מידע על אפשרויות ההגדרה של אשכולים

בדף הזה מוסברות האפשרויות העיקריות להגדרת אשכולות כשיוצרים אשכול ב-Google Kubernetes Engine ‏(GKE), בין שמשתמשים במסוףGoogle Cloud , ב-Google Cloud CLI או ב-Terraform. האפשרויות האלה מאפשרות לכם להתאים אישית מגוון רחב של מאפיינים והתנהגויות של אשכולות בהתאם לצרכים שלכם, החל מהשאלה אם האשכול נגיש מרשתות ציבוריות ועד לאופן שבו אתם רוצים שהוא יקבל שדרוגי גרסאות.

את רוב האפשרויות שמוזכרות במדריך הזה אי אפשר לשנות אחרי שיוצרים את האשכול. הן כוללות אפשרויות שמשפיעות על הזמינות ועל הרשת של האשכול. אם אתם צריכים לשנות את האפשרויות האלה, תצטרכו ליצור אשכול חדש ואז להעביר אליו את התנועה, מה שעלול לגרום לשיבושים.

שיטה מומלצת:

אי אפשר לשנות הרבה מהאפשרויות להגדרת האשכול אחרי שיוצרים אותו, לכן כדאי לתכנן ולעצב את הגדרת האשכול עם האדמינים והאדריכלים של הארגון, Cloud Architects, מנהלי הרשת או כל צוות אחר שאחראי להגדרה, להטמעה ולתחזוקה של GKE ושל הארכיטקטורה שלGoogle Cloud .

הדף הזה מיועד לאדמינים ולארכיטקטים שמגדירים פתרונות IT וארכיטקטורת מערכת בהתאם לאסטרטגיה של החברה. במאמר משימות ותפקידים נפוצים של משתמשי GKE מפורט מידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם בתוכן של Google Cloud .

לפני שתקראו את הדף הזה, אתם צריכים להכיר את הנושאים הבאים, וגם את המושגים הבסיסיים של Kubernetes:

רמת הניהול של האשכול

לפני שנדון באפשרויות של אשכולות, חשוב להבין את רמת הגמישות, האחריות והשליטה שאתם צריכים לאשכול שלכם. רמת השליטה שאתם צריכים קובעת את מצב הפעולה שבו תשתמשו ב-GKE, ואת אפשרויות ההגדרה של האשכול שאתם צריכים לבחור.

כשיוצרים אשכול ב-GKE, משתמשים באחד ממצבי הפעולה הבאים:

  • ‫Autopilot (מומלץ): מספק הגדרת אשכול מנוהלת ומוקצית במלואה. אשכולות Autopilot מוגדרים מראש עם הגדרת אשכול אופטימלית שמוכנה לעומסי עבודה בסביבת הייצור.

  • Standard: גמישות מתקדמת בהגדרות של התשתית הבסיסית של האשכול. באשכולות שנוצרו במצב רגיל, אתם קובעים את ההגדרות הנדרשות לעומסי העבודה בסביבת הייצור.

למידע נוסף על המצבים האלה ועל Autopilot, קראו את המאמרים מצבי הפעולה של GKE וסקירה כללית על Autopilot.

במאמר השוואה בטבלה בין GKE Standard ל-Autopilot תוכלו למצוא השוואה מפורטת בין שני המצבים.

אפשרויות להגדרת אשכולות

אחרי שבוחרים מצב פעולה, בוחרים את ההגדרה הנדרשת לאשכול. מכיוון שאשכולות Autopilot מנוהלים ומוגדרים על ידי Google Cloud באופן מלא יותר מאשכולות Standard, יש להם פחות אפשרויות הגדרה זמינות.

אפשרויות ההגדרה של כל האשכולות מתחלקות לקטגוריות הבאות:

