Google Cloud の外部のフリートにクラスタを登録すると、 Google Cloud は Connect Agent と呼ばれる Deployment を使用して、クラスタと Google Cloudのプロジェクト間の接続を確立し、Kubernetes リクエストを処理します。 Google Cloudで実行されている GKE クラスタの接続を確立するのに Connect Agent は必要ありません。
これにより、クラスタと、 Google Cloudの統合されたユーザー インターフェースである Google Cloud コンソールなどのワークロード管理機能にアクセスして、クラスタを操作できます。
ネットワークがアウトバウンド リクエストを許可するように構成されている場合、NAT、下りプロキシ、ファイアウォールを通過するように Connect Agent を構成して、クラスタの Kubernetes API サーバーと Google Cloud プロジェクト間に長期にわたる暗号化接続を確立できます。この接続を有効にすると、独自の認証情報を使用してクラスタに再度ログインし、Kubernetes リソースの詳細情報にアクセスできるようになります。これにより、通常は GKE クラスタでのみ使用可能な UI エクスペリエンスを効果的に複製できます。
接続が確立されると、Connect Agent ソフトウェアは、アカウントの認証情報、技術的な詳細、接続されたインフラストラクチャに関するメタデータ、それらを Google Cloudで管理するのに必要なワークロードを、リソース、アプリケーション、ハードウェアの詳細を含めて交換できます。
このクラスタ サービスのデータは、 Google Cloud のプロジェクトとアカウントに関連付けられています。Google では、このデータを使用してクラスタと Google Cloud間のコントロール プレーンを維持し、リクエストされた Google Cloudサービスと機能を提供します。これには、サポート、課金、アップデートの提供のほか、Connect と Connect で利用可能な Google Cloud サービスの信頼性、品質、容量、機能の測定と改善が含まれます。
Kubernetes API サーバーが Connect を介してすべてのリクエストの認証、承認、監査ロギングを行うため、どのようなデータが Connect 経由で送信されるか常に管理できます。Google とユーザーは、クラスタ管理者から承認された後（たとえば RBAC 経由）、GKE Connect 経由でデータまたは API にアクセスできます。クラスタ管理者はその承認を取り消すことができます。
Connect Agent を起動し Google Cloud コンソールまたは Google Cloud CLI でクラスタを操作するには、特定の IAM ロールを指定する必要があります。これらのロールは、接続されたクラスタに直接アクセスすることを許可しません。 Google Cloud コンソールからクラスタにログインする方法について詳しくは、 Google Cloud コンソールからクラスタを操作するをご覧ください。
このようなロールのいくつかを使用すると、クラスタに関する次のような情報にアクセスできます。
クラスタ名
公開鍵
IP アドレス
ID プロバイダ
Kubernetes バージョン
クラスタサイズ
その他のクラスタ メタデータ
Connect は、次の IAM ロールを使用します。
ロール名
ロールのタイトル
説明
権限
roles/gkehub.editor
ハブ編集者
GKE Hub リソースに対する編集アクセス権を付与します。
Google Cloudの権限
resourcemanager.projects.get
resourcemanager.projects.list
ハブの権限
gkehub.memberships.list
gkehub.memberships.get
gkehub.memberships.create
gkehub.memberships.update
gkehub.memberships.delete
gkehub.memberships.generateConnectManifest
gkehub.memberships.getIamPolicy
gkehub.locations.list
gkehub.locations.get
gkehub.operations.list
gkehub.operations.get
gkehub.operations.cancel
gkehub.features.list
gkehub.features.get
gkehub.features.create
gkehub.features.update
gkehub.features.delete
gkehub.features.getIamPolicy
gkehub.fleet.*
gkehub.membershipfeatures.list
gkehub.membershipfeatures.get
gkehub.membershipfeatures.create
gkehub.membershipfeatures.update
gkehub.membershipfeatures.delete
roles/gkehub.viewer
ハブ閲覧者
ハブと関連リソースに対する読み取り専用アクセス権を付与します。
Google Cloudの権限
resourcemanager.projects.get
resourcemanager.projects.list
ハブの権限
gkehub.memberships.list
gkehub.memberships.get
gkehub.memberships.generateConnectManifest
gkehub.memberships.getIamPolicy
gkehub.locations.list
gkehub.locations.get
gkehub.operations.list
gkehub.operations.get
gkehub.features.list
gkehub.features.get
gkehub.features.getIamPolicy
gkehub.membershipfeatures.list
gkehub.membershipfeatures.get
roles/gkehub.connect
GKE Connect エージェント
外部クラスタと Google の間に新しい接続を確立する機能を提供します。
gkehub.endpoints.connect
リソースの使用率と要件
通常、登録時にインストールされた Connect エージェントは、500m の CPU と 200Mi のメモリを使用します。ただし、この使用量は、そのエージェントに対する 1 秒間のリクエストの数と、そのリクエストのサイズによって異なることがあります。この使用量は、クラスタのサイズ、 Google Cloud コンソール経由でクラスタにアクセスするユーザー数（超過したユーザーやワークロード、超過したリクエスト）、クラスタのフリート対応機能の数など、多くの要因から影響を受ける可能性があります。
[[["わかりやすい","easyToUnderstand","thumb-up"],["問題の解決に役立った","solvedMyProblem","thumb-up"],["その他","otherUp","thumb-up"]],[["わかりにくい","hardToUnderstand","thumb-down"],["情報またはサンプルコードが不正確","incorrectInformationOrSampleCode","thumb-down"],["必要な情報 / サンプルがない","missingTheInformationSamplesINeed","thumb-down"],["翻訳に関する問題","translationIssue","thumb-down"],["その他","otherDown","thumb-down"]],["最終更新日 2025-09-04 UTC。"],[],[],null,["When you register a cluster outside Google Cloud to your fleet, Google Cloud uses a [Deployment](https://kubernetes.io/docs/concepts/workloads/controllers/deployment/) called the *Connect Agent* to\nestablish a connection between the cluster and your Google Cloud\nproject, and to handle Kubernetes requests. The Connect Agent is not required to establish a connection for GKE clusters running in Google Cloud.\n\nThis enables access to cluster and to workload management\nfeatures in Google Cloud, including a unified user interface,\n[Google Cloud console](/cloud-console), to interact with your cluster.\n\nIf your network is configured to allow outbound requests, you can configure the\nConnect Agent to traverse NATs, egress proxies, and firewalls to establish\na long-lived, encrypted connection between your cluster's Kubernetes API server\nand your Google Cloud project. Once this connection is enabled, you can\nuse your own credentials to log back into your clusters and access details\nabout their Kubernetes resources. This effectively replicates the UI experience\nthat is otherwise only available to GKE clusters.