Menginstal di distribusi Kubernetes lainnya

Halaman ini menunjukkan cara menginstal Config Connector pada distribusi Kubernetes selain Google Kubernetes Engine (GKE) di Google Cloud, misalnya GKE di AWS.

Sebelum memulai

Sebelum memulai, pastikan Anda telah menjalankan tugas berikut:

• Pilih atau buat project Google Cloud untuk menginstal Config Connector.
• Pastikan Anda memiliki izin untuk membuat dan mendownload akun layanan untuk project tersebut.
• Buat atau identifikasi cluster Kubernetes yang belum Anda instal Config Connectornya.

• Konfigurasi kubectl untuk terhubung ke cluster Anda.

Menginstal Config Connector

Untuk menginstal Config Connector di lingkungan Kubernetes lain, setelah Anda membuat atau mengidentifikasi cluster Kubernetes, buat akun layanan Identity and Access Management (IAM), lalu instal komponen Config Connector pada cluster Anda.

Membuat ClusterRoleBinding

Config Connector memerlukan izin untuk membuat peran Kubernetes sebelum dapat membuat resource.

Pastikan Anda dapat membuat peran dengan menjalankan perintah berikut:

kubectl auth can-i create roles

Jika output-nya adalah yes, lanjutkan ke bagian Creating an identity.

Jika output-nya adalah no, buat ClusterRoleBinding di cluster Anda, yang memungkinkan Anda membuat peran:

kubectl create clusterrolebinding cluster-admin-binding \
    --clusterrole cluster-admin \
    --user ACCOUNT_EMAIL

Ganti ACCOUNT_EMAIL dengan email yang Anda gunakan untuk login ke akun Penagihan Cloud.

Output harus berisi frasa cluster-admin-binding created. Jika frasa tersebut tidak muncul, hubungi akun Penagihan Cloud atau administrator cluster GKE Anda untuk menanyakan izin.

Membuat identitas

Config Connector memerlukan Cloud Identity untuk berkomunikasi dengan resource lain. Untuk menyiapkan identitas, buat akun layanan IAM dan kunci akun layanan. Setelah itu, Anda akan mengimpor kredensial kunci sebagai Secret di setiap cluster yang menjalankan Config Connector.

Dalam kumpulan petunjuk berikutnya, Anda akan mengimpor kunci Kredensial Akun Layanan Google Cloud ke dalam cluster Kubernetes. Mengimpor Kredensial Akun Layanan secara langsung ke cluster umumnya dianggap tidak aman, terutama jika Anda menjalankan workload pihak ketiga atau kustom di cluster yang sama. Pendekatan ini berpotensi memanfaatkan node untuk celah eskalasi cluster dan meniru identitas akun layanan Google Cloud melalui rahasia ini. Jika Anda menggunakan cluster GKE, sebaiknya gunakan Workload Identity.

Membuat akun layanan

Untuk membuat akun layanan, selesaikan langkah-langkah berikut:

1. Membuat akun layanan IAM. Jika sudah memiliki akun layanan, Anda dapat menggunakannya daripada membuat akun layanan baru.

   Gunakan gcloud CLI untuk membuat akun layanan dengan menjalankan perintah berikut:

    gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
   

   Ganti SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.

   Untuk mempelajari lebih lanjut cara membuat akun layanan, lihat Membuat dan mengelola akun layanan.

2. Berikan izin yang lebih tinggi untuk akun layanan IAM pada project Anda:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/owner"
   

   Ganti kode berikut:

   • PROJECT_ID dengan project ID Google Cloud Anda.
   • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.

3. Buat kunci akun layanan dan ekspor kredensialnya ke file bernama key.json:

   gcloud iam service-accounts keys create --iam-account \
       SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com key.json
   

   Ganti kode berikut:

   • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda.
   • PROJECT_ID dengan project ID Google Cloud Anda.

Menerapkan kredensial ke cluster Anda

Untuk menerapkan kredensial ke cluster tempat Anda ingin menjalankan Config Connector, selesaikan langkah-langkah berikut:

1. Buat namespace cnrm-system:

   kubectl create namespace cnrm-system
   

2. Impor kredensial kunci sebagai Secret.

   kubectl create secret generic SECRET_NAME \
       --from-file key.json \
       --namespace cnrm-system
   

   Ganti SECRET_NAME dengan nama yang ingin Anda berikan Secret Anda.