  • שם ומטא-נתונים אחרים: לכל אשכול צריך להיות שם מזהה ייחודי בפרויקט. אפשר גם להוסיף תיאור ותוויות לאשכול.
  • זמינות וסקלביליות: מציינים איפה רוצים להריץ את מישור הבקרה והצמתים של האשכול, ואם רוצים כמה רפליקות של מישור הבקרה. כל אשכולות Autopilot הם אזוריים, כלומר יש להם כמה מישורי בקרה בכמה אזורי מחשוב באזור של Google Cloud.
  • חברות ב-fleet: בוחרים אם רוצים שהאשכול יהיה חבר ב-fleet.
  • רשת: אפשרויות הרשת, כולל רשת VPC ורשת המשנה שבה נמצא האשכול, והאם אתם רוצים שהאשכול יהיה נגיש מרשתות ציבוריות.
  • ניהול גרסאות ושדרוגים: משתמשים בערוצי הפצה כדי לבחור את האיזון המועדף בין תכונות חדשות לבין יציבות כשמשדרגים את התוכנה של האשכול, ומגדירים חלונות זמן לתחזוקה והחרגות כדי לבחור מתי אפשר לבצע שדרוגים ומתי לא.
  • אבטחה: כולל מידע על השימוש של האשכול באיחוד זהויות של עומסי עבודה ל-GKE, ועל חשבון השירות שמשמש את הצמתים של האשכול לאימות ב-Google Cloud.
  • תכונות של אשכולות: הפעלה והגדרה של תכונות נוספות של GKE ו-Google Cloud לאשכול הזה, כולל גיבויים וניטור. במצב הרגיל אפשר גם ליצור אשכולות אלפא לטווח קצר כדי לנסות תכונות אלפא של Kubernetes.

בנוסף, לאשכולות Standard יש גם אפשרויות בקטגוריה הבאה:

  • מאגרי צמתים: פרטים על הצמתים של האשכול, כולל מאגרי צמתים, מערכת ההפעלה של הצמתים וגודל הצמתים.

בקטעים הבאים נתמקד בחלק מהקטגוריות האלה, במיוחד באלה שכוללות אפשרויות שאי אפשר לשנות אחרי שיוצרים את האשכול. רשימה מלאה של אפשרויות ההגדרה מופיעה בחומר עזר בנושא הגדרות.

בטבלה הבאה מוצגת השוואה בין האפשרויות הזמינות בכמה תחומים מרכזיים באשכולות Autopilot ובאשכולות רגילים:

אפשרויות לאשכולות מצב
טייס אוטומטי רגילה
סוג הזמינות אזורי אזורי או Zonal
ערוץ הפצה מהירה, רגילה או יציבה כל ערוץ
גרסאות של אשכולות ברירת מחדל או גרסה זמינה אחרת ברירת מחדל או גרסה זמינה אחרת
ניתוב ברשת VPC-native VPC-native או מבוסס-נתיבים
בידוד הרשת ניתן להתאמה אישית ניתן להתאמה אישית
התכונות של Kubernetes Production ייצור או אלפא

זמינות האשכולות

בעזרת GKE, אתם יכולים ליצור אשכול שמותאם לדרישות הזמינות של עומס העבודה ולתקציב שלכם. אתם יכולים לבחור בין אשכולות אזוריים עם כמה רפליקות של מישור הבקרה בכמה אזורי מחשוב בתוך אזור, לבין אשכולות תחומים עם מישור בקרה אחד בתחום אחד. Google Cloud אשכולות Autopilot הם תמיד אזוריים.

כדי לעזור לכם לבחור איזה סוג אשכול ליצור במצב רגיל, ראו בחירת מישור בקרה אזורי או של אזור.

אי אפשר לעדכן את ההגדרות האלה אחרי שיוצרים את האשכול: אשכול אזורי לא יכול להפוך לאשכול אזורי-מרובה, ואשכול אזורי-מרובה לא יכול להפוך לאשכול אזורי.

שיטה מומלצת:

לעומסי עבודה בסביבת הייצור, כדאי להשתמש באשכולות אזוריים כי בדרך כלל הזמינות שלהם גבוהה יותר מאשכולות של תחום מוגדר. בסביבות פיתוח, השתמשו באשכולות אזוריים עם מאגרי צמתים אזוריים. אשכול עם מישור בקרה אזורי ומאגרי צמתים אזוריים עולה כמו אשכול אזורי. למידע נוסף על שיקולים ספציפיים לאזורים, קראו את המאמר מיקום גיאוגרפי ואזורים.

אשכולות אזוריים

באשכול אזורי יש כמה רפליקות של מישור הבקרה, שפועלות בכמה אזורים בתוך Google Cloud האזור שציינתם. כשיוצרים אשכול Autopilot או אשכול אזורי אחר, תמיד צריך לציין אזור.