\n\nAfter the connection is established, the Connect Agent software can exchange\naccount credentials, technical details, and metadata about connected\ninfrastructure and workloads necessary to manage them with Google Cloud,\nincluding the details of resources, applications, and hardware.\n\nThis cluster service data is associated with your Google Cloud project\nand account. Google uses this data to maintain a control plane between your\ncluster and Google Cloud, to provide you with any Google Cloud\nservices and features you request, including facilitating support, billing,\nproviding updates, and to measure and improve the reliability, quality,\ncapacity, and functionality of Connect and Google Cloud services\navailable through Connect.\n\nYou remain in control of what data is sent through Connect: your\nKubernetes API server performs [authentication](https://kubernetes.io/docs/reference/access-authn-authz/authentication/),\n[authorization](https://kubernetes.io/docs/reference/access-authn-authz/authorization/), and [audit logging](https://kubernetes.io/docs/tasks/debug/debug-cluster/audit/) on all requests via\nConnect. Google and users can access data or APIs via Connect\nafter they have been authorized by the cluster administrator (for example, via\n[RBAC](https://kubernetes.io/docs/reference/access-authn-authz/rbac/)); the cluster administrator can revoke that authorization.\n\nConnect IAM roles\n\n[Identity and Access Management (IAM)](/iam/docs) allows users, groups, and\nservice accounts to access Google Cloud APIs and to perform tasks within\nGoogle Cloud products.\n\nYou need to provide specific IAM\n[roles](/iam/docs/understanding-roles) to launch the Connect Agent and\ninteract with your cluster using the Google Cloud console or Google Cloud CLI. These\nroles do not allow direct access to connected clusters. You can learn more about\nlogging in to clusters from the Google Cloud console in [Working with clusters from the Google Cloud console](/kubernetes-engine/fleet-management/docs/console).\n\nSome of these roles allow you to access information about clusters, including:\n\n- Cluster names\n- Public keys\n- IP addresses\n- Identity providers\n- Kubernetes versions\n- Cluster size\n- Other cluster metadata\n\nConnect uses the following IAM roles:\n\n| Role name | Role title | Description | Permissions |\n|------------------------|-------------------|-------------------------------------------------------------------------------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|\n| `roles/gkehub.editor` | Hub Editor | Provides edit access to GKE Hub resources. | **Permissions for Google Cloud** - resourcemanager.projects.get - resourcemanager.projects.list **Permissions for Hub** - gkehub.memberships.list - gkehub.memberships.get - gkehub.memberships.create - gkehub.memberships.update - gkehub.memberships.delete - gkehub.memberships.generateConnectManifest - gkehub.memberships.getIamPolicy - gkehub.locations.list - gkehub.locations.get - gkehub.operations.list - gkehub.operations.get - gkehub.operations.cancel - gkehub.features.list - gkehub.features.get - gkehub.features.create - gkehub.features.update - gkehub.features.delete - gkehub.features.getIamPolicy - gkehub.fleet.\\* - gkehub.membershipfeatures.list - gkehub.membershipfeatures.get - gkehub.membershipfeatures.create - gkehub.membershipfeatures.update - gkehub.membershipfeatures.delete |\n| `roles/gkehub.viewer` | Hub Viewer | Provide read-only access to Hub and related resources. | **Permissions for Google Cloud** - resourcemanager.projects.get - resourcemanager.projects.list **Permissions for Hub** - gkehub.memberships.list - gkehub.memberships.get - gkehub.memberships.generateConnectManifest - gkehub.memberships.getIamPolicy - gkehub.locations.list - gkehub.locations.get - gkehub.operations.list - gkehub.operations.get - gkehub.features.list - gkehub.features.get - gkehub.features.getIamPolicy - gkehub.membershipfeatures.list - gkehub.membershipfeatures.get |\n| `roles/gkehub.connect` | GKE Connect Agent | Provides ability to establish new connections between external clusters and Google. | gkehub.endpoints.connect |\n\nResource usage and requirements\n\nTypically the Connect agent installed at registration uses 500m of CPU and 200Mi of memory. However, this usage can vary depending on the number of requests being made to the agent per second, and the size of those requests. These can be affected by a number of factors, including the size of the cluster, the number of users accessing the cluster via the Google Cloud console (the more users and/or workloads, the more requests), and the number of [fleet-enabled features](/kubernetes-engine/fleet-management/docs/fleet-concepts#fleet-enabled-components) on the cluster."]]
