Desplegar el agente de servicio en la nube de Kf

En esta página se muestra cómo implementar Kf Cloud Service Broker para Google Cloud y cómo usarlo para aprovisionar o desaprovisionar recursos de respaldo. Consulta los conceptos y la arquitectura para obtener más información sobre el Cloud Service Broker de Kf.

Crear variables de entorno

Linux

export PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_PROJECT_ID=YOUR_PROJECT_ID
export CLUSTER_NAME=kf-cluster
export INSTANCE_NAME=cloud-service-broker
export COMPUTE_REGION=us-central1

Windows PowerShell

Set-Variable -Name PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_PROJECT_ID -Value YOUR_PROJECT_ID
Set-Variable -Name CLUSTER_NAME -Value kf-cluster
Set-Variable -Name INSTANCE_NAME -Value cloud-service-broker
Set-Variable -Name COMPUTE_REGION -Value us-central1

Configurar la base de datos del agente de servicio en la nube de Kf

1. Crea una instancia de Cloud SQL para MySQL.

   Nota: Consulta el artículo Crear y gestionar usuarios de MySQL para Cloud SQL para MySQL y define una contraseña segura para el usuario root predeterminado.

   gcloud sql instances create ${INSTANCE_NAME} --cpu=2 --memory=7680MB --require-ssl --region=${COMPUTE_REGION}

2. Crea una base de datos llamada servicebroker en la instancia de Cloud SQL para MySQL.

   Nota: Documenta el nombre de la base de datos, ya que se usará en pasos posteriores.

   gcloud sql databases create servicebroker -i ${INSTANCE_NAME}

3. Crea un nombre de usuario y una contraseña para que los use Kf Cloud Service Broker.

   Nota: Anota estos valores, ya que los usarás en pasos posteriores.

   gcloud sql users create csbuser -i ${INSTANCE_NAME} --password=csbpassword

Configurar una cuenta de servicio de Google para el agente de servicio en la nube de Kf

1. Crea una cuenta de servicio de Google.

   gcloud iam service-accounts create csb-${CLUSTER_NAME}-sa \
     --project=${CLUSTER_PROJECT_ID} \
     --description="GSA for CSB at ${CLUSTER_NAME}" \
     --display-name="csb-${CLUSTER_NAME}"

2. Concede permisos de roles/cloudsql.client a la cuenta de servicio. Esto es necesario para conectar el pod del agente de servicio en la nube de Kf a la instancia de Cloud SQL para MySQL a través del proxy de autenticación de Cloud SQL.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/cloudsql.client"

3. Concede permisos Google Cloud adicionales a la cuenta de servicio.

   Nota: En el ejemplo siguiente, asignamos los roles de gestión de identidades y accesos necesarios para aprovisionar una instancia de Cloud SQL para MySQL y Memorystore. Debes conceder a esta cuenta de servicio los roles adecuados para aprovisionar instancias de otros servicios gestionados de Google Cloud que se indican en kf marketplace.

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/compute.networkUser"

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/cloudsql.admin"

   gcloud projects add-iam-policy-binding ${CLUSTER_PROJECT_ID} \
     --member="serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --role="roles/redis.admin"

4. Verifica los permisos.

   Advertencia: Sustituye la variable CSB_SERVICE_ACCOUNT_NAME del archivo YAML de abajo por la cuenta de servicio completa resuelta de csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com
   .

   gcloud projects get-iam-policy ${CLUSTER_PROJECT_ID} \
     --filter='bindings.members:serviceAccount:"CSB_SERVICE_ACCOUNT_NAME"' \
     --flatten="bindings[].members"

Configurar Workload Identity para el agente de servicio en la nube de Kf

1. Asocia la cuenta de servicio de Google con la cuenta de servicio de Kubernetes.

   gcloud iam service-accounts add-iam-policy-binding "csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --project=${CLUSTER_PROJECT_ID} \
     --role="roles/iam.workloadIdentityUser" \
     --member="serviceAccount:${CLUSTER_PROJECT_ID}.svc.id.goog[kf-csb/csb-user]"

2. Verifica la vinculación.

   gcloud iam service-accounts get-iam-policy "csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com" \
     --project=${CLUSTER_PROJECT_ID}

Configurar un secreto de Kubernetes para compartir la configuración con el agente de servicio en la nube de Kf