באשכולות אזוריים מסוג Standard, אתם יכולים גם לבחור באילו אזורים יפעלו הצמתים של האשכול. צמתים באשכול אזורי יכולים לפעול בכמה אזורים או באזור אחד, בהתאם למיקומי הצמתים שהוגדרו. כברירת מחדל, GKE משכפל כל מאגר צמתים בשלושה אזורים של מישור הבקרה. כשיוצרים אשכול Standard אזורי או כשמוסיפים מאגר צמתים חדש, אפשר לשנות את הגדרת ברירת המחדל על ידי ציון האזורים שבהם הצמתים של האשכול פועלים. כל האזורים חייבים להיות באותו אזור של מישור הבקרה.

כדאי להשתמש באשכולות אזוריים כדי להריץ את עומסי העבודה בסביבת הייצור, כי הם מציעים זמינות גבוהה יותר מאשכולות של תחום מוגדר.

אי אפשר לשנות את האזור של אשכול אזורי אחרי שיוצרים את האשכול.

אשכולות של תחום מוגדר

לאשכולות של תחום מוגדר יש מישור בקרה אחד בתחום אחד. עומסי העבודה ממשיכים לפעול במהלך שדרוג של האשכול או הפסקה זמנית בפעילות של האזור שבו פועל מישור הבקרה. עם זאת, אי אפשר להגדיר את האשכול, את הצמתים שלו ואת עומסי העבודה שלו עד שמישור הבקרה יהיה זמין. בהתאם לדרישות הזמינות של עומס העבודה, אתם יכולים לבחור אם לפזר את הצמתים של האשכול האזורי באזור אחד או בכמה אזורים.

כדי ליצור אשכול אזורי, ראו יצירת אשכול אזורי.

המיקום וההתפלגות של הצמתים

בין אם אתם משתמשים באשכולות אזוריים או באשכולות של אזורים, אתם יכולים לקבוע במדויק את המיקום ואת ההפצה של הצמתים שלכם בין האזורים. אתם יכולים להגדיר את אזורי ברירת המחדל לכל מאגרי הצמתים העתידיים, וגם להקצות או לשנות את האזורים הספציפיים של צמתים במאגרי צמתים קיימים.

אשכולות באזור אחד

אשכול של אזור יחיד – שיכול להיות אשכול אזורי או אשכול של תחום מוגדר – מריץ עומסי עבודה בצמתים שנמצאים באזור אחד בלבד. אם יש הפסקה זמנית בשירות באותו אזור, כל עומסי העבודה לא יהיו זמינים.

כברירת מחדל, אשכולות אזוריים נוצרים כאשכולות עם אזור יחיד, אבל אפשר לעדכן את ההגדרה הזו לאשכולות עם כמה אזורים.

אשכולות בכמה אזורים

אשכול בכמה אזורים (שיכול להיות אשכול אזורי או אשכול בתחום) משפר את הזמינות של עומסי העבודה על ידי הפצת צמתים בכמה אזורים בתוך אזור אחד. כך אפשר להריץ עומסי עבודה בכמה אזורים באותו מחוז. אם אתם מריצים עומס עבודה בכמה אזורים ומתרחשת הפסקה זמנית בשירות באזור מסוים, עומס העבודה משתבש באותו אזור אבל נשאר זמין באזורים אחרים.

אם אתם מפיצים צומתי GKE בכמה אזורים, יכול להיות שתחויבו על תעבורת נתונים יוצאת ברשת בין אזורים כשהצמתים צריכים לתקשר עם צמתים אחרים שנמצאים באזור אחר.

אשכולות אזוריים נוצרים כברירת מחדל כאשכולות בכמה אזורים, אבל אפשר לעדכן את ההגדרה הזו לאשכולות באזור אחד.

אזורי AI

אזורי AI הם אזורים ייעודיים שמשמשים לעומסי עבודה של אימון והסקת מסקנות של AI/ML. באזורים האלה יש קיבולת משמעותית של מאיצי למידת מכונה. מידע נוסף זמין במאמרי העזרה בנושא אזורי AI.

במסמך הזה ובמסמכי התיעוד של GKE, המונחים "אזורים רגילים" או "אזורים" מתייחסים לאזורים שאינם אזורי AI בתוך אזור Google Cloud .

