Prerequisiti generali

Come hai appreso nella panoramica sulla creazione del parco risorse, GKE su VMware, GKE su Bare Metal e i cluster multi-cloud (su AWS e Azure) vengono registrati automaticamente nel parco risorse di progetti al momento della creazione del cluster. Tuttavia, i cluster GKE su Google Cloud e i cluster Kubernetes di terze parti (cluster collegati) devono essere registrati manualmente per essere uniti al parco risorse. Puoi trovare ulteriori dettagli sulle diverse opzioni di registrazione nella panoramica della creazione del parco risorse.

Questa pagina descrive i prerequisiti e i requisiti per registrare manualmente qualsiasi cluster Kubernetes in un parco risorse Google Cloud. Sono inoltre previsti requisiti separati specifici per i cluster GKE su Google Cloud e per i cluster collegati. Una volta completata la guida, segui le istruzioni relative al tipo di cluster che vuoi registrare.

Installa strumenti a riga di comando

Assicurati di avere installato i seguenti strumenti a riga di comando. Se utilizzi Cloud Shell come ambiente shell per interagire con Google Cloud, questi strumenti sono installati automaticamente.

Installa Google Cloud CLI

Google Cloud CLI è l'interfaccia a riga di comando (CLI) per Google Cloud. Puoi registrare i cluster utilizzando Google Cloud CLI o, a seconda del tipo di cluster, altri strumenti come Terraform o la console Google Cloud. Tuttavia, anche se non lo utilizzi per la registrazione del cluster, gcloud è obbligatorio o utile per molti degli altri passaggi di configurazione descritti in questa guida.

  1. Se non l'hai ancora installato, installa Google Cloud CLI seguendo le istruzioni di installazione. Ti consigliamo di utilizzare la versione più recente di Google Cloud CLI. Per registrare i cluster è necessaria la versione 361.0.0 o successiva e la versione 423.0.0 o successiva se vuoi utilizzare comandi di registrazione non legacy per GKE, con il componente alpha o beta installato.

  2. Esegui questo comando per accedere a Google Cloud:

    gcloud auth login

  3. (Facoltativo) Se prevedi di provare le funzionalità alpha o beta, assicurati di aver installato il componente gcloud beta:

     gcloud components install beta

Installazione di kubectl

Sebbene kubectl non sia necessario per registrare un cluster, potresti averne bisogno per concedere le autorizzazioni necessarie per il controllo dell'accesso basato sui ruoli (RBAC) all'utente che registra il cluster (se non è il proprietario del cluster), nonché per altre configurazioni specifiche della piattaforma. È necessaria una versione di kubectl non inferiore alla versione minima supportata di Google Kubernetes Engine (GKE).

Ti consigliamo di installare kubectl con Google Cloud CLI.

Per controllare la versione di kubectl: 

kubectl version

La versione del client è indicata da gitVersion dell'output.

Per installare kubectl: 

gcloud components install kubectl

Abilita le API

Devi abilitare le API seguenti nel progetto host del parco risorse:

  • container.googleapis.com
  • gkeconnect.googleapis.com
  • gkehub.googleapis.com, nota anche come API Fleet. Questo è il servizio Google Cloud che gestisce la registrazione del cluster e l'appartenenza al parco risorse.
  • cloudresourcemanager.googleapis.com

I pod nel cluster che vuoi registrare devono essere in grado di raggiungere gli indirizzi googleapis.com e gkeconnect.googleapis.com, direttamente o utilizzando un server proxy configurato.

Se vuoi abilitare Workload Identity del parco risorse per la registrazione, devi abilitare anche quanto segue:

  • iam.googleapis.com

Gli utenti che non sono proprietari del progetto devono ricevere l'autorizzazione serviceusage.services.enable prima di poter abilitare le API.

gcloud

Esegui il comando seguente per abilitare queste API:

gcloud services enable \
   --project=FLEET_HOST_PROJECT_ID \
   container.googleapis.com \
   gkeconnect.googleapis.com \
   gkehub.googleapis.com \
   cloudresourcemanager.googleapis.com \
   iam.googleapis.com

dove:

Se non vuoi abilitare Workload Identity per il parco risorse, puoi omettere iam.googleapis.com.

