Container Service for Kubernetes (ACK) クラスターでは、動的スケーリングによりノードの IP アドレスが頻繁に変更されます。ACK クラスター同期ノードを作成して、ACK クラスター内のノードの IP アドレスを Cloud Firewall アドレス帳に自動的に同期できます。これにより、IP アドレスを更新する手動のワークロードが削減され、セキュリティが向上します。
使用上の注意
Terway ネットワークプラグインを使用する ACK クラスターのみがサポートされています。ネットワークプラグインのタイプを確認する方法の詳細については、「コンテナーネットワークに関するよくある質問」をご参照ください。
同期ノードは、ACK クラスター内の Pod に関する情報を取得する必要があります。したがって、同期ノードを作成するときは、Cloud Firewall サービスリンクロールにクラスター上で必要な RBAC 権限を付与する必要があります。
サポートされているリージョンとゾーン
パブリッククラウドでサポートされているリージョンとゾーン
リージョン | リージョン ID | ゾーン |
中国 (成都) | cn-chengdu | ゾーン A, ゾーン B |
中国 (広州) | cn-guangzhou | ゾーン A, ゾーン B |
中国 (深セン) | cn-shenzhen | ゾーン D, ゾーン E, ゾーン F |
中国 (北京) | cn-beijing | ゾーン F, ゾーン G, ゾーン H, ゾーン I, ゾーン L |
中国 (上海) | cn-shanghai | ゾーン B, ゾーン G, ゾーン M, ゾーン N |
中国 (杭州) | cn-hangzhou | ゾーン H, ゾーン I, ゾーン J, ゾーン K |
中国 (香港) | cn-hongkong | ゾーン B, ゾーン C |
シンガポール | ap-southeast-1 | ゾーン A, ゾーン B, ゾーン C |
手順
Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、 を選択します。表示されたページで、ACK cluster タブをクリックし、Create Sync Node をクリックします。Create Sync Node ページが開きます。
画面の指示に従って、Cloud Firewall サービスリンクロール AliyunServiceRoleForCloudFW に権限を付与します。リンクまたはボタンをクリックして、権限付与ページに移動できます。
重要クラスターに初めて同期ノードを作成するときは、Cloud Firewall サービスリンクロールに、クラスターに対する少なくとも Restricted User の RBAC 権限を付与する必要があります。
アクセスの制御では、特定の名前空間またはすべての名前空間に権限を付与できます。
このステップで権限が正しく構成されていない場合、ヘルスチェックは失敗し、ノードの作成が妨げられます。
詳細については、「RBAC を使用してクラスター内のリソースに対する操作権限を付与する」をご参照ください。
権限付与が成功したら、ノード作成ページに戻り、Authorization completed をクリックして続行します。
権限付与の問題が発生した場合は、Unauthorized をクリックして現在のページにとどまることができます。
同期ノード情報を入力してノードを作成します。
設定項目
説明
同期ノード名
ACK 同期ノードの名前。同期ノードを識別して使用するために、わかりやすい名前を入力することをお勧めします。
説明名前は最大 64 文字で、漢字、大文字と小文字の英字、数字、および次の特殊文字を含めることができます: . _ -。
ACK クラスタータイプ
ACK マネージドクラスターのみがサポートされています。
ACK クラスターのアカウント
同期するクラスターが属するアカウントを選択します。後続のデータは、選択に基づいてロードされます。
説明メンバーアカウントを削除するか、クラスターをデタッチすると、ACK クラスター同期ノードは削除されます。
リージョン
クラスターがデプロイされているリージョンを選択します。
クラスター
特定のクラスターを選択します。新しく作成したクラスターがリストに表示されない場合は、右側の
アイコンをクリックできます。ゾーンと vSwitch
ノードのゾーンと vSwitch を選択します。選択後、対応する IP アドレスセグメントが表示されます。
説明ネットワークプランに厳しい要件がある場合は、同期ノードの IP アドレスを指定できます。このパラメーターを空のままにすると、IP アドレスが自動的に割り当てられます。
ディザスタリカバリ要件がある場合は、2 つのゾーンと vSwitch を構成できます。不要な場合は、右側のゴミ箱アイコンをクリックしてこの行を削除できます。
同期サイクル
同期ノードがクラスター内の Pod の IP アドレス情報をスクレイピングする間隔。最小間隔は 10 秒です。
同期ノード情報を入力したら、OK をクリックします。システムは自動的に設定を検出し、同期ノードを作成します。
重要Authorize Cloud Firewall RBAC permissions が不十分な場合、ノードの作成は失敗します。
その他の操作
同期ノードが作成されると、リストに表示されます。
操作:
詳細: 同期ノードの構成詳細を表示します。
変更: 同期ノードに関する情報を変更します。
説明現在のバージョンでは、同期ノード名 と Synchronization Cycle のみを変更できます。他の情報を変更するには、ノードを削除して新しいノードを作成する必要があります。
削除: 同期ノードを削除します。
説明同期ノードがアドレス帳によって参照されている場合は、まずアドレス帳を削除してから同期ノードを削除する必要があります。
ステータス:
インスタンスステータス: 同期ノードインスタンスのステータス。
ヘルスステータス: 同期ノードの動作ステータス。ノードが異常な場合は、ステータスアイコンにポインターを合わせると原因を表示できます。例:
使用方法:
同期ノードが作成された後、ACK アドレス帳でそれを参照できます。詳細については、「カスタムアドレス帳の作成」をご参照ください。