1. Crea un archivo config.yml.

   Nota: Si quieres, puedes cambiar el usuario o la contraseña predeterminados. Asegúrate de haber definido CLUSTER_PROJECT_ID en el paso Crear variables de entorno.

   cat << EOF >> ./config.yml
   gcp:
     credentials: ""
     project: ${CLUSTER_PROJECT_ID}
   db:
     host: 127.0.0.1
     password: csbpassword
     user: csbuser
     tls: false
   api:
     user: servicebroker
     password: password
   EOF

2. Crea el espacio de nombres kf-csb.

   kubectl create ns kf-csb

3. Crea el secreto de Kubernetes.

   kubectl create secret generic csb-secret --from-file=config.yml -n kf-csb

Instalar el agente de servicio en la nube de Kf

1. Descarga la kf-csb.yml.

   gcloud storage cp gs://kf-releases/csb/v1.0.0/kf-csb.yaml /tmp/kf-csb.yaml

2. Edita /tmp/kf-csb.yaml y sustituye los marcadores de posición por los valores finales. En el ejemplo siguiente, se usa sed.

   sed -i "s|<GSA_NAME>|csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com|g" /tmp/kf-csb.yaml
   sed -i "s|<INSTANCE_CONNECTION_NAME>|${CLUSTER_PROJECT_ID}:${COMPUTE_REGION}:${INSTANCE_NAME}|g" /tmp/kf-csb.yaml
   sed -i "s|<DB_PORT>|3306|g" /tmp/kf-csb.yaml

3. Aplica el archivo YAML del agente de servicio en la nube de Kf.

   kubectl apply -f /tmp/kf-csb.yaml

4. Verifica el estado de la instalación del agente de servicio en la nube de Kf.

   kubectl get pods -n kf-csb

Crear un agente de servicio

Nota: El nombre de usuario y la contraseña deben coincidir con los que has introducido en el paso Secreto de Kubernetes anterior.

  kf create-service-broker cloud-service-broker servicebroker password http://csb-controller.kf-csb/

Validar la instalación

Comprueba los servicios disponibles en el mercado.

  kf marketplace

Si todo está instalado y configurado correctamente, debería ver lo siguiente:

  $ kf marketplace

  Broker                Name                          Namespace  Description
  cloud-service-broker  csb-google-bigquery                      A fast, economical and fully managed data warehouse for large-scale data analytics.
  cloud-service-broker  csb-google-dataproc                      Dataproc is a fully-managed service for running Apache Spark and Apache Hadoop clusters in a simpler, more cost-efficient way.
  cloud-service-broker  csb-google-mysql                         Mysql is a fully managed service for the Google Cloud Platform.
  cloud-service-broker  csb-google-postgres                      PostgreSQL is a fully managed service for the Google Cloud Platform.
  cloud-service-broker  csb-google-redis                         Cloud Memorystore for Redis is a fully managed Redis service for the Google Cloud Platform.
  cloud-service-broker  csb-google-spanner                       Fully managed, scalable, relational database service for regional and global application data.
  cloud-service-broker  csb-google-stackdriver-trace             Distributed tracing service
  cloud-service-broker  csb-google-storage-bucket                Google Cloud Storage that uses the Terraform back-end and grants service accounts IAM permissions directly on the bucket.

Siguientes pasos

• Prueba el agente de servicio en la nube de Kf con nuestra guía de Spring Music.

Limpieza

1. Elimina cloud-service-broker.

   kf delete-service-broker cloud-service-broker

2. Eliminar componentes de CSB.

   kubectl delete ns kf-csb

3. Elimina la instancia de Cloud SQL para MySQL del agente de servicio en la nube de Kf.

   gcloud sql instances delete ${INSTANCE_NAME} --project=${CLUSTER_PROJECT_ID}

4. Quita las vinculaciones de la política de gestión de identidades y accesos.

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/cloudsql.client

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/compute.networkUser

   gcloud projects remove-iam-policy-binding ${CLUSTER_PROJECT_ID} \
   --member='serviceAccount:csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com' \
   --role=roles/redis.admin

5. Quita la GSA.

   gcloud iam service-accounts delete csb-${CLUSTER_NAME}-sa@${CLUSTER_PROJECT_ID}.iam.gserviceaccount.com \
     --project=${CLUSTER_PROJECT_ID}