GKE in Cloud de Confiance im Vergleich zu Google Cloud

GPUs sind für A3-Maschinentypen verfügbar. Der einzige verfügbare Edge-Maschinentyp ist a3-edgegpu-8g-nolssd. Er muss explizit mit einer benutzerdefinierten ComputeClass festgelegt werden.

TPUs sind nicht verfügbar.

Die folgenden Funktionen zur Knotenkonfiguration sind nicht verfügbar:

• Arm-Arbeitslasten
• Spot-VMs
• Kompakte Platzierung

Einige Anpassungsoptionen sind nicht verfügbar:

• Das HPA-Profil „Leistung“ ist nicht verfügbar.
• Der VPA-Modus InPlaceOrRecreate ist nicht verfügbar.

Cloud de Confiance by S3NS bietet flexible Compute-Rabatte für zugesicherte Nutzung für infrage kommende Ausgaben für GKE. Wenn Sie flexible Zusicherungen für Computing erwerben möchten, wenden Sie sich an den Cloud de Confiance by S3NS -Abrechnungssupport. Weitere Informationen finden Sie auf der Seite Abrechnungsunterschiede.

Der Cloud Storage FUSE-CSI-Treiber wird auf Clustern und Knotenpools mit GKE-Version 1.36.0-gke.1266000 oder höher unterstützt.

Die Konfigurationsanforderungen hängen von Ihrer GKE-Version ab:

• GKE-Version 1.36.0-gke.2684000 oder höher: Geben Sie das Volume-Attribut skipCSIBucketAccessCheck: "true" an. Die Bereitstellungsoption custom-endpoint ist nicht erforderlich, da der CSI-Treiber den Speicherendpunkt automatisch erkennt.
• GKE-Versionen zwischen 1.36.0-gke.1266000 und 1.36.0-gke.2684000: Geben Sie sowohl das Volume-Attribut skipCSIBucketAccessCheck: "true" als auch die Bereitstellungsoption custom-endpoint an.

So konfigurieren Sie diese Einstellungen:

1. Geben Sie das Volume-Attribut skipCSIBucketAccessCheck: "true" in der PersistentVolume-Spezifikation oder in den Attributen des sitzungsspezifischen Speicher-Volumes des Pods an. Beispiel:

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

2. (Nur Versionen zwischen 1.36.0-gke.1266000 und 1.36.0-gke.2684000) Geben Sie die Bereitstellungsoption custom-endpoint im mountOptions des Volumes an, entweder im sitzungsspezifischen Speicher-Volume eines Pods oder in einem PersistentVolume, um auf den Cloud Storage API-Endpunkt für Ihre Umgebung zu verweisen: storage.s3nsapis.fr:443.

   Sie können entweder das CLI-Flag-Format oder das Konfigurationsdateiformat verwenden. Beide Formate werden vom Treiber direkt als Bereitstellungsoptionen geparst, sodass Sie keine separate Konfigurationsdatei angeben müssen.

   • Befehlszeilenformat: custom-endpoint=storage.s3nsapis.fr:443
   • Dateiformat der Konfigurationsdatei: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

Weitere Informationen zum Angeben von Bereitstellungsoptionen finden Sie unter Bereitstellungsoptionen konfigurieren.

Der Filestore-CSI-Treiber ist nur mit der regionalen Filestore-Dienststufe verfügbar, wenn Sie eine benutzerdefinierte StorageClass erstellen.

Automatisch installierte Filestore-StorageClasses und Filestore-Multishares für GKE sind nicht verfügbar. Weitere Informationen finden Sie auf der Seite Filestore-Unterschiede.

Die folgenden Sicherheitsfunktionen sind nicht verfügbar:

• GKE-Sicherheitsstatus
• Binärautorisierung für GKE
• Confidential Google Kubernetes Engine-Knoten
• GKE Control Plane Authority
• Policy Controller
• Agent-Identität für GKE (Vorabversion)

Domains für Workload Identity-Pools (und die Kubernetes-Hauptkonto-IDs, die sie verwenden) werden in Google Cloud und Cloud de Confiance by S3NSetwas anders angegeben, wobei s3ns.svc.id.goog anstelle von svc.id.goog verwendet wird. Wenn Sie beispielsweise ein Kubernetes-ServiceAccount mit Workload Identity Federation for GKE in einer IAM-Richtlinie angeben, verwenden Sie .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

In Cloud de Confiancewerden Dienst-Agents (vom Universum verwaltete Dienstkonten) Just-In-Time (JIT) bereitgestellt, wenn Sie Ihre erste Ressource für einen Dienst erstellen, und nicht, wenn die API aktiviert wird.

Wenn Sie einem Dienst-Agent Berechtigungen erteilen müssen, bevor Sie Ressourcen erstellen (z. B. beim Konfigurieren einer gemeinsam genutzten VPC), müssen Sie den Dienst-Agent manuell erstellen und ihm die erforderlichen Standardrollen zuweisen.

Eine Anleitung zum manuellen Auslösen der Erstellung von Dienst-Agents und zum Zuweisen von Rollen finden Sie unter Rollen erstellen und Dienst-Agents zuweisen. Weisen Sie dann dem von Ihnen erstellten Agenten das Standard-Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) zu.

Die folgenden Anpassungsoptionen für die Netzwerkisolierung sind nicht verfügbar:

• Deaktivieren Sie interne und externe Endpunkte der Steuerungsebene.
• Zuweisen zusätzlicher Pod-IPv4-Bereiche zu einem Cluster.
• Ausgehenden Traffic vom API-Server einschränken.

Wenn Sie den GKE-Ingress-Controller verwenden, wird der globale externe Application Load Balancer von Google Cloud (gxlb) nicht verwendet. In Cloud de Confiance by S3NSwird ein regionaler externer Load Balancer (rxlb) verwendet.

Die folgenden Load-Balancing-Features sind nicht verfügbar:

• Gewichtetes Load Balancing.
• Zonale Affinität für internen Passthrough-Network-Load-Balancer.
• Auslastungsbasiertes Load Balancing.

Die verfügbaren IP-Adressbereiche, z. B. für Firewallregeln für eingehenden Traffic, hängen von Ihrer Umgebung ab:

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

Config Sync ist nur mit der manuellen Installationsmethode verfügbar.

Da die GKE Hub (Fleet) API nicht verfügbar ist, werden die folgenden Verwaltungs- und Beobachtbarkeitsfunktionen nicht unterstützt:

• Standardeinstellungen auf Flottenebene und Flottenpakete (ConfigDelivery).
• Zentrale Verwaltung über das Config Sync-Dashboard in der Cloud de Confiance Console.
• Integrierte Dashboards und Cloud Monitoring-Messwerte in der Cloud de Confiance Console. Stattdessen können Sie lokales Prometheus-Scraping (Port 8675) für Messwerte und Benachrichtigungen verwenden.