperti versi Config Sync, semua setelan level fleet disinkronkan ke cluster. Misalnya, jika Anda mengonfigurasi Config Sync agar disinkronkan ke repositori Git menggunakan Terraform, setelan tersebut akan disinkronkan ke cluster Anda, tetapi tidak ditampilkan di Konsol Google Cloud.
Memverifikasi penginstalan
Setelah menginstal dan mengonfigurasi Config Sync, Anda dapat memastikan bahwa penginstalan berhasil diselesaikan.
Konsol
Selesaikan langkah-langkah berikut:
- Di konsol Google Cloud, buka halaman Config di bagian Features.
- Pada tab Packages, periksa kolom Sync status di tabel cluster. Penginstalan Config Sync yang berhasil akan memiliki status Terinstal. Sumber tepercaya yang berhasil dikonfigurasi memiliki status Disinkronkan.
gcloud
Jalankan perintah berikut:
gcloud beta container fleet config-management status \
--project=PROJECT_ID
Ganti PROJECT_ID
dengan ID project Anda.
Penginstalan yang berhasil memiliki status SYNCED
. Mulai
Config Sync versi 1.18.0, outputnya juga akan menampilkan versi Config Sync
yang diinstal dan setelan upgrade Config Sync.
Jika melihat error setelah menjalankan perintah sebelumnya, pastikan Anda telah membuat Secret git-creds
. Jika Anda telah membuat Secret, coba jalankan kembali perintah berikut:
gcloud beta container fleet config-management apply
Anda juga dapat menggunakan perintah nomos status
untuk memeriksa apakah Config Sync berhasil diinstal. Penginstalan yang valid
tanpa masalah memiliki status PENDING
atau SYNCED
. Penginstalan yang tidak valid atau tidak lengkap
memiliki status NOT INSTALLED
ATAU NOT CONFIGURED
. Output
juga mencakup error yang dilaporkan.
Kontrol akses berbasis peran (RBAC) dan izin
Config Sync mencakup workload dengan hak istimewa tinggi. Tabel berikut mencantumkan izin untuk workload ini:
Komponen | Namespace | Akun Layanan | Izin | Deskripsi |
---|---|---|---|---|
Operator ConfigManagement | config-management-system |
config-management-operator |
admin cluster | ConfigManagement Operator menginstal komponen lainnya dalam tabel ini. Beberapa komponen tersebut memerlukan izin admin cluster, sehingga Operator ConfigManagement juga memerlukannya. |
Config Sync | config-management-system |
Lihat Izin Config Sync untuk izin yang diperlukan. |
Permintaan resource
Bagian berikut mencantumkan permintaan resource untuk Config Sync.
Tabel berikut mencantumkan persyaratan resource Kubernetes untuk komponen Config Sync. Untuk informasi selengkapnya, lihat Mengelola Resource untuk Container dalam dokumentasi Kubernetes.
Tidak semua komponen yang tercantum dibuat. Kondisi berikut menyebabkan setiap komponen dijadwalkan:
config-management-operator
diinstal saat Config Sync diaktifkan.reconciler-manager
diinstal saat Config Sync diaktifkan.admission-webhook
diinstal saat pencegahan penyimpangan diaktifkan.reconciler
diinstal untuk setiap RootSync dan RepoSync.otel-collector
diinstal saat Config Sync diaktifkan.
Untuk mempelajari komponen ini lebih lanjut, lihat Arsitektur Config Sync.
1.18
Nama deployment | Permintaan CPU (m) per replika | Permintaan memori (Mi) per replika |
---|---|---|
config-management-operator |
100 | 200 |
resource-group-controller-manager |
110 | 300 |
admission-webhook1 |
10 | 100 |
otel-collector |
200 | 400 |
reconciler-manager |
20 | 150 |
reconciler (satu per RootSync dan RepoSync) |
Lihat deployment rekonsiliasi untuk mengetahui detailnya. |
1 Webhook penerimaan memiliki dua replika, jadi saat menghitung total permintaan resource, Anda harus menggandakan nilai jika menggunakan webhook penerimaan. Webhook penerimaan dinonaktifkan secara default.
1,17
Nama deployment | Permintaan CPU (m) per replika | Permintaan memori (Mi) per replika |
---|---|---|
config-management-operator |
100 | 200 |
resource-group-controller-manager |
110 | 300 |
admission-webhook1 |
10 | 100 |
otel-collector |
200 | 400 |
reconciler-manager |
20 | 150 |
reconciler (satu per RootSync dan RepoSync) |
Lihat deployment rekonsiliasi untuk mengetahui detailnya. |
1 Webhook penerimaan memiliki dua replika, jadi saat menghitung total permintaan resource, Anda harus menggandakan nilai jika menggunakan webhook penerimaan. Webhook penerimaan dinonaktifkan secara default.