לפני שאתם משתמשים באזור AI ב-GKE, כדאי להביא בחשבון את המאפיינים הבאים:

  • כדי להשתמש באזור AI עם אשכולות GKE קיימים, מישור הבקרה צריך להריץ את גרסה 1.36.4-gke.1495002 ואילך, או את גרסה 1.37.1-gke.1552000 ואילך. הגרסאות האלה מאפשרות למישור הבקרה לזהות את האזור ולרשום צמתים. אם במישור הבקרה פועלת גרסה 1.35 או גרסה קודמת, או גרסה שקודמת לגרסאות המינימליות האלה, שדרגו את מישור הבקרה לפני שאתם יוצרים מאגרי צמתים באזור ה-AI. אם אי אפשר לשדרג, פנו אל Cloud Customer Care.
  • אזורי AI מופרדים פיזית מאזורים רגילים כדי לספק שטח אחסון וחשמל נוספים. ההפרדה הזו עלולה לגרום לזמן אחזור ארוך יותר, שבדרך כלל אפשר לסבול בעומסי עבודה של AI/ML.
  • לאזורי AI יש סיומת עם הסימון ai. לדוגמה, אזור AI ב-us-central1 נקרא us-central1-ai1a.
  • בשלב הזה יש תמיכה רק במכונות וירטואליות של TPU.
  • מישור הבקרה של האשכול פועל באזור סטנדרטי אחד או יותר באותו אזור שבו נמצא אזור ה-AI.

  • אתם יכולים להריץ מכונות וירטואליות בלי יחידות TPU מצורפות באזור AI רק אם אתם עומדים בדרישות הבאות:

    • כבר פועלים עומסי עבודה אחרים שמשתמשים ב-TPU VM באותו אזור.
    • המכונות הווירטואליות שהן לא TPU VM הן VM במודל Spot, שקשורות למקום שמור או שהן חלק ממאגר צמתים עם יחס ספציפי בין מכונות וירטואליות עם מאיצים למכונות וירטואליות לשימוש כללי.

  • אזורי AI חולקים רכיבים, כמו חיבורים לרשת והשקות של תוכנות, עם אזורים רגילים שיש להם את אותה סיומת באותו אזור. לעומסי עבודה בזמינות גבוהה, מומלץ להשתמש באזורים שונים. לדוגמה, אל תשתמשו גם ב-us-central1-ai1a וגם ב-us-central1-a לזמינות גבוהה.

כברירת מחדל, GKE לא פורס את עומסי העבודה באזורי AI. כדי להשתמש באזור AI, צריך להגדיר אחת מהאפשרויות הבאות:

  • ‫(מומלץ) ComputeClasses: הגדרת העדיפות הגבוהה ביותר לבקשת יחידות TPU על פי דרישה באזור AI. בעזרת ComputeClasses אתם יכולים להגדיר רשימה של הגדרות חומרה לעומסי העבודה שלכם, לפי סדר עדיפויות. לדוגמה, ראו מידע על ComputeClasses.
  • הקצאת צמתים אוטומטית (NAP): משתמשים ב-nodeSelector או ב-nodeAffinity במפרט של ה-Pod כדי להורות ל-NAP ליצור מאגר צמתים באזור ה-AI. אם עומס העבודה לא מטרגט באופן מפורש אזור AI, הקצאת הצמתים האוטומטית מתייחסת רק לאזורים רגילים או לאזורים מ---autoprovisioning-locations כשיוצרים מאגרי צמתים חדשים. ההגדרה הזו עוזרת לוודא שעומסי עבודה שלא מריצים מודלים של AI או למידת מכונה יישארו באזורים רגילים, אלא אם תגדירו אחרת באופן מפורש. דוגמה למניפסט שמשתמש ב-nodeSelector מופיעה במאמר הגדרת אזורי ברירת המחדל לצמתים שנוצרו באופן אוטומטי.
  • ‫GKE Standard: אם אתם מנהלים ישירות את מאגרי הצמתים, השתמשו באזור AI בדגל --node-locations כשאתם יוצרים מאגר צמתים. לדוגמה, ראו פריסת עומסי עבודה של TPU ב-GKE Standard.

חברות ב-Fleet

אם בארגון שלכם יש כמה אשכולות, אתם יכולים לפשט את הניהול של כמה אשכולות על ידי הוספת האשכולות לצי: קיבוץ לוגי של אשכולות Kubernetes. יצירת צי עוזרת לארגון לשדרג את הניהול מאשכולות בודדים לקבוצות שלמות של אשכולות, ומאפשרת להשתמש בתכונות שמותאמות לציים, כמו Multi Cluster Ingress,‏ סנכרון תצורות ו-Policy Controller.

