Il prodotto descritto in questa documentazione, Anthos Clusters on AWS (generazione precedente), è ora in modalità di manutenzione. Tutte le nuove installazioni devono utilizzare l'attuale prodotto di generazione, Cluster Anthos on AWS.

Questa pagina è stata tradotta dall'API Cloud Translation.

Utilizzo di un proxy con GKE su AWS

Questo argomento mostra come instradare il traffico dal servizio di gestione GKE on AWS e da Connect tramite un proxy HTTP/HTTPS.

GKE su AWS richiede l'accesso a internet per i seguenti motivi:

Il servizio di gestione registra i cluster utente con Connect.
I cluster utente eseguono l'agente Connect.
Tutti i nodi dei servizi di gestione e dei cluster utente scaricano immagini da Container Registry.

Puoi instradare questo traffico tramite un proxy HTTP o HTTPS. A partire da GKE su AWS 1.8, puoi configurare impostazioni individuali del proxy per il servizio di gestione e ciascuno dei tuoi cluster. Per ulteriori informazioni su come modificare le impostazioni del proxy, consulta Modifica delle impostazioni proxy del cluster.

Le impostazioni del proxy vengono dichiarate in un file JSON a cui viene fatto riferimento in anthos-gke.yaml.

Prerequisiti

Prima di configurare GKE su AWS per l'utilizzo di un proxy, devi abilitare gli endpoint VPC AWS, definire un gruppo di sicurezza per il proxy e consentire le connessioni in uscita a determinati servizi Google Cloud.

Per utilizzare un proxy HTTP, i cluster utente devono eseguire Kubernetes 1.17 o versioni successive.

Abilita endpoint VPC

Prima di configurare un proxy, devi creare endpoint VPC per l'installazione di GKE on AWS. Gli endpoint VPC consentono alle risorse nelle subnet private di accedere ai servizi AWS senza accesso pubblico a internet.

La tabella seguente elenca i servizi AWS per i quali GKE su AWS richiede endpoint VPC, insieme al tipo di endpoint e ai gruppi di sicurezza per ogni componente GKE su AWS che richiede l'accesso all'endpoint.

Servizio	Tipo di endpoint	Gruppi di sicurezza
Scalabilità automatica	Interfaccia	Gestione, piano di controllo, pool di nodi
EC2	Interfaccia	Gestione, piano di controllo, pool di nodi
Bilanciamento del carico	Interfaccia	Gestione, piano di controllo, pool di nodi
Servizio di gestione delle chiavi	Interfaccia	Gestione, piano di controllo, pool di nodi
S3	Gateway	Gestione, piano di controllo, pool di nodi
Servizio token di sicurezza (STS)	Interfaccia	Gestione, piano di controllo, pool di nodi

Puoi creare endpoint dalla console VPC AWS. Le opzioni impostate durante la creazione degli endpoint VPC dipendono dalla configurazione VPC.

Definisci un gruppo di sicurezza

I componenti GKE su AWS devono poter connettersi al server proxy. Crea o individua un gruppo di sicurezza AWS che consenta le connessioni in uscita al server proxy. Il gruppo di sicurezza deve consentire l'accesso in uscita dai gruppi di sicurezza di gestione, piano di controllo e pool di nodi all'indirizzo proxy e alla porta. Salva l'ID di questo gruppo di sicurezza (ad esempio sg-12345678).

Tipo	Protocollo	Porta di partenza	Al trasferimento	Indirizzo
In uscita	TCP	Porta proxy	Porta proxy	Gruppo di sicurezza proxy

Consenti le connessioni in uscita ai servizi Google Cloud

Affinché GKE su AWS si connetta ai servizi Google Cloud, il server proxy deve consentire il traffico ai seguenti domini:

gkeconnect.googleapis.com
gkehub.googleapis.com
oauth2.googleapis.com
storage.googleapis.com
www.googleapis.com
gcr.io
k8s.gcr.io
EC2-REGION.ec2.archive.ubuntu.com

Sostituisci EC2-REGION con la regione AWS EC2 in cui viene eseguita l'installazione di GKE on AWS. Ad esempio, us-west-1.ec2.archive.ubuntu.com/.