1.16
Nama deployment | Permintaan CPU (m) per replika | Permintaan memori (Mi) per replika |
---|---|---|
config-management-operator |
100 | 200 |
resource-group-controller-manager |
110 | 300 |
admission-webhook1 |
10 | 100 |
otel-collector |
200 | 400 |
reconciler-manager |
20 | 150 |
reconciler (satu per RootSync dan RepoSync) |
Lihat deployment rekonsiliasi untuk mengetahui detailnya. |
1 Webhook penerimaan memiliki dua replika, jadi saat menghitung total permintaan resource, Anda harus menggandakan nilai jika menggunakan webhook penerimaan. Webhook penerimaan dinonaktifkan secara default.
Deployment rekonsiliasi
Untuk setiap objek RootSync
dan RepoSync
, Config Sync membuat deployment rekonsiliasi independen untuk menangani sinkronisasi. Deployment rekonsiliasi terdiri dari beberapa container. Untuk mempelajari penampung ini lebih lanjut, lihat Penampung rekonsiliasi.
Pada Config Sync versi 1.17.0 dan yang lebih baru, permintaan resource default untuk rekonsiliasi berbeda untuk cluster Standar dan Autopilot. Semua jenis cluster lainnya menggunakan setelan default Standar.
Cluster standar
1.18
Nama penampung | Permintaan CPU (m) | Permintaan memori (Mi) |
---|---|---|
reconciler |
50 | 200 |
otel-agent |
10 | 100 |
hydration-controller (Opsional) |
10 | 100 |
git-sync |
10 | 16 |
gcenode-askpass-sidecar (Opsional) |
10 | 20 |
helm-sync |
75 | 128 |
oci-sync |
25 | 32 |
1,17
Nama penampung | Permintaan CPU (m) | Permintaan memori (Mi) |
---|---|---|
reconciler |
50 | 200 |
otel-agent |
10 | 100 |
hydration-controller (Opsional) |
10 | 100 |
git-sync |
10 | 16 |
gcenode-askpass-sidecar (Opsional) |
10 | 20 |
helm-sync |
75 | 128 |
oci-sync |
25 | 32 |
1.16
Nama penampung | Permintaan CPU (m) | Permintaan memori (Mi) |
---|---|---|
reconciler |
50 | 200 |
otel-agent |
10 | 100 |
hydration-controller (Opsional) |
10 | 100 |
git-sync |
10 | 200 |
gcenode-askpass-sidecar (Opsional) |
10 | 20 |
helm-sync |
50 | 256 |
oci-sync |
10 | 200 |
Cluster Autopilot
1.18
Nama penampung | Permintaan dan batas CPU (m) | Permintaan dan batas memori (Mi) |
---|---|---|
reconciler |
700 | 512 |
otel-agent |
10 | 64 |
hydration-controller (Opsional) |
200 | 256 |
git-sync |
20 | 32 |
gcenode-askpass-sidecar (Opsional) |
50 | 64 |
helm-sync |
250 | 384 |
oci-sync |
50 | 64 |
1,17
Nama penampung | Permintaan dan batas CPU (m) | Permintaan dan batas memori (Mi) |
---|---|---|
reconciler |
700 | 512 |
otel-agent |
10 | 64 |
hydration-controller (Opsional) |
200 | 256 |
git-sync |
20 | 32 |
gcenode-askpass-sidecar (Opsional) |
50 | 64 |
helm-sync |
150 | 256 |
oci-sync |
50 | 64 |
1.16
Pada versi Config Sync yang lebih lama dari 1.17.0, permintaan resource untuk Standard dan Autopilot sama.
Untuk mempelajari cara mengganti permintaan dan batas resource default, lihat penggantian resource.
Versi Paket Helm dan Kustomize
Config Sync memanfaatkan file yang dapat dieksekusi Helm dan Kustomize untuk merender konfigurasi pada prinsipnya. Tabel berikut berisi daftar versi Config Sync yang mendukung fitur rendering, beserta versi paket Helm dan Kustomize.
Versi Sinkronisasi Konfigurasi | Versi Helm | Menyesuaikan versi |
---|---|---|
1.18.0 | v3.14.3 | v5.3.0 |
1.17.1 dan 1.17.3 | v3.13.3 | v5.3.0 |
1.16.3 dan 1.17.0 | v3.13.1 | v5.1.1 |
1.16.1 dan 1.16.2 | v3.12.3 | v5.1.1 |
1.16.0 | v3.12.2 | v5.1.1 |
1.15.3 | v3.12.2 | v5.1.0 |
1.15.1 hingga 1.15.2 | v3.11.3 | v5.0.3 |
1.15.0 | v3.11.3 | v5.0.1 |
1.11.0 hingga 1.14.3 | v3.6.3 | v4.5.2 |
Untuk mengetahui informasi tentang cara merender Helm melalui Kustomize, lihat Mengonfigurasi Kubernetes dengan Kustomize. Untuk mengetahui informasi penggunaan Helm API, lihat Menyinkronkan chart Helm dari Artifact Registry.
Langkah selanjutnya
- Pelajari cara mengupgrade Config Sync.
- Pelajari lebih lanjut perintah
gcloud
untuk mengonfigurasi Config Sync. - Temukan cara mengonfigurasi sinkronisasi dari beberapa repositori.
- Gunakan perintah
nomos
. - Baca Pengantar pemecahan masalah Config Sync.
- Pelajari cara meng-uninstal Config Sync.
- Tinjau Izin Default Config Sync.