Comparación entre GKE en Cloud de Confiance y Google Cloud

Las GPU están disponibles en los tipos de máquinas A3. El único tipo de máquina Edge disponible es a3-edgegpu-8g-nolssd y se debe configurar de forma explícita con una ComputeClass personalizada.

Las TPU no están disponibles.

Las siguientes funciones de configuración de nodos no están disponibles:

• Cargas de trabajo de ARM
• VMs Spot
• Posición compacta

Algunas opciones de personalización no están disponibles:

• El perfil de HPA de rendimiento no está disponible.
• El modo InPlaceOrRecreate de VPA no está disponible.

Cloud de Confiance by S3NS ofrece descuentos por compromiso de uso (CUD) flexibles de Compute para el gasto apto en GKE. Para comprar compromisos flexibles de Compute, comunícate con el equipo de asistencia de facturación de Cloud de Confiance by S3NS billing support. Para obtener más información, consulta la página de diferencias de facturación.

El controlador de CSI de Cloud Storage FUSE es compatible con clústeres y grupos de nodos que ejecutan la versión 1.36.0-gke.1266000 de GKE o versiones posteriores.

Para usar el controlador, completa las siguientes tareas:

1. Especifica la opción de montaje custom-endpoint en el mountOptions del volumen, ya sea en el volumen de almacenamiento efímero de un pod o en un PersistentVolume, para que apunte al extremo de API de Cloud Storage de tu entorno. El valor del extremo sigue el formato storage.s3nsapis.fr:443.

   Puedes usar el formato de marca de CLI o el formato de archivo de configuración. El controlador analiza ambos formatos directamente como opciones de montaje, por lo que no necesitas proporcionar un archivo de configuración independiente.

   • Formato de CLI: custom-endpoint=storage.s3nsapis.fr:443
   • Formato de archivo de configuración: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

2. Especifica el atributo de volumen skipCSIBucketAccessCheck: "true" en la especificación de PersistentVolume o en los atributos de volumen de almacenamiento efímero del pod. Por ejemplo:

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

Para obtener más información sobre cómo especificar opciones de montaje, consulta Configura opciones de montaje.

Las siguientes funciones de seguridad no están disponibles:

• Postura de seguridad de GKE
• Autorización Binaria para GKE
• Nodos de Google Kubernetes Engine confidenciales
• GKE control plane authority
• Policy Controller

Los dominios del grupo de identidades para cargas de trabajo (y los identificadores de entidad principales de Kubernetes que los usan) se especifican de manera ligeramente diferente en Google Cloud y Cloud de Confiance by S3NS, con s3ns.svc.id.goog en lugar de svc.id.goog. Por lo tanto, por ejemplo, cuando especificas una cuenta de servicio de Kubernetes con la federación de Workload Identity para GKE en una política de IAM, usas .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

En Cloud de Confiance, los agentes de servicio (cuentas de servicio administradas por el universo) se aprovisionan justo a tiempo (JIT) cuando creas tu primer recurso para un servicio, en lugar de cuando se habilita la API.

Si necesitas otorgar permisos a un agente de servicio antes de crear recursos (por ejemplo, cuando configuras una VPC compartida), debes crear el agente de servicio de forma manual y otorgarle los roles predeterminados necesarios.

Para obtener instrucciones sobre cómo activar de forma manual la creación de agente de servicio y otorgar roles, consulta Crea y otorga roles a los agentes de servicio. Luego, otorga el rol predeterminado Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) al agente que crees.

Las siguientes opciones de personalización para el aislamiento de red no están disponibles:

• Inhabilitar los extremos internos y externos del plano de control
• Controlar la comunicación entre los servicios y los Pods del clúster con las políticas de red de GKE
• Asignar rangos IPv4 de Pod adicionales a un clúster
• Restringir el tráfico de salida del servidor de la API

Cuando se usa el controlador de Ingress de GKE, no se usa el balanceador de cargas de aplicaciones externo global de Google Cloud (gxlb). En Cloud de Confiance by S3NS, se usa un balanceador de cargas externo regional (rxlb).

Las siguientes funciones de balanceo de cargas no están disponibles:

• Balanceo de cargas ponderado
• Afinidad zonal para el balanceador de cargas de red de transferencia interno
• Balanceo de cargas en función del uso

Los rangos de direcciones IP disponibles, como para reglas de firewall de entrada, dependen de tu entorno, de la siguiente manera:

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

El Sincronizador de configuración solo está disponible con el método de instalación manual.

Debido a que la API de GKE Hub (flota) no está disponible, no se admiten las siguientes funciones de administración y observabilidad:

• Valores predeterminados a nivel de la flota y paquetes de flota (ConfigDelivery).
• Administración centralizada a través del panel de Sincronizador de configuración en la Cloud de Confiance consola.
• Paneles integrados y métricas de Cloud Monitoring en la Cloud de Confiance consola. En su lugar, puedes usar la recopilación local de Prometheus (puerto 8675) para las métricas y las alertas.