建立 Autopilot 叢集

主控台

1. 前往「歡迎」頁面：

   前往「歡迎」頁面

2. 在「專案編號」欄位中，按一下content_copy「複製到剪貼簿」。
3. 前往「IAM」(身分與存取權管理) 頁面：

   前往「身分與存取權管理」頁面

4. 按一下「授予存取權」person_add。
5. 在「New principals」(新增主體) 欄位中，指定下列值：

   PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com

   將 PROJECT_NUMBER 替換為您複製的專案編號。
6. 在「Select a role」(選取角色) 選單中，選取「Kubernetes Engine Default Node Service Account」(Kubernetes Engine 預設節點服務帳戶) 角色。
7. 按一下 [儲存]。

gcloud

1. 找出 Cloud de Confiance 專案編號：

   gcloud projects describe PROJECT_ID \
       --format="value(projectNumber)"

   將 PROJECT_ID 替換為您的專案 ID。

   輸出結果會與下列內容相似：

   12345678901
   

2. 將 roles/container.defaultNodeServiceAccount 角色指派給 Compute Engine 預設服務帳戶：

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com" \
       --role="roles/container.defaultNodeServiceAccount"

   將 PROJECT_NUMBER 替換為上一步的專案編號。

gcloud

執行下列指令：

gcloud container clusters create-auto CLUSTER_NAME \
    --location=LOCATION \
    --project=PROJECT_ID

更改下列內容：

• CLUSTER_NAME：新 Autopilot 叢集的名稱。
• LOCATION：叢集的區域。
• PROJECT_ID：您的專案 ID。

強烈建議您指定權限最小的 IAM 服務帳戶，供節點使用，不要使用 Compute Engine 預設服務帳戶。如要瞭解如何建立僅具備必要權限的服務帳戶，請參閱「使用最低權限的服務帳戶」。

如要在 gcloud CLI 中指定自訂服務帳戶，請在指令中加入下列標記：

--service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.s3ns.iam.gserviceaccount.com

將 SERVICE_ACCOUNT_NAME 替換為最低權限服務帳戶的名稱。

如需可指定的其他選項清單，請參閱 gcloud container clusters create-auto 參考說明文件。

控制台

執行下列工作：

1. 在 Cloud de Confiance 控制台中，前往「建立 Autopilot 叢集」頁面。

   前往「Create an Autopilot cluster」(建立 Autopilot 叢集) 頁面

2. 在「Cluster basics」(叢集基本資訊) 區段中，完成下列操作：

3. 輸入叢集的「名稱」。

4. 選取叢集的區域。

   1. 選用：如要將新叢集註冊至機群，請前往「機群註冊」部分，然後按照 Cloud de Confiance 控制台的「建立及註冊新叢集」操作說明，完成叢集註冊。

5. 如需「網路」部分的操作說明，請參閱「自訂網路隔離」。

6. (選用) 為節點指定自訂 IAM 服務帳戶：
   1. 在「進階設定」頁面中，展開「安全性」部分。
   2. 在「服務帳戶」選單中，選取偏好的服務帳戶。

   強烈建議您指定權限最小的 IAM 服務帳戶，供節點使用，不要使用 Compute Engine 預設服務帳戶。如要瞭解如何建立僅具備必要權限的服務帳戶，請參閱「使用最低權限的服務帳戶」。

7. 您也可以視需要設定其他選項，例如維護時段和進階安全性功能。

8. 點選「建立」。

Terraform

如要使用 Terraform 建立 Autopilot 叢集，請參閱下列範例：

resource "google_container_cluster" "default" {
  name     = "gke-autopilot-basic"
  location = "us-central1"

  enable_autopilot = true
}

如要建立使用自訂 IAM 服務帳戶的 Autopilot 叢集，請按照下列步驟操作：

1. 建立 IAM 服務帳戶，並授予專案的 roles/container.defaultNodeServiceAccount 角色：

   resource "google_service_account" "default" {
     account_id   = "gke-node-service-account"
     display_name = "GKE node service account"
   }
   
   data "google_project" "project" {
   }
   
   resource "google_project_iam_member" "default" {
     project = data.google_project.project.project_id
     role    = "roles/container.defaultNodeServiceAccount"
     member  = "serviceAccount:${google_service_account.default.email}"
   }

2. 建立使用新服務帳戶的 Autopilot 叢集：

   resource "google_container_cluster" "default" {
     name     = "autopilot-custom-account"
     location = "us-central1"
   
     enable_autopilot = true
   
     cluster_autoscaling {
       auto_provisioning_defaults {
         service_account = google_service_account.default.email
       }
     }
   }

如要進一步瞭解如何使用 Terraform，請參閱「GKE 的 Terraform 支援」。