Terraform でクラスタを作成してワークロードをデプロイする

環境を準備する

このチュートリアルでは、Cloud de Confiance by S3NSでホストされているリソースを Cloud Shell によって管理します。Cloud Shell には、このチュートリアルに必要なソフトウェア（Terraform、kubectl、Google Cloud CLI など）がプリインストールされています。

1. Cloud de Confiance コンソールで [Cloud Shell をアクティブにする] アイコン をクリックして、Cloud Shell セッションを起動します。 Cloud de Confiance コンソールの下部ペインでセッションが起動します。

   この仮想マシンに関連付けられているサービス認証情報は自動的に設定されるため、サービス アカウント キーを設定したり、ダウンロードしたりする必要はありません。

2. コマンドを実行する前に、次のコマンドを使用して gcloud CLI でデフォルト プロジェクトを設定します。

   gcloud config set project PROJECT_ID
   

   PROJECT_ID は、実際のプロジェクト ID に置き換えます。

3. GitHub リポジトリのクローンを作成します。

   git clone https://github.com/terraform-google-modules/terraform-docs-samples.git --single-branch
   

4. 作業ディレクトリを変更します。

   cd terraform-docs-samples/gke/quickstart/autopilot
   

Terraform ファイルを確認する

Cloud de Confiance by S3NS プロバイダは、 Cloud de Confiance リソースの管理とプロビジョニングを Terraform によって行えるようにするプラグインです。Terraform 構成と Cloud de Confiance API 間のブリッジとして機能し、仮想マシンやネットワークなどのインフラストラクチャ リソースを宣言的に定義できます。

このチュートリアルのクラスタとサンプルアプリは、 Cloud de Confiance by S3NS プロバイダと Kubernetes プロバイダを使用する 2 つの Terraform ファイルで指定されています。

1. cluster.tf ファイルを確認します。

   cat cluster.tf
   

   出力は次のようになります。

   resource "google_compute_network" "default" {
     name = "example-network"
   
     auto_create_subnetworks  = false
     enable_ula_internal_ipv6 = true
   }
   
   resource "google_compute_subnetwork" "default" {
     name = "example-subnetwork"
   
     ip_cidr_range = "10.0.0.0/16"
     region        = "us-central1"
   
     stack_type       = "IPV4_IPV6"
     ipv6_access_type = "INTERNAL" # Change to "EXTERNAL" if creating an external loadbalancer
   
     network = google_compute_network.default.id
     secondary_ip_range {
       range_name    = "services-range"
       ip_cidr_range = "192.168.0.0/24"
     }
   
     secondary_ip_range {
       range_name    = "pod-ranges"
       ip_cidr_range = "192.168.1.0/24"
     }
   }
   
   resource "google_container_cluster" "default" {
     name = "example-autopilot-cluster"
   
     location                 = "us-central1"
     enable_autopilot         = true
     enable_l4_ilb_subsetting = true
   
     network    = google_compute_network.default.id
     subnetwork = google_compute_subnetwork.default.id
   
     ip_allocation_policy {
       stack_type                    = "IPV4_IPV6"
       services_secondary_range_name = google_compute_subnetwork.default.secondary_ip_range[0].range_name
       cluster_secondary_range_name  = google_compute_subnetwork.default.secondary_ip_range[1].range_name
     }
   
     # Set `deletion_protection` to `true` will ensure that one cannot
     # accidentally delete this instance by use of Terraform.
     deletion_protection = false
   }

   このファイルでは、次のリソースを記述しています。

   • google_compute_network: 内部 IPv6 が有効になっている VPC ネットワーク。
   • google_compute_subnetwork: デュアルスタック サブネットワーク。
   • google_container_cluster: us-central1 にあるデュアルスタック Autopilot クラスタ。deletion_protection 設定は、Terraform を使用してこのクラスタを削除できるかどうかを制御します。deletion_protection フィールドの値を false に設定すると、Terraform によってクラスタを削除できます。詳しくは、google_container_cluster のリファレンスをご覧ください。

2. app.tf ファイルを確認します。

   cat app.tf
   

   出力は次のようになります。

   data "google_client_config" "default" {}
   
   provider "kubernetes" {
     host                   = "https://${google_container_cluster.default.endpoint}"
     token                  = data.google_client_config.default.access_token
     cluster_ca_certificate = base64decode(google_container_cluster.default.master_auth[0].cluster_ca_certificate)
   
     ignore_annotations = [
       "^autopilot\\.gke\\.io\\/.*",
       "^cloud\\.google\\.com\\/.*"
     ]
   }
   
   resource "kubernetes_deployment_v1" "default" {
     metadata {
       name = "example-hello-app-deployment"
     }
   
     spec {
       selector {
         match_labels = {
           app = "hello-app"
         }
       }
   
       template {
         metadata {
           labels = {
             app = "hello-app"
           }
         }
   
         spec {
           container {
             image = "us-docker.pkg.dev/google-samples/containers/gke/hello-app:2.0"
             name  = "hello-app-container"
   
             port {
               container_port = 8080
               name           = "hello-app-svc"
             }
   
             security_context {
               allow_privilege_escalation = false
               privileged                 = false
               read_only_root_filesystem  = false
   
               capabilities {
                 add  = []
                 drop = ["NET_RAW"]
               }
             }
   
             liveness_probe {
               http_get {
                 path = "/"
                 port = "hello-app-svc"
   
                 http_header {
                   name  = "X-Custom-Header"
                   value = "Awesome"
                 }
               }
   
               initial_delay_seconds = 3
               period_seconds        = 3
             }
           }
   
           security_context {
             run_as_non_root = true
   
             seccomp_profile {
               type = "RuntimeDefault"
             }
           }
   
