‫GKE ב-Cloud de Confiance לעומת Google Cloud

‫Google Kubernetes Engine היא סביבה מנוהלת לפריסה, לניהול ולהתאמה לעומס (scaling) של אפליקציות בקונטיינרים. ‫GKE מבוסס על פלטפורמת הקוד הפתוח Kubernetes לתזמור בין קונטיינרים, והוא בנוי על מכונות וירטואליות של Compute Engine. ב-GKE יש תכונות כמו תיקון אוטומטי של צמתים, איזון עומסים, רישום ביומן ומעקב, התאמה אוטומטית לעומס (automatic scaling) ושדרוגים אוטומטיים. בדף הזה מוסברים ההבדלים בין הגרסאות של GKE ב- Cloud de Confiance וב-Google Cloud.

למידע מפורט יותר, קראו את הסקירה הכללית על GKE ואת שאר מאמרי העזרה בנושא GKE.

בקטע המלצות תוכלו למצוא המלצות ושיטות מומלצות לשימוש ב-GKE ב- Cloud de Confiance, כולל חלופות מומלצות במקרים שבהם התכונות שונות מ-Google Cloud.

ההבדלים העיקריים

יש כמה הבדלים בין הגרסה של GKE ב- Cloud de Confiance לבין הגרסה של Google Cloud. ההבדלים העיקריים הם:

  • מצבי GKE: רק אשכולות GKE Autopilot זמינים. אשכולות GKE Standard לא זמינים.
  • אחסון: רק סוגי אחסון של Hyperdisk Balanced זמינים. סוגי אחסון אחרים לא זמינים.
  • מכונות וירטואליות של Compute Engine: רק סדרות המכונות C3 ו-A3 זמינות. סוגי מכונות אחרים לא זמינים.
  • ‫GPU ו-TPU: מעבדי GPU זמינים רק במכונות מסוג A3. יחידות TPU לא זמינות.

בהמשך של החלק הזה מוסבר בהרחבה על ההבדלים. אם אתם כבר מכירים את Google Cloud, אנחנו ממליצים שתקראו היטב על כל ההבדלים, במיוחד לפני שאתם בונים אפליקציה שתפעל ב- Cloud de Confiance. מומלץ גם לקרוא את התיאור הכללי של ההבדלים בין Cloud de Confiance ל-Google Cloud.

אם אתם רוצים להשתמש בתכונה מסוימת של GKE שלא זמינה כרגע ב- Cloud de Confiance, פנו לתמיכה שלCloud de Confiance . כדי לקבל עדכון על השקה של תכונות חדשות ב- Cloud de Confiance, הירשמו להערות המוצר. אם לא צוין אחרת, תכונות שנמצאות בשלב הבדיקה לא זמינות ב- Cloud de Confiance.

חומרה ומערכת הפעלה

מצבי פעולה רק אשכולות GKE Autopilot זמינים. אשכולות GKE Standard לא זמינים.
מכונות וירטואליות של Compute Engine רק סדרות המכונות C3 ו-A3 זמינות. סוגי מכונות אחרים לא זמינים.
מעבדי GPU ו-TPU

מעבדי GPU זמינים במכונות מסוג A3. סוג המכונה היחיד שזמין ל-Edge הוא a3-edgegpu-8g-nolssd, וצריך להגדיר אותו באופן מפורש באמצעות ComputeClass בהתאמה אישית.

אין יחידות TPU זמינות.
מאגרי צמתים

התכונות הבאות של הגדרת הצומת לא זמינות:

  • עומסי עבודה ב-Arm
  • ‏VMs במודל Spot
  • מיקום קומפקטי
ערוצי הפצה רק ערוצי ההפצה "יציב" ו"רגיל" זמינים. באשכולות שרשומים לערוץ המהיר, יכול להיות שהתכונות יהיו זמינות בגרסת טרום-השקה (Preview).
GKE Hypercluster ‫GKE Hypercluster לא זמין.

זמינות ותוכנית התאוששות מאסון (DR)

אזורים ותחומים ב-Cloud de Confiance יש רק אזור אחד, אבל גם כמה תחומים (zone). אין תמיכה בתכונות של מספר אזורים וביתירות כשל בין אזורים. יש תמיכה בפריסה בכמה אזורים כדי לשפר את העמידות.
אחסון סוג האחסון היחיד שזמין הוא Hyperdisk Balanced. כל סוגי האחסון האחרים לא זמינים. בגלל שסוגי אחסון אחרים לא זמינים, אי אפשר להשתמש בבחירה אוטומטית של סוג הדיסק עם חלופה ל-Persistent Disk.
גיבוי ל-GKE הגיבוי ל-GKE לא זמין.
התאמה לעומס (Autoscaling)

חלק מאפשרויות ההתאמה האישית לא זמינות:

  • הפרופיל של Performance HPA לא זמין.
  • מצב InPlaceOrRecreate של VPA לא זמין.

