Container Service for Kubernetes:ACK 専用クラスターの作成

クラスターの名前を入力します。

この機能は Kubernetes 1.22 以降でのみ利用可能です。Terway プラグインのみをサポートし、eRDMA 機能とは併用できません。

クラスターは IPv4 と IPv6 の両プロトコルをサポートします。ただし、ワーカーノードとコントロールプレーン間の通信は引き続き IPv4 アドレスを使用します。以下の点を確認してください：

• クラスターの VPC が IPv6 デュアルスタックをサポートしていること。

• Terway を共有 ENI モードで使用する場合、ノードのインスタンスタイプが IPv6 をサポートしていること。サポートされる IPv4 と IPv6 のアドレス数が同じである必要があります。

クラスター用の VPC です。高可用性を確保するため、少なくとも 2 つの異なるゾーンを選択することを推奨します。

• 自動作成：ACK は選択された各ゾーンに対応する vSwitch を作成します。

• 既存のものを使用：vSwitch を選択してクラスターのゾーンを指定します。新しい vSwitch を作成するか、既存のものを使用します。

クラウドリソースと課金：VPC

既存の VPC を使用する場合、[既存のセキュリティグループを選択]

このセキュリティグループは、クラスターのコントロールプレーン、デフォルトのノードプール、およびカスタムセキュリティグループが指定されていないノードプールに適用されます。

基本セキュリティグループと比較して、エンタープライズセキュリティグループはより多くのプライベート IP アドレスをサポートできますが、グループ内の接続性はサポートしません。詳細な比較については、「セキュリティグループの分類」をご参照ください。

• 自動作成：デフォルトですべてのアウトバウンドトラフィックが許可されます。インバウンドトラフィックは推奨設定に基づいて許可されます。後でルールを変更する場合は、100.64.0.0/10 CIDR ブロックからのインバウンドトラフィックを許可するようにしてください。

  この CIDR ブロックは、イメージのプルや基本的な ECS 情報のクエリなど、他の Alibaba Cloud サービスにアクセスするために使用されます。

• 既存のものを使用：ACK はデフォルトでセキュリティグループに追加のアクセスルールを設定しません。アクセス例外を防ぐために、セキュリティグループルールを自分で管理する必要があります。詳細については、「クラスターのセキュリティグループの設定」をご参照ください。

コンテナネットワークプラグインは、クラスター内の Pod 間のネットワーク通信の基盤です。

2 つのプラグインの詳細な比較については、「Terway と Flannel コンテナネットワークプラグインの比較」をご参照ください。

• Flannel：軽量なオープンソースのネットワークプラグインです。ACK では、Alibaba Cloud VPC と深く統合された VPC ネイティブモードを使用します。VPC ルートテーブルを直接管理することで、Pod 間の通信を可能にします。

  • シナリオ：Flannel は設定が簡単で、リソース消費が少ないです。ノード数が少ない (VPC ルートテーブルのクォータによる制限あり)、ネットワーク設定要件が簡素化されている、コンテナネットワークのカスタム制御が不要なシナリオに適しています。

• Terway：Alibaba Cloud が開発した高性能ネットワークプラグインです。Elastic Network Interface (ENI) に基づいて Pod 間の通信を可能にします。

  • シナリオ：Terway は、eBPF ベースのネットワークアクセラレーション、NetworkPolicy、Pod レベルの vSwitch とセキュリティグループなどの機能を提供します。高性能コンピューティング (HPC)、ゲーム、マイクロサービスなど、ノード規模、ネットワークパフォーマンス、セキュリティに対する高い要件があるシナリオに適しています。

  • Pod 数量制限：各 Pod は ENI のセカンダリ IP アドレスを 1 つ占有します。1 つの ENI に割り当て可能な IP アドレスの数は限られており、インスタンスタイプに依存します。したがって、ノード上で実行できる Pod の数は、ノードの ENI とセカンダリ IP アドレスのクォータによって制限されます。

    共有 VPC を使用する場合、Terway のみがサポートされます。

  Terway は以下の機能も提供します。

  これらの機能の詳細については、「Terway ネットワークプラグインの使用」をご参照ください。

  • DataPathV2

    これはクラスター作成時にのみ設定できます。

    DataPathv2 アクセラレーションモードを有効にします。Terway は eBPF 技術を使用してトラフィック転送パスを最適化し、ネットワーク集約型アプリケーションに低遅延と高スループットを提供します。