אפשר להוסיף אשכולות ל-fleet בכל שלב, אבל מומלץ מאוד לרשום אשכולות חדשים ל-fleet במהלך יצירת האשכול. הסיבה לכך היא שהאשכולות האלה, שנוצרו ב-fleet, נוצרים עם הגדרות ברירת המחדל שבחרתם ברמת ה-fleet לכמה תכונות ארגוניות, ועם יומנים ומדדים מומלצים שכבר מופעלים. במדריכים הבאים אפשר לקרוא מידע נוסף על:

אפשר לעדכן את ההגדרה הזו אחרי שיוצרים את האשכול כדי לרשום או לבטל את הרישום של האשכול, אבל לא מומלץ להעביר אשכולות עם עומסי עבודה פעילים מצי אחד לאחר.

במאמר יצירת קבוצות של אשכולות כדי לפשט את הניהול של כמה אשכולות תוכלו לקרוא מידע נוסף על הוספת אשכולות לקבוצות של אשכולות.

הגדרות רשת

כשיוצרים אשכול GKE, אפשר לציין כמה הגדרות רשת, כולל הרשת שבה נמצא האשכול, מצב הניתוב ברשת ואם רוצים שצומתי האשכול יהיו נגישים מרשתות ציבוריות.

אם אתם לא מנהלי רשת, כדאי להתייעץ עם מומחי הרשתות בארגון לפני שיוצרים אשכול שמוכן לייצור, כי אי אפשר לשנות הרבה מהאפשרויות האלה אחרי שיוצרים את האשכול. אם אתם מנהלי רשת, תוכלו לקרוא מידע נוסף על רשתות GKE במאמר מידע על רשתות GKE, ושיטות מומלצות לאפשרויות רישות במאמר שיטות מומלצות לרישות ב-GKE. בקטע הזה מתוארות רק חלק מאפשרויות הרשת שלנו.

רשת ורשת משנה

הרשת של הענן הווירטואלי הפרטי (VPC) שבה נמצא האשכול קובעת עם אילו משאבים אחרים של Compute Engine הוא יכול לתקשר. כברירת מחדל, אשכולות GKE נוצרים ברשת ברירת המחדל של הפרויקט, אבל אתם יכולים לבחור רשת אחרת אם אתם או האדמין שלכם יצרתם אחת. אם יש אפשרות, אתם יכולים לציין שאתם רוצים שהאשכול יהיה שייך לרשת משנה ספציפית של VPC. אחרת, תוגדר רשת המשנה שמוגדרת כברירת מחדל. אתם יכולים גם לציין שאתם רוצים להשתמש בטווח מסוים של כתובות IP בתוך רשת המשנה הזו בשביל ה-Pods והשירותים.

אי אפשר לעדכן את ההגדרות האלה אחרי שיוצרים את האשכול.

אפשרויות לבידוד הרשת

כדי להתאים אישית את בידוד הרשת באשכול, צריך להביא בחשבון את שני ההיבטים הבאים:

  • גישה למישור הבקרה: כברירת מחדל, נקודת הקצה הפנימית ונקודת הקצה החיצונית של מישור הבקרה מופעלות, ונקודת הקצה שמבוססת על DNS מושבתת. אתם יכולים:

    • משביתים את נקודות הקצה החיצונית והפנימית ומשתמשים רק בנקודת הקצה של ה-DNS.
    • להשבית רק את נקודת הקצה החיצונית כדי למנוע גישה ללקוחות חיצוניים.
    • הפעילו רשתות מורשות כדי לקבוע אילו כתובות IP יכולות להגיע לנקודות הקצה של מישור הבקרה.

  • הגדרת הרשת של האשכול: אתם יכולים להפעיל צמתים פרטיים באשכול כדי לבודד לחלוטין את עומסי העבודה מרשתות ציבוריות. אפשר להפעיל צמתים פרטיים לאשכולות שלמים, או ברמת מאגר הצמתים (במצב Standard) או ברמת עומס העבודה (במצב Autopilot). הפעלה של צמתים פרטיים ברמת מאגר הצמתים או ברמת עומס העבודה מבטלת את הגדרת הצומת ברמת האשכול.

אפשר לשנות את ההגדרות האלה אחרי שיוצרים את האשכול.

מידע נוסף על בידוד רשת זמין במאמרים מידע על התאמה אישית של בידוד רשת והתאמה אישית של בידוד הרשת.

