创建 Autopilot 集群

控制台

1. 前往欢迎页面：

   前往“欢迎”页面

2. 在项目编号字段中，点击 content_copy 复制到剪贴板。
3. 转到 IAM 页面：

   转到 IAM

4. 点击 person_add 授予访问权限。
5. 在新的主账号字段中，指定以下值：

   PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com

   将 PROJECT_NUMBER 替换为您复制的项目编号。
6. 在选择角色菜单中，选择 Kubernetes Engine Default Node Service Account 角色。
7. 点击保存。

gcloud

1. 找到您的 Cloud de Confiance 项目编号：

   gcloud projects describe PROJECT_ID \
       --format="value(projectNumber)"

   将 PROJECT_ID 替换为您的项目 ID。

   输出内容类似如下：

   12345678901
   

2. 将 roles/container.defaultNodeServiceAccount 角色授予 Compute Engine 默认服务账号：

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com" \
       --role="roles/container.defaultNodeServiceAccount"

   将 PROJECT_NUMBER 替换为上一步中的项目编号。

gcloud

运行以下命令：

gcloud container clusters create-auto CLUSTER_NAME \
    --location=LOCATION \
    --project=PROJECT_ID

替换以下内容：

• CLUSTER_NAME：新 Autopilot 集群的名称。
• LOCATION：集群的区域。
• PROJECT_ID：您的项目 ID。

我们强烈建议您指定节点可以使用的具有最低权限的 IAM 服务账号，而不是 Compute Engine 默认服务账号。如需了解如何创建具有最低权限的服务账号，请参阅使用最小权限服务账号。

如需在 gcloud CLI 中指定自定义服务账号，请在您的命令中添加以下标志：

--service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.s3ns.iam.gserviceaccount.com

将 SERVICE_ACCOUNT_NAME 替换为具有最低权限的服务账号的名称。

如需查看您可以指定的更多选项，请参阅 gcloud container clusters create-auto 参考文档。

控制台

执行以下任务：

1. 在 Cloud de Confiance 控制台中，前往创建 Autopilot 集群页面。

   前往“创建 Autopilot 集群”

2. 在集群基本信息部分，完成以下操作：

3. 输入集群的名称。

4. 为您的集群选择一个区域。

   1. 可选：如果您要将新集群注册到舰队，请前往舰队注册部分，然后按照 Cloud de Confiance 控制台有关创建和注册新集群的说明完成集群注册。

5. 在网络部分，请参阅自定义网络隔离以获取配置说明。

6. （可选）为节点指定自定义 IAM 服务账号：
   1. 在高级设置页面中，展开安全部分。
   2. 在服务账号菜单中，选择您想使用的服务账号。

   我们强烈建议您指定节点可以使用的具有最低权限的 IAM 服务账号，而不是 Compute Engine 默认服务账号。如需了解如何创建具有最低权限的服务账号，请参阅使用最小权限服务账号。

7. （可选）配置其他设置，例如维护窗口和高级安全功能。

8. 点击创建。

Terraform

如需使用 Terraform 创建 Autopilot 集群，请参阅以下示例：

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-basic"
  location = "us-central1"

  enable_autopilot = true
}

如需创建使用自定义 IAM 服务账号的 Autopilot 集群，请按以下步骤操作：

1. 创建 IAM 服务账号并向其授予项目的 roles/container.defaultNodeServiceAccount 角色：

   resource "google_service_account" "default" {
     account_id   = "gke-node-service-account"
     display_name = "GKE node service account"
   }
   
   data "google_project" "project" {
   }
   
   resource "google_project_iam_member" "default" {
     project = data.google_project.project.project_id
     role    = "roles/container.defaultNodeServiceAccount"
     member  = "serviceAccount:${google_service_account.default.email}"
   }

2. 创建使用新服务账号的 Autopilot 集群：

   resource "google_container_cluster" "default" {
     name     = "autopilot-custom-account"
     location = "us-central1"
   
     enable_autopilot = true
   
     cluster_autoscaling {
       auto_provisioning_defaults {
         service_account = google_service_account.default.email
       }
     }
   }

如需详细了解如何使用 Terraform，请参阅针对 GKE 的 Terraform 支持。