安装层次结构控制器

Beta 版

本产品或功能须遵守服务专用条款的“通用服务条款”部分中的“非正式版产品条款”。 正式发布前产品和功能“按原样”提供，可能仅提供有限支持。 如需了解详情，请参阅发布阶段说明。

注意：自 2024 年 12 月起，您将无法再安装 Hierarchy Controller。如果 Hierarchy Controller 配置为 configmanagement 舰队功能或通过 ConfigManagement API 配置，则 Config Sync 将无法升级。如需迁移到层次结构命名空间控制器 (HNC)（Hierarchy Controller 基于该控制器并提供类似功能），请参阅从 Hierarchy Controller 迁移到分层命名空间控制器。

利用层次结构控制器，您可以将 Kubernetes 命名空间整理成层次结构，为其应用政策（如 RBAC 和分层资源配额），并从相关命名空间观察工作负载。

本页面介绍了如何安装、配置和卸载层次结构控制器。

准备工作

在开始之前，请确保您已执行以下任务：

• 安装并初始化 Google Cloud CLI，它提供了以下说明中使用的 gcloud 和 kubectl 命令。如果您使用 Cloud Shell，则系统会预安装 Google Cloud CLI。

• 拥有运行 Kubernetes 1.16.x 版或更高版本的集群。

层次结构控制器旨在与 Config Sync 紧密协作，可让您通过 Git 代码库管理分层命名空间和政策。如果您选择这样做，建议您在安装 Config Sync 时选择非结构化代码库，以便在保留分层政策优势的同时按照所需的方式整理代码库。相比之下，分层代码库可能与层次结构控制器冲突；不建议同时使用这两者。

或者，您也可以选择安装层次结构控制器，而无需配置 Config Sync 代码库；分层命名空间可以通过 Kubernetes API 完全在集群上定义。如果您不打算使用 Git，则无需按照下文所述，向 Operator 授予对 Git 的访问权限或以任何方式配置 Git。

启用层次结构控制器

请按照以下步骤配置 Config Sync 以安装层次结构控制器。

注意：自动试用集群不支持层次结构控制器。

gcloud

注意：1.8.0 版的 gcloud CLI apply 命令的文件格式已更改。请务必将 gcloud CLI 更新到最新版本。

按照以下步骤配置 Config Sync 以安装层次结构控制器（包括所有可选组件）。如果您不想启用分层可监测性或分层资源配额，请对指定行进行注释。

1. （可选）如果您使用的是专用集群，请向每个集群的项目添加防火墙规则，以允许 GKE 集群控制层面连接到端口 9443 上的层次结构控制器 webhook：

    gcloud compute firewall-rules create allow-cluster-control-plane-tcp-9443 \
      --allow tcp:9443 \
      --network default \
      --source-ranges CONTROL_PLANE_CIDR \
      --target-tags NODE_TAG
   

   请替换以下内容：

   • CONTROL_PLANE_CIDR：GKE 集群控制平面的 IP 地址范围，例如 172.16.0.16/28。
   • NODE_TAG：应用于 GKE 集群中所有节点的标记。

2. 在 gcloud 配置文件中将 spec.hierarchyController 对象中的以下值设置为 true：

   # apply-spec.yaml
   
   applySpecVersion: 1
   spec:
     hierarchyController:
       # Set to true to enable hierarchical namespaces
       enabled: true
       # Comment to disable hierarchical quota:
       enableHierarchicalResourceQuota: true
       # Comment to disable hierarchical observability:
       enablePodTreeLabels: true
     # ...other fields...
   

3. 应用 apply-spec.yaml 文件：

    gcloud beta container fleet config-management apply \
        --membership=CLUSTER_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   请替换以下内容：

   • CLUSTER_NAME：添加您要将此配置应用于的已注册集群。
   • CONFIG_YAML：添加 apply-spec.yaml 文件的路径。
   • PROJECT_ID：添加您的项目 ID。

   几项工作负载得到部署，然后层次结构控制器在集群上变得可用。此过程最多可能需要一分钟才能完成。

kubectl

按照以下步骤配置 Config Sync 以安装层次结构控制器（包括所有可选组件）。如果您不想启用分层可监测性或分层资源配额，请对指定行进行注释。

1. （可选）如果您使用的是专用集群，请向每个集群的项目添加防火墙规则，以允许 GKE 集群控制层面连接到端口 9443 上的层次结构控制器 webhook：

    gcloud compute firewall-rules create allow-cluster-control-plane-tcp-9443 \
      --allow tcp:9443 \
      --network default \
      --source-ranges CONTROL_PLANE_CIDR \
      --target-tags NODE_TAG
   

