Kf Cloud Service Broker をデプロイする

このページでは、Kf Cloud Service Broker for Google Cloud をデプロイする方法と、バッキング リソースのプロビジョニングまたはプロビジョニング解除に使用する方法を説明します。Kf Cloud Service Broker の詳細については、コンセプトとアーキテクチャをご覧ください。

環境変数を作成する

Linux

export PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_NAME=kf-cluster
export INSTANCE_NAME=cloud-service-broker
export COMPUTE_REGION=us-central1

Windows Powershell

Set-Variable -Name PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_NAME -Value kf-cluster
Set-Variable -Name INSTANCE_NAME -Value cloud-service-broker
Set-Variable -Name COMPUTE_REGION -Value us-central1

Kf Cloud Service Broker データベースを設定する

1. Cloud SQL for MySQL インスタンスを作成します。

   注: Cloud SQL for MySQL の MySQL ユーザーの作成と管理を参照して、デフォルトの root ユーザーに安全なパスワードを設定します。

   gcloud sql instances create ${INSTANCE_NAME} --cpu=2 --memory=7680MB --require-ssl --region=${COMPUTE_REGION}

2. Cloud SQL for MySQL インスタンスに servicebroker という名前のデータベースを作成します。

   注: 後の手順で使用するため、データベース名を記録しておきます。

   gcloud sql databases create servicebroker -i ${INSTANCE_NAME}

3. Kf Cloud Service Broker によって使用されるユーザー名とパスワードを作成します。

   注: 後の手順で使用するため、これらの値を記録しておきます。

   gcloud sql users create csbuser -i ${INSTANCE_NAME} --password=csbpassword

Kf Cloud Service Broker 用の Google サービス アカウント（GSA）を設定する

1. Google サービス アカウントを作成します。

   gcloud iam service-accounts create csb-${CLUSTER_NAME}-sa \
     --project=${CLUSTER_PROJECT_ID} \
     --description="GSA for CSB at ${CLUSTER_NAME}" \
     --display-name="csb-${CLUSTER_NAME}"

2. サービス アカウントに roles/cloudsql.client 権限を付与します。これは、Cloud SQL Auth プロキシを介して Kf Cloud Service Broker Pod を Cloud SQL for MySQL インスタンスに接続するために必要です。

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/cloudsql.client"

3. サービス アカウントに追加の Google Cloud 権限を付与します。

   注: 以下の例では、Cloud SQL for MySQL と Memorystore のインスタンスをプロビジョニングするために必要な IAM ロールを付与します。このサービス アカウントには、kf marketplace にある他の Google Cloud マネージド サービスのインスタンスをプロビジョニングするための適切なロールを付与する必要があります。

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/compute.networkUser"

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/cloudsql.admin"

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/redis.admin"

4. 権限を確認します。

   警告: 以下の YAML の CSB_SERVICE_ACCOUNT_NAME 変数は、csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com で決まる完全なサービス アカウントに置き換えます。

   gcloud projects get-iam-policy ${CLUSTER_PROJECT_ID} \
     --filter='bindings.members:serviceAccount:"CSB_SERVICE_ACCOUNT_NAME"' \
     --flatten="bindings[].members"

Kf Cloud Service Broke の Workload Identity を設定する

1. Google サービス アカウントを Kubernetes サービス アカウントにバインドします。

   gcloud iam service-accounts add-iam-policy-binding "csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --project=${CLUSTER_PROJECT_ID} \
     --role="roles/iam.workloadIdentityUser" \
     --member="serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[kf-csb/csb-user]"

2. バインディングを確認します。

   gcloud iam service-accounts get-iam-policy "csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --project=${CLUSTER_PROJECT_ID}

Kf Cloud Service Broker と構成を共有するための Kubernetes Secret を設定する

1. config.yml ファイルを作成します。

   注: 必要に応じて、デフォルトのユーザー / パスワードに置き換えます。環境変数の作成の手順で CLUSTER_PROJECT_ID が設定されていることを確認します。

   cat << EOF >> ./config.yml
   gcp:
     credentials: ""
     project: ${CLUSTER_PROJECT_ID}
   db:
     host: 127.0.0.1
     password: csbpassword
     user: csbuser
     tls: false
   api:
     user: servicebroker
     password: password
   EOF

2. kf-csb 名前空間を作成します。

   kubectl create ns kf-csb

3. Kubernetes Secret を作成します。

   kubectl create secret generic csb-secret --from-file=config.yml -n kf-csb

Kf Cloud Service Broker をインストールする

1. kf-csb.yml をダウンロードします。

   gcloud storage cp gs://kf-releases/csb/v1.0.0/kf-csb.yaml /tmp/kf-csb.yaml

2. /tmp/kf-csb.yaml を編集して、プレースホルダを最終的な値に置き換えます。以下の例では、sed を使用しています。

   sed -i "s|<GSA_NAME>|csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com|g" /tmp/kf-csb.yaml
   sed -i "s|<INSTANCE_CONNECTION_NAME>|${CLUSTER_PROJECT_ID}:${COMPUTE_REGION}:${INSTANCE_NAME}|g" /tmp/kf-csb.yaml
   sed -i "s|<DB_PORT>|3306|g" /tmp/kf-csb.yaml

3. Kf Cloud Service Broker に yaml を適用します。

   kubectl apply -f /tmp/kf-csb.yaml

4. Kf Cloud Service Broker のインストール ステータスを確認します。

   kubectl get pods -n kf-csb

サービス ブローカーを作成する

注: ユーザー / パスワードは、前の Kubernetes Secret の手順で入力したものと一致している必要があります。

  kf create-service-broker cloud-service-broker servicebroker password http://csb-controller.kf-csb/

インストールの検証

Marketplace で利用可能なサービスを確認します。

  kf marketplace

すべてが正しくインストールされ、構成されていれば、次のように表示されます。

  $ kf marketplace

  Broker                Name                          Namespace  Description
  cloud-service-broker  csb-google-bigquery                      A fast, economical and fully managed data warehouse for large-scale data analytics.
  cloud-service-broker  csb-google-dataproc                      Dataproc is a fully-managed service for running Apache Spark and Apache Hadoop clusters in a simpler, more cost-efficient way.
  cloud-service-broker  csb-google-mysql                         Mysql is a fully managed service for the Google Cloud Platform.
  cloud-service-broker  csb-google-postgres                      PostgreSQL is a fully managed service for the Google Cloud Platform.
  cloud-service-broker  csb-google-redis                         Cloud Memorystore for Redis is a fully managed Redis service for the Google Cloud Platform.
  cloud-service-broker  csb-google-spanner                       Fully managed, scalable, relational database service for regional and global application data.
  cloud-service-broker  csb-google-stackdriver-trace             Distributed tracing service
  cloud-service-broker  csb-google-storage-bucket                Google Cloud Storage that uses the Terraform back-end and grants service accounts IAM permissions directly on the bucket.

次のステップ

• Spring Music ガイドで Kf Cloud Service Broker をテストする。

クリーンアップ

1. cloud-service-broker を削除します。

   kf delete-service-broker cloud-service-broker

2. CSB コンポーネントを削除します。

   kubectl delete ns kf-csb

3. Kf Cloud Service Broker の Cloud SQL for MySQL インスタンスを削除します。

   gcloud sql instances delete ${INSTANCE_NAME} --project=${CLUSTER_PROJECT_ID}

4. IAM ポリシー バインディングを削除します。

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/cloudsql.client

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/compute.networkUser

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/redis.admin

5. GSA を削除します。

   gcloud iam service-accounts delete csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com \
     --project=${CLUSTER_PROJECT_ID}