           # Toleration is currently required to prevent perpetual diff:
           # https://github.com/hashicorp/terraform-provider-kubernetes/pull/2380
           toleration {
             effect   = "NoSchedule"
             key      = "kubernetes.io/arch"
             operator = "Equal"
             value    = "amd64"
           }
         }
       }
     }
   }
   
   resource "kubernetes_service_v1" "default" {
     metadata {
       name = "example-hello-app-loadbalancer"
       annotations = {
         "networking.gke.io/load-balancer-type" = "Internal" # Remove to create an external loadbalancer
       }
     }
   
     spec {
       selector = {
         app = kubernetes_deployment_v1.default.spec[0].selector[0].match_labels.app
       }
   
       ip_family_policy = "RequireDualStack"
   
       port {
         port        = 80
         target_port = kubernetes_deployment_v1.default.spec[0].template[0].spec[0].container[0].port[0].name
       }
   
       type = "LoadBalancer"
     }
   
     depends_on = [time_sleep.wait_service_cleanup]
   }
   
   # Provide time for Service cleanup
   resource "time_sleep" "wait_service_cleanup" {
     depends_on = [google_container_cluster.default]
   
     destroy_duration = "180s"
   }

   このファイルでは、次のリソースを記述しています。

   • サンプル コンテナ イメージを含む Deployment。
   • LoadBalancer タイプの Service。Service は、ポート 80 で Deployment を公開します。

（省略可）アプリケーションをインターネットに公開する

サンプルの Terraform ファイルでは、内部 IP アドレスを持つアプリが記述されています。このアプリには、サンプルアプリと同じ Virtual Private Cloud（VPC）からのみアクセスできます。実行中のデモアプリのウェブ インターフェースにインターネット（ノートパソコンなど）からアクセスする場合は、クラスタを作成する前に、代わりにパブリック IP アドレスを作成するように Terraform ファイルを変更します。それには、Cloud Shell で直接テキスト エディタを使用するか、Cloud Shell エディタを使用します。

デモ アプリケーションをインターネットに公開するには、次の操作を行います。

1. cluster.tf で、ipv6_access_type を INTERNAL から EXTERNAL に変更します。

   ipv6_access_type = "EXTERNAL"
   

2. app.tf で、networking.gke.io/load-balancer-type アノテーションを削除して外部ロードバランサを構成します。

    annotations = {
      "networking.gke.io/load-balancer-type" = "Internal" # Remove this line
    }
   

クラスタを作成してアプリケーションをデプロイする

1. Cloud Shell で次のコマンドを実行して、Terraform が使用可能であることを確認します。

   terraform
   

   出力例を以下に示します。

   Usage: terraform [global options] <subcommand> [args]
   
   The available commands for execution are listed below.
   The primary workflow commands are given first, followed by
   less common or more advanced commands.
   
   Main commands:
     init          Prepare your working directory for other commands
     validate      Check whether the configuration is valid
     plan          Show changes required by the current configuration
     apply         Create or update infrastructure
     destroy       Destroy previously-created infrastructure
   

2. Terraform を初期化します。

   terraform init
   

3. Terraform 構成を計画します。

   terraform plan
   

4. Terraform 構成を適用する

   terraform apply
   

   プロンプトが表示されたら、「yes」と入力して操作を確定します。このコマンドの完了までに数分かかることがあります。出力は次のようになります。

   Apply complete! Resources: 6 added, 0 changed, 0 destroyed.
   

クラスタの動作を確認する

クラスタが正しく実行されていることを確認する手順は次のとおりです。

1. Cloud de Confiance コンソールの [ワークロード] ページに移動します。

   [ワークロード] に移動

2. example-hello-app-deployment ワークロードをクリックします。Pod の詳細ページが表示されます。このページには、Pod に関する情報（アノテーション、Pod で実行されているコンテナ、Pod を公開している Service、CPU やメモリ、ディスクの使用量などの指標など）が表示されます。

3. Cloud de Confiance コンソールの [Service と Ingress] ページに移動します。

   [Service と Ingress] に移動

4. example-hello-app-loadbalancer LoadBalancer Service をクリックします。Service の詳細ページが表示されます。このページには、Service に関連付けられた Pod や、Service が使用するポートなど、Service に関する情報が表示されます。

5. [外部エンドポイント] セクションで、IPv4 リンクまたは IPv6 リンクをクリックして、ブラウザで Service を表示します。出力は次のようになります。

   Hello, world!
   Version: 2.0.0
   Hostname: example-hello-app-deployment-5df979c4fb-kdwgr