Se utilizzi Anthos Service Mesh con Prometheus e Kiali, consenti l'accesso in uscita dai seguenti domini:

docker.io
quay.io

Creazione del file JSON di configurazione del proxy

Il file JSON di configurazione del proxy contiene un oggetto che contiene tre coppie chiave/valore con i nomi delle chiavi httpProxy, httpsProxy e noProxy. I nomi utente e le password vengono criptati tramite busta con la chiave KMS AWS prima di essere applicati al server.

{
  "httpProxy": "HTTP_PROXY",
  "httpsProxy": "HTTPS_PROXY",
  "noProxy": "NO_PROXY"
}

Sostituisci quanto segue:

HTTP_PROXY con l'indirizzo del server proxy attraverso cui instradare le richieste HTTP.
HTTPS_PROXY con il server proxy per instradare le richieste HTTPS.
NO_PROXY con un elenco facoltativo di IP, intervalli CIDR e domini in cui non viene utilizzato il proxy.

Per ulteriori informazioni, consulta Riferimento per la configurazione. Ad esempio, la seguente configurazione utilizza un proxy in 10.0.0.254 ed esclude un certo numero di siti.

{
  "httpProxy": "http://user:password@10.0.0.254:80",
  "httpsProxy": "http://user:password@10.0.0.254:443",
  "noProxy": "localhost,127.0.0.1,169.254.169.254,10.0.0.0/16,example.com"
}

Aggiunta del proxy ad anthos-gke.yaml

Configura AWSManagementService eseguendo questi passaggi:

Passa alla directory con la tua configurazione GKE su AWS. Hai creato questa directory durante l'installazione del servizio di gestione.
```
cd anthos-aws
```
Apri anthos-gke.yaml in un editor di testo. Aggiungi un valore per spec.proxy come nell'esempio seguente.
```
apiVersion: multicloud.cluster.gke.io/v1
kind: AWSManagementService
metadata:
  name: management
spec:
  version: aws-1.14.1-gke.0
  proxy: PROXY_JSON_FILE
  securityGroupIDs:
  - SECURITY_GROUP_ID
  ...
```
Sostituisci quanto segue:
- PROXY_JSON_FILE con il percorso relativo della configurazione JSON del proxy.
- SECURITY_GROUP_ID con l'ID di un gruppo di sicurezza con accesso al server proxy.
Salva il file.
Esegui anthos-gke aws management init per generare un file anthos-gke.status.yaml con una configurazione aggiuntiva. Il comando init convalida anche l'oggetto AWSManagementService nel file anthos-gke.yaml.
```
anthos-gke aws management init
```
Esegui anthos-gke aws management apply per aggiornare il servizio di gestione su AWS.
```
anthos-gke aws management apply
```
Poi, Crea un cluster utente. Includi il gruppo di sicurezza del proxy rispettivamente in AWSCluster e spec.controlPlane.securityGroupIDs e spec.securityGroupIDs di AWSNodePool. Il cluster ha quindi accesso al proxy.

Informazioni sulla configurazione

Campo	Descrizione	Esempio	Obbligatorio
`httpProxy`	L'URL di un server proxy. Il valore deve includere un nome host/indirizzo IP e, facoltativamente, una porta, un nome utente e una password.	`"http://user:password@10.184.37.42:80"`	Sì
`httpsProxy`	Un URL proxy per il traffico HTTPS criptato. L'URL `httpProxy` verrà utilizzato se non viene fornito `httpsProxy`.	`"http://user:password@10.101.16.31:80"`	No
`noProxy`	Un elenco separato da virgole di URL da escludere dal proxy. Ciascun valore può essere un indirizzo IP, un intervallo CIDR, un nome di dominio o il carattere asterix (``). I domini specificati con un punto iniziale (ad es. ".google.com") indicano che è necessario un sottodominio. Un singolo asterisco `` indica che non deve essere eseguito alcun proxying.	`"1.2.3.4,10.0.0.0/16,example.com,.site.com"`	No

Passaggi successivi

Per saperne di più su come completare un'installazione di GKE su AWS, consulta quanto segue:

Se devi creare un VPC AWS dedicato, consulta Installazione di un servizio di gestione.
Se disponi di un VPC AWS esistente, consulta Integrazione con l'infrastruttura esistente.

Per informazioni sulla modifica delle impostazioni del proxy del cluster, consulta:

Modificare le impostazioni del proxy del cluster