Per elencare le API che hai già abilitato nei tuoi progetti, segui le istruzioni riportate in Elenco dei servizi nella documentazione sull'Service Usage.

Concedi autorizzazioni di accesso

Assicurati di disporre delle autorizzazioni di accesso appropriate per registrare un cluster. La registrazione del cluster richiede sia l'autorizzazione per registrare il cluster in un parco risorse sia quelle di amministrazione per il cluster stesso.

Concedi le autorizzazioni di registrazione per il cluster

La registrazione di un cluster richiede autorizzazioni IAM nel progetto host del parco risorse per registrare i cluster. Se nel progetto host del parco risorse è presente roles/owner, hai automaticamente le autorizzazioni di accesso necessarie per completare tutte le attività di registrazione.

Se non disponi di roles/owner nel tuo progetto, devi ottenere ruoli IAM specifici prima di poter connettere i cluster a Google, come descritto di seguito:

  • Per registrare un cluster con Workload Identity del parco risorse per l'autenticazione su Google, è sufficiente disporre del seguente ruolo IAM:

    • roles/gkehub.admin

  • Alcune opzioni di registrazione al di fuori di Google Cloud richiedono di configurare un account di servizio per il cluster da utilizzare per l'autenticazione su Google anziché su Workload Identity. Per registrare il cluster e gestire questo account di servizio, devi disporre del seguente insieme di ruoli:

    • roles/gkehub.admin
    • roles/iam.serviceAccountAdmin
    • roles/iam.serviceAccountKeyAdmin
    • roles/resourcemanager.projectIamAdmin

Per un elenco delle autorizzazioni dettagliate incluse nei ruoli gkehub, consulta Collegare i ruoli IAM.

gcloud

Per concedere un ruolo IAM a un utente, esegui questo comando:

gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
   --member user:GCP_EMAIL_ADDRESS \
   --role=ROLE

dove:

  • FLEET_HOST_PROJECT_ID è l'ID progetto Google Cloud in cui vuoi registrare i cluster. Scopri come trovare questo valore.
  • GCP_EMAIL_ADDRESS è l'account utilizzato dall'utente per accedere a Google Cloud.
  • ROLE è il ruolo IAM che vuoi concedere, ad esempio roles/gkehub.admin.

Per saperne di più su come concedere i ruoli IAM, consulta Concessione, modifica e revoca dell'accesso alle risorse nella documentazione IAM.

Concedi le autorizzazioni di amministrazione del cluster

Oltre alle autorizzazioni necessarie per registrare un cluster, devi disporre anche di autorizzazioni di amministrazione per il cluster stesso. A seconda della località del cluster, puoi assegnare questa autorizzazione utilizzando i ruoli IAM o controllo dell'accesso basato su ruoli (RBAC) di Kubernetes.

Cluster GKE su Google Cloud

Solo per i cluster GKE su Google Cloud, aggiungi il seguente ruolo IAM per ottenere le autorizzazioni di amministratore sul cluster, se non lo hai già (se lo hai già creato il tuo account utente è probabile che lo abbia):

  • roles/container.admin

Questo ruolo IAM include il ruolo Kubernetes RBAC cluster-admin. Per altri ambienti cluster, devi concedere questo ruolo RBAC utilizzando kubectl, come descritto nella sezione successiva. Per saperne di più sulla relazione tra i ruoli IAM e RBAC in GKE, consulta la documentazione di GKE.

Cluster esterni a Google Cloud

Per collegare cluster di terze parti all'esterno di Google Cloud, assicurati che l'utente che registra il cluster disponga del ruolo Kubernetes RBAC cluster-admin.

kubectl

Se hai creato il cluster, probabilmente hai già questo ruolo. Puoi verificarlo eseguendo questo comando:

kubectl auth can-i '*' '*' --all-namespaces

Se tu o un altro utente avete bisogno del ruolo, crea una risorsa ClusterRoleBinding nel cluster:

kubectl create clusterrolebinding BINDING_NAME --clusterrole cluster-admin --user USER

dove:

  • BINDING_NAME è un nome che scegli per la risorsa ClusterRoleBinding.
  • USER è l'identità utilizzata per l'autenticazione nel cluster.

Che cosa succede dopo?

Segui la guida ai prerequisiti per il tipo di cluster che vuoi registrare: