GKE no Cloud de Confiance comparado ao Google Cloud

As GPUs estão disponíveis em tipos de máquinas A3. O único tipo de máquina de borda disponível é a3-edgegpu-8g-nolssd, e ele precisa ser definido explicitamente usando uma ComputeClass personalizada.

As TPUs não estão disponíveis.

Os seguintes recursos de configuração de nós não estão disponíveis:

• Cargas de trabalho do Arm
• VMs spot
• Posição compacta

Algumas opções de personalização não estão disponíveis:

• O perfil de HPA de performance não está disponível.
• O modo InPlaceOrRecreate da VPA não está disponível.

Cloud de Confiance by S3NS oferece descontos por compromisso de uso (CUDs) flexíveis do Compute para gastos qualificados no GKE. Para comprar compromissos flexíveis do Compute, entre em contato com Cloud de Confiance by S3NS o suporte de faturamento. Para mais informações, consulte a página de diferenças de faturamento.

O driver CSI Cloud Storage FUSE é compatível com clusters e pools de nós que executam o GKE versão 1.36.0-gke.1266000 ou mais recente.

Para usar o driver, conclua as seguintes tarefas:

1. Especifique a opção de montagem custom-endpoint em mountOptions do volume, em um volume de armazenamento efêmero de um pod ou em um PersistentVolume, para apontar para o endpoint de API Cloud Storage do seu ambiente. O valor do endpoint segue o formato storage.s3nsapis.fr:443.

   É possível usar o formato de flag da CLI ou o formato do arquivo de configuração. Os dois formatos são analisados diretamente pelo driver como opções de montagem. Portanto, não é necessário fornecer um arquivo de configuração separado.

   • Formato da CLI: custom-endpoint=storage.s3nsapis.fr:443
   • Formato do arquivo de configuração: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

2. Especifique o atributo de volume skipCSIBucketAccessCheck: "true" na especificação PersistentVolume ou nos atributos de volume de armazenamento efêmero do pod. Exemplo:

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

Para mais informações sobre como especificar opções de montagem, consulte Configurar opções de montagem.

Os seguintes recursos de segurança não estão disponíveis:

• Postura de segurança do GKE
• Autorização binária para GKE
• Nós confidenciais do Google Kubernetes Engine
• GKE control plane authority
• Policy Controller

Os domínios do pool de identidade da carga de trabalho (e os identificadores principais do Kubernetes que os usam) são especificados de maneira ligeiramente diferente no Google Cloud e Cloud de Confiance by S3NS, usando s3ns.svc.id.goog em vez de svc.id.goog. Por exemplo, ao especificar uma conta de serviço do Kubernetes usando a federação de identidade da carga de trabalho para GKE em uma política do IAM, use .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

No Cloud de Confiance, os agentes de serviço (contas serviço gerenciado pelo universo) são provisionados Just-In-Time (JIT) quando você cria seu primeiro recurso para um serviço, em vez de quando a API é ativada.

Se você precisar conceder permissões a um agente de serviço antes de criar recursos (por exemplo, ao configurar uma VPC compartilhada), crie o agente de serviço manualmente e conceda a ele os papéis padrão necessários.

Para instruções sobre como acionar manualmente a criação de agente de serviço, consulte Criar e conceder papéis a agentes de serviço. Em seguida, conceda o padrão Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) ao agente que você criar.

As seguintes opções de personalização para isolamento de rede não estão disponíveis:

• Desativar endpoints internos e externos do plano de controle.
• Controlar a comunicação entre pods e serviços de cluster com políticas de rede do GKE.
• Atribuir mais intervalos IPv4 de pods a um cluster.
• Restringir o tráfego de saída do servidor da API.

Ao usar o controlador de Entrada do GKE, o balanceador de carga de aplicativo externo global do Google Cloud (gxlb) não é usado. No Cloud de Confiance by S3NS, um balanceador de carga externo regional (rxlb) é usado.

Os seguintes recursos de balanceamento de carga não estão disponíveis:

• Balanceamento de carga ponderado.
• Afinidade zonal para balanceador de carga de rede de passagem interna.
• Balanceamento de carga baseado em utilização.

Os intervalos de endereços IP disponíveis, como para regras de firewall de entrada, dependem do seu ambiente, da seguinte maneira:

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

O Config Sync está disponível apenas com o método de instalação manual.

Como a API GKE Hub (frota) não está disponível, os seguintes recursos de gerenciamento e observabilidade não são aceitos:

• Padrões e pacotes de frota (ConfigDelivery).
• Gerenciamento centralizado pelo painel do Config Sync no Cloud de Confiance console.
• Painéis integrados e métricas do Cloud Monitoring no Cloud de Confiance console. Em vez disso, é possível usar a captura local do Prometheus (porta 8675) para métricas e alertas.