3. Hapus kredensial dari sistem Anda:

   rm key.json
   

Menginstal Operator Config Connector

Selesaikan langkah-langkah berikut untuk menginstal Config Connector Operator:

1. Download file tar Operator Config Connector terbaru:

   gsutil cp gs://configconnector-operator/latest/release-bundle.tar.gz release-bundle.tar.gz
   

2. Ekstrak file tar:

   tar zxvf release-bundle.tar.gz
   

3. Instal Operator Config Connector di cluster Anda:

   kubectl apply -f operator-system/configconnector-operator.yaml
   

Mengonfigurasi Config Connector

Untuk mengonfigurasi Config Connector menggunakan operator, buat file konfigurasi untuk CustomResource ConfigConnector, lalu terapkan menggunakan perintah kubectl apply.

Untuk mengonfigurasi Config Connector menggunakan operator:

1. Salin YAML berikut ke dalam file bernama configconnector.yaml:

   apiVersion: core.cnrm.cloud.google.com/v1beta1
   kind: ConfigConnector
   metadata:
     # the name is restricted to ensure that there is only ConfigConnector
     # instance installed in your cluster
     name: configconnector.core.cnrm.cloud.google.com
   spec:
     mode: cluster
     credentialSecretName: SECRET_NAME
     stateIntoSpec: Absent
   

   Ganti SECRET_NAME dengan nama Secret yang Anda buat sebelumnya.

2. Terapkan konfigurasi ke cluster Anda dengan kubectl apply:

   kubectl apply -f configconnector.yaml
   

Menentukan tempat untuk membuat resource

Config Connector dapat mengatur resource berdasarkan project, folder, atau organisasi, sama seperti Anda mengatur resource dengan Google Cloud.

Sebelum membuat resource dengan Config Connector, Anda harus mengonfigurasi tempat untuk membuat resource. Untuk menentukan tempat membuat resource, Config Connector menggunakan anotasi pada konfigurasi resource atau Namespace yang sudah ada. Untuk informasi selengkapnya, lihat Mengatur resource.

kubectl create namespace NAMESPACE

Ganti NAMESPACE dengan nama namespace Anda. Contoh config-connector.

Pilih tab untuk memilih tempat Anda ingin Config Connector membuat resource.

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/project-id=PROJECT_ID

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/folder-id=FOLDER_ID

    kubectl annotate namespace \
    NAMESPACE cnrm.cloud.google.com/organization-id=ORGANIZATION_ID

Saat Anda menganotasi namespace, Config Connector akan membuat resource di project, folder, atau organisasi yang sesuai. Untuk mempelajari lebih lanjut cara Config Connector menggunakan namespace Kubernetes, lihat Kubernetes Namespace dan project Google Cloud.

Memverifikasi penginstalan

Config Connector menjalankan semua komponennya dalam namespace yang bernama cnrm-system. Anda dapat memverifikasi bahwa Pod sudah siap dengan menjalankan perintah berikut:

kubectl wait -n cnrm-system \
      --for=condition=Ready pod --all

Jika Config Connector sudah diinstal dengan benar, outputnya akan serupa dengan berikut ini:

pod/cnrm-controller-manager-0 condition met

Mengupgrade Config Connector

Untuk mengupgrade Config Connector, download dan instal operator Config Connector versi terbaru:

gsutil cp gs://configconnector-operator/latest/release-bundle.tar.gz release-bundle.tar.gz
tar zxvf release-bundle.tar.gz
kubectl apply -f operator-system/configconnector-operator.yaml

Meng-uninstal Config Connector

Gunakan kubectl delete untuk menghapus CRD Config Connector beserta komponen pengontrol:

kubectl delete ConfigConnector configconnector.core.cnrm.cloud.google.com \
    --wait=true

Untuk meng-uninstal operator Config Connector, jalankan perintah berikut:

kubectl delete -f operator-system/configconnector-operator.yaml  --wait=true

Langkah selanjutnya

• Pelajari lebih lanjut cara memilih jenis penginstalan.
• Pelajari cara memecahkan masalah Config Connector.