:自己管理型KubernetesクラスターをVNodeへ接続

前提条件

• バージョンが1.13と1.20の間のKubernetesクラスターがデプロイされます。

• Kubernetesクラスターがデータセンターにデプロイされている場合は、データセンターと仮想プライベートクラウド (VPC) が、Express Connect、Smart Access Gateway、またはVPN Gatewayを使用して相互に接続されていることを確認してください。 詳細については、以下のトピックをご参照ください。

  • Express Connectとは何ですか?

  • SAGとは何ですか?

  • VPNゲートウェイとは何ですか?

準備

自己管理型KubernetesクラスターをVNodeに接続する前に、VNnodeに必要な権限を理解し、VNodeの作成に必要な次のパラメーター情報を準備します。

VNodeをデプロイするには、次の表に示すように、ネイティブKubernetesノードの標準権限とVNodeの追加権限を設定する必要があります。

ステップ1: KubeConfig証明書の生成

VNodesをKubernetesクラスターに接続するには、KubeConfig証明書が必要です。 したがって、VNodeを作成する前に、KubeConfig証明書をVNodeに発行する必要があります。 次の操作を実行します。

1. 構成スクリプトをダウンロードして実行し、KubeConfig証明書を生成します。

   TLS BootstrapまたはServiceAcoountモードで、適切なコマンドを実行して、Kubernetesクラスターのバージョンに基づいてKubeConfig証明書を生成します。

   • TLSブートストラップ

     セキュリティ要件がある場合は、TLSブートストラップモードを使用することを推奨します。 このモードでは、vnode-approverコンポーネントが自動的にデプロイされます。 vnode-approverコンポーネントは、vnodeによって送信される証明書署名要求 (CSR) を発行するために使用されます。 vnode-approverはGitHubにオープンソースコードを持っています。 詳細については、「vnode-approver」をご参照ください。

     • クラスタのバージョンが1.14と1.20の間の場合、次のコマンドを実行してKubeConfig証明書を生成します。

       curl -fsSL https://eci-release.oss-cn-beijing.aliyuncs.com/vnode-deploy.sh | bash -s -- ブートストラップ

     • クラスターのバージョンが1.13の場合は、次のコマンドを実行してKubeConfig証明書を生成します。

       v1.13のクラスターの場合、エンドポイントリソースはリーダーを選択する必要があります。 スクリプトでEXTRA_PRIVILEDGE=trueを設定して、追加の権限を設定する必要があります。

       curl -fsSL https://eci-release.oss-cn-beijing.aliyuncs.com/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- ブートストラップ

   • ServiceAcoount

     このモードでは、証明書のローテーションはサポートされません。 KubeConfig証明書を発行するときは、KubeConfigの有効期限が切れたためにVNodeが失敗しないように、トークンに十分な有効期間または永続的な有効期間があることを確認してください。

     • クラスタのバージョンが1.14と1.20の間の場合、次のコマンドを実行してKubeConfig証明書を生成します。

       curl -fsSL https://eci-release.oss-cn-beijing.aliyuncs.com/vnode-deploy.sh | bash -s -- common

     • クラスターのバージョンが1.13の場合は、次のコマンドを実行してKubeConfig証明書を生成します。

       v1.13のクラスターの場合、エンドポイントリソースはリーダーを選択する必要があります。 スクリプトでEXTRA_PRIVILEDGE=trueを設定して、追加の権限を設定する必要があります。

       curl -fsSL https://eci-release.oss-cn-beijing.aliyuncs.com/vnode-deploy.sh | env EXTRA_PRIVILEDGE=true bash -s -- common

2. KubeConfigを表示します。

   KubeConfigはvnode-configという名前です。次のコマンドを実行してKubeConfigを表示します。

   cat vnode-config

   KubeConfigを表示するときは、次の項目に注意してください。

   • VNodeを作成するVPCがサーバーエンドポイントに接続できるかどうかを確認します。

   • certificate-authority-dataの内容が空の場合は、~/.kube/configでPATHフィールドが使用されているかどうかを確認してください。

   次のコードは、KubeConfigのサンプルコンテンツを提供します。

   • TLSブートストラップ

     apiVersion: v1
     kind: 構成
     current-context: kubernetes-admin @ kubernetes
     コンテキスト:
     -name: kubernetes-admin @ kubernetes
       コンテキスト:
         クラスター: kubernetes-admin @ kubernetes
         ユーザー: vnode
         名前空間: kube-system
     クラスター:
     -name: kubernetes-admin @ kubernetes
       クラスター:
         certificate-authority-data: "*****************************************=="
         server: https:// 10.16.XX.XX:6443
     ユーザー:
     -name: vnode
       ユーザー：
         token: ******.****************

   • ServiceAcoount

     apiVersion: v1
     kind: 構成
     current-context: kubernetes-admin @ kubernetes
     コンテキスト:
     -name: kubernetes-admin @ kubernetes
       コンテキスト:
         クラスター: kubernetes-admin @ kubernetes
         ユーザー: vnode
         名前空間: kube-system
     クラスター:
     -name: kubernetes-admin @ kubernetes
       クラスター:
         certificate-authority-data: "*****************************************=="
         server: https:// 10.16.XX.XX:6443
     ユーザー:
     -name: vnode
       ユーザー：
         token: *********************************************** 

ステップ2: VNodeの作成

Elastic Container Instanceコンソールを使用するか、API操作を呼び出してVNodeを作成できます。

ステップ3: anti-affinityポリシーの設定

VNodesは実ノードではないため、DaemonSetsはVNodesで実行できません。 VNodeを作成したら、kube-proxyでDaemonSetを変更し、DaemonSetsがVNodeにスケジュールされないようにnodeAffinityを設定する必要があります。 次の操作を実行します。

1. 次のコマンドを実行して、DaemonSetの設定を変更します。

   kubectl -n kube-system edit ds kube-proxy

2. nodeAffinityを設定します。

   次のYAMLコンテンツをspec > template > specに追加します。

   affinity:
     nodeAffinity:
       requiredDuringSchedulingIgnoredDuringExecution:
         nodeSelectorTerms:
         - matchExpressions:
           -キー: タイプ
             演算子: NotIn
             values:
             -virtual-kubelet 

次の手順

VNodeを作成したら、次のいずれかの方法を使用して、ポッドをVNodeにスケジュールできます。 その後、VNodeにデプロイされているエラスティックコンテナインスタンスでポッドを実行できます。

• 手動スケジューリング

  nodeSelectorパラメーターと許容範囲パラメーターを設定するか、nodeNameパラメーターを指定して、ポッドをVNodeにスケジュールすることができます。 詳細については、「VNodeへのポッドのスケジュール」をご参照ください。

• 自動スケジューリング

  ECIプロファイル機能を使用すると、セレクタをカスタマイズできます。 その後、Elastic Container Instanceは、セレクタの条件を満たすポッドをVNodeに自動的にスケジュールします。 特定の操作の詳細については、「ポッドをオーケストレーションするためのECIプロファイルの設定」をご参照ください。