    この機能は、Alibaba Cloud Linux 3 (全バージョン)、ContainerOS、および Ubuntu でのみサポートされ、Linux カーネルバージョン 5.10 以降が必要です。詳細については、「ネットワークアクセラレーション」をご参照ください。

  • NetworkPolicy サポート

    この機能はパブリックプレビュー中です。使用するには、クォータセンターコンソールページで申請してください。

    ネイティブの Kubernetes NetworkPolicy をサポートし、Pod 間のファイアウォールとして機能します。詳細なアクセス制御ルールをカスタマイズして、クラスターのセキュリティを向上させます。

  • Trunk ENI サポート

    Pod に独立した IP アドレス、vSwitch、セキュリティグループを設定できます。これは、特定の Pod に固定 IP アドレスや独立したネットワークポリシー管理が必要な特殊なビジネスシナリオに適しています。詳細については、「Pod に固定 IP アドレス、独立した vSwitch、およびセキュリティグループを設定する」をご参照ください。

IPv6 デュアルスタックも有効にする必要があります。

Service CIDR ブロックに IPv6 アドレス範囲を設定します。ユニークローカルアドレス (ULA) (fc00::/7 の範囲内) を使用する必要があります。アドレスプレフィックス長は /112 から /120 の間でなければなりません。利用可能なアドレス数が [Service CIDR ブロック] と同じになるようにすることを推奨します。

kube-proxy モードを選択します。これにより、クラスター Service がバックエンド Pod にリクエストをどのように分散するかが決まります。

• iptables：Linux ファイアウォールルールに基づいてトラフィックを転送します。このモードは安定していますが、パフォーマンスに制限があります。Service の数が増えると、ファイアウォールルールの数が指数関数的に増加し、リクエスト処理が遅くなります。このモードは、Service の数が少ないクラスターに適しています。

• IPVS：高性能なトラフィック分散ソリューションです。ハッシュテーブルを使用してターゲット Pod を迅速に特定するため、多数の Service リクエストを処理する際の遅延が低くなります。このモードは、大規模な本番クラスターや高いネットワークパフォーマンス要件があるシナリオに適しています。

コンテナランタイムの選択方法については、「containerd、Sandboxed-Container、Docker ランタイムの比較」をご参照ください。

• containerd (推奨)：コミュニティ標準です。Kubernetes 1.20 以降でサポートされます。

• Sandboxed-Container：軽量仮想化技術に基づいて強力に分離された環境を提供します。Kubernetes 1.31 以前でサポートされます。

• Docker (サポート終了)：Kubernetes 1.22 以前でのみサポートされます。このランタイムでクラスターを作成することはできなくなりました。

ノードプールでスケールアウトされるノードのデフォルトの課金方法です。

• [従量課金]：必要に応じて有効化およびリリースできます。

• [サブスクリプション]：[サブスクリプション期間] と [自動更新] を設定する必要があります。

• [スポットインスタンス]：現在、保護期間付きのスポットインスタンスのみがサポートされています。[インスタンスあたりの最大価格] も設定する必要があります。

  指定したインスタンスタイプのリアルタイム価格がインスタンスあたりの最大入札価格より低い場合にインスタンスが正常に作成されます。保護期間 (1 時間) 後、システムは 5 分ごとにインスタンスタイプのリアルタイム価格と在庫を確認します。市場価格が入札価格より高い場合や在庫が不足している場合、スポットインスタンスはリリースされます。使用上の推奨事項については、「スポットインスタンスノードプールのベストプラクティス」をご参照ください。

ノードプールの均一性を確保するため、[従量課金] または [サブスクリプション] のノードプールを [スポットインスタンス] のノードプールに変更したり、その逆を行ったりすることはできません。

ノードを作成する際、ACK は選択されたセキュリティベースラインポリシーを適用します。

• [無効]：ECS インスタンスに対してセキュリティ強化は行われません。

• [MLPS 2.0 セキュリティ強化]：Alibaba Cloud は、MLPS 2.0 コンプライアンス要件を満たす Alibaba Cloud Linux MLPS 2.0 レベル 3 イメージ用のベースラインチェック標準とスキャンツールを提供します。ネイティブイメージの互換性とパフォーマンスを確保しつつ、「GB/T 22239-2019 情報セキュリティ技術 - サイバーセキュリティの分類保護のためのベースライン」の要件を満たすように適合されています。詳細については、「ACK MLPS 2.0 セキュリティ強化に関する説明」をご参照ください。

  ただし、このモードでは、root ユーザーは SSH を使用してリモートでログインできません。ECS コンソールからVNC 接続を使用してインスタンスに接続し、SSH ログインをサポートする一般ユーザーを作成できます。