שיטה מומלצת:

משתמשים ב-Cloud NAT כדי לספק ל-Pods של GKE גישה למשאבים עם כתובות IP ציבוריות. ‫Cloud NAT משפר את מצב האבטחה הכללי של האשכול, כי הפודים לא חשופים ישירות לאינטרנט, אבל עדיין יכולים לגשת למשאבים שחשופים לאינטרנט.

אשכולות מבוססי-נתיבים ואשכולות מקוריים ב-VPC

ב-GKE, אפשר להבחין בין אשכולות לפי האופן שבו הם מנתבים תנועה מ-Pod אחד ל-Pod אחר. אשכול שבו כתובות ה-IP של Pod ניתנות לניתוב באופן מקורי בתוך רשת ה-VPC, בלי להשתמש בנתיבים סטטיים בהתאמה אישית, נקרא אשכול מותאם ל-VPC. באשכולות IPv4 ובאשכולות עם מחסנית כפולה, GKE משתמש בכתובות IP חלופיות. באשכולות IPv6 עם מחסנית אחת, GKE מקצה כתובות ישירות מרשת המשנה בלי טווחי כתובות IP חלופיות. לעומת זאת, אשכול שמשתמש בGoogle Cloud נתיבים נקרא אשכול מבוסס-נתיבים.

כברירת מחדל, כל אשכולות GKE החדשים משתמשים בניתוב מקורי של VPC, וזו האפשרות המומלצת. אפשר לשנות את ההגדרה הזו כשיוצרים אשכול, כדי ליצור אשכול מבוסס-נתיבים במצב רגיל בלבד. אי אפשר לעדכן את ההגדרה הזו אחרי שיוצרים את האשכול.

במאמר אשכולות המותאמים ל-VPC תוכלו לקרוא מידע נוסף על אשכולות המותאמים ל-VPC והיתרונות שלהם, כולל דרישות מיוחדות.

שיטה מומלצת:

שימוש במצב רשת VPC-native באשכולות. זוהי ברירת המחדל לאשכולות במצב Autopilot.

גרסאות ושדרוגים

באמצעות ערוצי הפצה, GKE בוחר גרסאות תוכנה לאשכול עם האיזון שבחרתם בין זמינות התכונות לבין היציבות. כשיוצרים אשכול, אפשר לבחור את ערוץ ההפצה הרצוי. אשכולות חדשים (גם Autopilot וגם Standard) רשומים לערוץ ההפצה הרגיל כברירת מחדל, אבל אתם יכולים לבחור גרסה ספציפית במהלך יצירת האשכול, אם צריך.

אשכולות Autopilot תמיד משתמשים בערוצי הפצה. באשכולות Standard, ערוצי ההפצה מוגדרים כברירת מחדל, אבל אתם יכולים לבחור לא לרשום את האשכול לערוץ הפצה (למרות שאנחנו לא ממליצים על כך, כי ההגדרה הזו נותנת לכם גישה מוגבלת יותר לתכונות של האשכול).

עם הזמן, GKE משדרג אוטומטית את כל האשכולות, בלי קשר להרשמה לערוץ הפצה. ‫GKE משדרג באופן אוטומטי את מישור הבקרה של האשכול ואת הצמתים שלו כשגרסאות חדשות זמינות בערוץ ההפצה הזה. אתם יכולים לשלוט בתזמון ובהיקף של השדרוגים באמצעות חלונות זמן לתחזוקה והחרגות.

אפשר לשנות את ערוץ ההפצה של אשכול בכל שלב.

בנתוני הגרסה של GKE מפורט מידע על השדרוגים האוטומטיים הקרובים.

שיטה מומלצת:

בוחרים ערוץ הפצה ל-GKE כדי לבחור גרסאות לאשכול, עם האיזון הרצוי בין זמינות התכונות לבין היציבות. כדי לשלוט בתזמון ובהיקף של השדרוגים האוטומטיים, אפשר להשתמש בחלונות זמן לתחזוקה ובהחרגות.

תכונות אלפא (אשכולות רגילים בלבד)

תכונות חדשות ב-Kubernetes מופיעות כאלפא, בטא או יציבות, בהתאם לסטטוס שלהן בפיתוח. ברוב המקרים, תכונות של Kubernetes שמופיעות כגרסת בטא או כגרסה יציבה נכללות באשכולות של GKE.