   请替换以下内容：

   • CONTROL_PLANE_CIDR：GKE 集群控制平面的 IP 地址范围，例如 172.16.0.16/28。
   • NODE_TAG：应用于 GKE 集群中所有节点的标记。

2. 在 Operator 的配置文件中的 spec.hierarchyController 对象中，将 enabled 的值设置为 true：

   # config-management.yaml
   
   apiVersion: configmanagement.gke.io/v1
   kind: ConfigManagement
   metadata:
     name: config-management
   spec:
     # Set to true to enable hierarchical namespaces
     hierarchyController:
       enabled: true
       # Comment to disable hierarchical quota:
       enableHierarchicalResourceQuota: true
       # Comment to disable hierarchical observability:
       enablePodTreeLabels: true
      # ...other fields...
   

3. 应用配置：

     kubectl apply -f config-management.yaml
   

   几项工作负载得到部署，然后层次结构控制器在集群上变得可用。此过程最多可能需要一分钟才能完成。

安装 kubectl 插件

您可以完全通过 Kubernetes 客户端工具（如 kubectl）与层次控制器进行交互。不过，开源 kubectl-hns kubectl 插件极大地简化了多项任务。此插件是分层命名空间控制器 (HNC) 的一部分，后者是层次结构控制器的一个组件。

此插件由 OSS 社区分发，目前适用于 Linux 和 macOS。如需在工作站上安装该插件，请参阅 Config Sync 文档中的安装 kubectl 插件。

验证安装

安装层次结构控制器后，您可以验证安装是否已成功完成。

gcloud

运行以下命令：

gcloud beta container fleet config-management status \
    --project=PROJECT_ID

将 PROJECT_ID 替换为您的项目 ID。

您应该会看到类似于以下示例的输出：

Name          ...other columns... Hierarchy_Controller
CLUSTER_NAME  ...other fields ... INSTALLED

成功安装的 Hierarchy_Controller 列中的状态为 INSTALLED。启用层次结构控制器后，状态可能需要几分钟才能显示。

kubectl

如果层次结构控制器已正确安装，则其 Pod 将运行。Pod 在可用之前可能会重启几次。

由于层次结构控制器 pod 在 hnc-system 命名空间中运行，因此您可以通过运行以下命令来查看其状态：

kubectl get pods -n hnc-system

您应该会看到类似于以下示例的输出：

NAME                                         READY   STATUS    RESTARTS   AGE
gke-hc-controller-manager-6f4dbb484d-t8tdm   2/2     Running   1          1m
hnc-controller-manager-7b75655894-tzqvx      2/2     Running   1          1m

升级层次结构控制器

每当升级 Config Sync 时，层次结构控制器也会升级。如需了解详情，请参阅升级 Config Sync。

卸载层次结构控制器

请按照以下步骤从集群中卸载层次结构控制器。

gcloud

如需卸载层次结构控制器，请执行以下操作：

1. 修改 apply-spec.yaml 文件中的层次结构控制器配置，并将 hierarchyController.enabled 设置为 false。

2. 在 apply-spec.yaml 文件中应用更改：

    gcloud beta container fleet config-management apply \
        --membership=CLUSTER_NAME \
        --config=CONFIG_YAML \
        --project=PROJECT_ID
   

   请替换以下内容：

   • CLUSTER_NAME：添加您要将此配置应用于的已注册集群。
   • CONFIG_YAML：添加 apply-spec.yaml 文件的路径。
   • PROJECT_ID：添加您的项目 ID。

在层次结构控制器移除 hierarchycontroller.configmanagement.gke.io 终结器后，卸载即告完成。

注意：卸载层次结构控制器不会移除任何命名空间，也不会移除从祖先实体中移除的任何对象。但是，对对象的任何进一步更改都不会传播。

kubectl

如需卸载层次结构控制器，请在 config-management.yaml 文件中修改 Config Sync 配置，并将 hierarchyController.enabled 设置为 false。在 Config Sync 移除 hierarchycontroller.configmanagement.gke.io 终结器后，卸载即完成。

注意：卸载层次结构控制器不会移除任何命名空间，也不会移除从祖先实体中移除的任何对象。但是，对对象的任何进一步更改都不会传播。

若要完全卸载 Config Sync，请参阅从集群中卸载 Config Sync。

后续步骤

• 详细了解层次结构控制器
• 应用分层资源配额
• 观察分层工作负载
• 探索基础分层命名空间功能
• 探索高级命名空间命名空间功能