• [Alibaba Cloud OS 強化]：Alibaba Cloud Linux 2 または Alibaba Cloud Linux 3 でのみサポートされます。

必要に応じてディスクタイプを選択します。ディスクタイプには、ESSD AutoPL、エンタープライズ SSD (ESSD)、ESSD Entry、および旧世代のディスク (標準 SSD および Ultra ディスク) が含まれます。容量と IOPS を設定します。

利用可能なシステムディスクタイプは、選択したインスタンスファミリーによって異なります。表示されていないディスクタイプはサポートされていません。

[より多くのシステムディスクタイプを設定] を選択して、[システムディスク] とは異なるディスクタイプを設定し、スケールアウトの成功率を高めることができます。ノード作成時、ACK は指定されたディスクタイプの順序に基づいて最初に一致するタイプを選択します。

クラウドリソースと課金：ECS ブロックストレージ

必要に応じてディスクタイプを選択します。ディスクタイプには、ESSD AutoPL、エンタープライズ SSD (ESSD)、ESSD Entry、および旧世代のディスク (標準 SSD および Ultra ディスク) が含まれます。容量と IOPS を設定します。

利用可能なデータディスクタイプは、選択したインスタンスファミリーによって異なります。表示されていないディスクタイプはサポートされていません。

• データディスクをアタッチする場合、すべてのディスクタイプが[暗号化] をサポートします。キーを選択すると、Alibaba Cloud はデフォルトのサービスキー (Default Service CMK) を使用して暗号化します。KMS サービスで作成したカスタムキー (BYOK) を選択して暗号化することもできます。

• ノード作成中、最後のデータディスクが自動的にフォーマットされます。/var/lib/container ディレクトリはこのデータディスクにマウントされ、/var/lib/kubelet および /var/lib/containerd ディレクトリは /var/lib/container にマウントされます。

  マウントディレクトリをカスタマイズするには、データディスクの初期化設定を調整します。コンテナランタイムが占有するディレクトリとして、最大 1 つのデータディスクを選択できます。詳細については、「ACK ノードプールのデータディスクのマウントディレクトリをカスタマイズできますか？

• コンテナイメージの高速化や大規模モデルの高速読み込みが必要なシナリオでは、スナップショットを使用してデータディスクを作成し、システムの応答速度と処理能力を向上させることもできます。

[より多くのデータディスクタイプを設定] を選択して、[データディスク] とは異なるディスクタイプを設定し、スケールアウトの成功率を高めることができます。ノード作成時、ACK は指定されたディスクタイプの順序に基づいて最初に一致するタイプを選択します。

1 つの ECS インスタンスには最大 64 個のデータディスクをアタッチできます。アタッチできるディスクの最大数はインスタンスタイプによって異なります。DescribeInstanceTypes 操作 (DiskQuantity) を呼び出すことで、インスタンスタイプがサポートする最大ディスク数を確認できます。

クラウドリソースと課金：ECS ブロックストレージ

ノードにキーと値のTaint を追加します。有効な Taint キーは、オプションのプレフィックスと名前で構成されます。プレフィックスが存在する場合、名前とはスラッシュ (/) で区切られます。

指定されたカスタムユーザーデータスクリプトは、ノードがクラスターに追加された後に実行されます。

たとえば、インスタンスユーザーデータを echo "hello world" と指定した場合、ノードで実際に実行されるスクリプトは次のようになります。

#!/bin/bash
[ノード初期化スクリプト]
echo "hello world"

この設定のノード初期化中の有効ロジックについては、「ノード初期化プロセス」をご参照ください。

クラスターの作成またはノードのスケールアウトが成功しても、インスタンスユーザーデータスクリプトが正常に実行されたことは保証されません。ノードにログインし、grep cloud-init /var/log/messages を実行して実行ログを表示できます。

CloudMonitor コンソールで、ノードとアプリケーションの実行状態を表示および監視できます。

この設定は、ノードプールの新しいノードにのみ有効で、既存のノードには有効ではありません。

既存のノードでこれを有効にするには、CloudMonitor コンソールからインストールしてください。

クラウドリソースと課金：CloudMonitor

ACK はノードにパブリック IPv4 アドレスを割り当てます。

この設定は、ノードプールの新しいノードにのみ有効で、既存のノードには有効ではありません。既存のノードがインターネットにアクセスする必要がある場合は、EIP を設定してアタッチする必要があります。詳細については、「クラウドリソースに EIP をアタッチする」をご参照ください。

クラウドリソースと課金：ECS パブリックネットワーク