אם אתם רוצים להתנסות בתכונות חדשות מאוד שלא מוכנות לייצור, תכונות בשלב אלפא זמינות באשכולות אלפא מיוחדים של GKE. באשכול אלפא, כל ממשקי ה-API של Kubernetes אלפא (שלפעמים נקראים Feature Gates) מופעלים. אתם יכולים להשתמש באשכולות אלפא כדי לבדוק ולאמת תכונות של Kubernetes בשלב מוקדם. אי אפשר להשתמש באשכולות אלפא לעומסי עבודה בסביבת הייצור, לשדרג אותם או להוסיף אותם לערוצי הפצה, והם פגים תוך 30 יום.

תכונות אלפא לא זמינות לאשכולות Autopilot.

כדי ליצור אשכול אלפא, ראו יצירת אשכול אלפא.

הגדרות אבטחה

ל-GKE יש כמה הגדרות אבטחה שאפשר לציין כשיוצרים אשכול. ההגדרות האלה כוללות הגדרות הצפנה, תכונות אבטחה כמו Binary Authorization, חשבון השירות שבו רוצים להשתמש לצומתי האשכול (מפורט יותר בסעיף הבא) ואם האשכול משתמש באיחוד זהויות של עומסי עבודה ל-GKE.

כמו בהגדרות אחרות, כדאי להתייעץ עם מומחים בתחום – במקרה הזה, מומחי האבטחה של הארגון – לפני שיוצרים אשכול שמוכן לייצור. במאמרים סקירה כללית על אבטחה והקשחת האבטחה של האשכול תוכלו לקרוא מידע נוסף על האבטחה ב-GKE.

חשבון שירות לצמתים

כדי להריץ משימות מערכת כמו רישום ביומן ומעקב, GKE משתמש בחשבונות שירות של IAM שמקושרים לצמתים. לכל הפחות, לחשבונות השירות של הצמתים צריך להיות התפקיד חשבון השירות שמוגדר כברירת מחדל לצומת ב-Kubernetes Engine ‏(roles/container.defaultNodeServiceAccount) בפרויקט. כברירת מחדל, GKE משתמש בחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine, שנוצר באופן אוטומטי בפרויקט, כחשבון השירות של הצומת.

אם הארגון שלכם אוכף את אילוץ מדיניות הארגון iam.automaticIamGrantsForDefaultServiceAccounts, יכול להיות שחשבון השירות שמוגדר כברירת המחדל של Compute Engine בפרויקט לא יקבל באופן אוטומטי את ההרשאות הנדרשות ל-GKE.

אם אתם משתמשים בחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine לפונקציות אחרות בפרויקט או בארגון, יכול להיות שלחשבון השירות יהיו יותר הרשאות ממה שנדרש ל-GKE, וזה עלול לחשוף אתכם לסיכוני אבטחה.

אחרי שיוצרים את האשכולות, אי אפשר לשנות את חשבון השירות של אשכולות במצב Autopilot או של מאגרי צמתים במצב Standard.

הגדרות של מאגר צמתים (אשכולות רגילים בלבד)

כפי שאתם יודעים מסקירה כללית של ניהול אשכולות וממצבי הפעולה של GKE, אם אתם משתמשים ב-Autopilot לאשכולות שלכם, אתם לא צריכים לדאוג להגדרת הצמתים כי GKE מגדיר את הצמתים בשבילכם. כל הצמתים באשכול Autopilot מנוהלים באופן מלא על ידי GKE, וכולם משתמשים באותה מערכת הפעלה (OS) של הצומת.

אם אתם בוחרים ליצור אשכול רגיל, אתם יכולים לציין כמה אפשרויות לצומת כשאתם יוצרים אשכול, כולל:

אפשר לשנות חלק מההגדרות של מאגר הצמתים של אשכול אחרי שיוצרים את האשכול, אבל כל האשכולות הרגילים דורשים לפחות מאגר צמתים אחד. אם לא מציינים את מספר הצמתים וסוג המכונה כשיוצרים אשכול Standard, מאגר הצמתים שמוגדר כברירת מחדל מורכב משלושה צמתים בכל אחד מהאזורים של האשכול, עם תמונת הצומת cos_containerd שמוגדרת כברירת מחדל וסוג מכונה לשימוש כללי.

מידע נוסף על הגדרת מאגרי צמתים זמין במאמרים מידע על מאגרי צמתים והוספה וניהול של מאגרי צמתים.

הפניה להגדרות האישיות

רשימה מלאה של אפשרויות ההגדרה מופיעה במדריכי העזר הבאים:

המאמרים הבאים