ניהול עלויות

מדדים לאופטימיזציה של עלויות יכול להיות שחלק מההמלצות לאופטימיזציה של עלויות לא יהיו זמינות.
הנחות תמורת התחייבות לשימוש (CUD)

‫ Cloud de Confiance by S3NS מציעה הנחות גמישות תמורת התחייבות לשימוש (CUD) ב-Compute, על הוצאות שעומדות בקריטריונים ב-GKE. כדי לרכוש התחייבויות גמישות למחשוב, פנו ל תמיכה של Cloud de Confiance by S3NS בנושאי חיוב. מידע נוסף זמין בדף ההבדלים בחיוב.

שילובים

Cloud Storage אי אפשר להעביר נתונים מ-Cloud Storage באמצעות GKE Volume Populator.
Cloud Storage FUSE

מנהל התקן ה-CSI של Cloud Storage FUSE נתמך באשכולות ובמאגרי צמתים שפועלים ב-GKE בגרסה 1.36.0-gke.1266000 ואילך.

דרישות ההגדרה תלויות בגרסת GKE:

  • ‫GKE בגרסה 1.36.0-gke.2684000 ואילך: מציינים את מאפיין הנפח skipCSIBucketAccessCheck: "true". אפשרות הטעינה custom-endpoint לא נדרשת כי מנהל ההתקן של CSI מגלה באופן אוטומטי את נקודת הקצה של האחסון.
  • גרסאות GKE בין 1.36.0-gke.1266000 ל-1.36.0-gke.2684000: מציינים גם את מאפיין הנפח skipCSIBucketAccessCheck: "true" וגם את אפשרות הטעינה custom-endpoint.

כדי לקבוע את ההגדרות האלה:

  1. צריך לציין את מאפיין הנפח skipCSIBucketAccessCheck: "true" במפרט של PersistentVolume או במאפייני נפח האחסון הזמני של Pod. לדוגמה:

    volumeAttributes:
  skipCSIBucketAccessCheck: "true"

  2. (רק בגרסאות בין 1.36.0-gke.1266000 ל-1.36.0-gke.2684000) מציינים את אפשרות הטעינה custom-endpoint ב-mountOptions של אמצעי האחסון, בנפח האחסון הזמני של Pod או ב-PersistentVolume, כדי להפנות לנקודת קצה ל-API של Cloud Storage בסביבה שלכם: storage.s3nsapis.fr:443.

    אפשר להשתמש בפורמט דגל CLI או בפורמט קובץ תצורה. שני הפורמטים מנותחים ישירות על ידי מנהל ההתקן כאפשרויות טעינה, כך שאין צורך לספק קובץ תצורה נפרד.

    • פורמט CLI: custom-endpoint=storage.s3nsapis.fr:443
    • פורמט קובץ התצורה: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

מידע נוסף על ציון אפשרויות טעינה זמין במאמר הגדרת אפשרויות טעינה.

אבטחה

אמצעי אבטחה

אמצעי האבטחה הבאים לא זמינים:

  • מצב האבטחה של GKE
  • ‫Binary Authorization ל-GKE
  • צמתים של Google Kubernetes Engine עם Confidential Computing
  • שליטה במישור הבקרה של GKE
  • Policy Controller
  • ‫Agent Identity ל-GKE (גרסת טרום-השקה (Preview))
אימות שער Connect לא זמין.
Workload Identity

הדומיינים של מאגר הזהויות של עומסי העבודה (והחשבונות הראשיים של Kubernetes שמשתמשים בהם) מצוינים באופן שונה ב-Google Cloud וב- Cloud de Confiance by S3NS, באמצעות s3ns.svc.id.goog במקום svc.id.goog. לדוגמה, כשמציינים חשבון שירות של Kubernetes באמצעות איחוד זהויות של עומסי עבודה ל-GKE במדיניות IAM, משתמשים ב-.../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

אבטחת צמתים אי אפשר לטעון מודול ליבה (kernel) מאובטח.
הקצאת סוכני שירות

ב- Cloud de Confiance, סוכני שירות (חשבונות שירות שמנוהלים על ידי Universe) מוקצים בזמן אמת (JIT) כשיוצרים את המשאב הראשון לשירות, ולא כשמפעילים את ה-API.

אם אתם צריכים לתת הרשאות לסוכן שירות לפני שאתם יוצרים משאבים (לדוגמה, כשאתם מגדירים VPC משותף), אתם צריכים ליצור את סוכן השירות באופן ידני ולתת לו את תפקידי ברירת המחדל הנדרשים.

במאמר איך יוצרים סוכני שירות ומעניקים להם תפקידים מוסבר איך מפעילים ידנית את היצירה של סוכני שירות ומקצים להם תפקידים. לאחר מכן, מקצים את Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) כברירת מחדל לנציג שאתם יוצרים.
GKE Sandbox ב- Cloud de Confiance, רק סוג ארגז החול gVisor נבדק לשימוש עם Pods של GKE.

רשת

כתובות IP יש תמיכה רק באשכולות המותאמים ל-VPC. אי אפשר להשתמש באשכולות מבוססי-נתיבים.
מספר הפודים המקסימלי לכל צומת יש מגבלה של עד 32 Pods לכל צומת.
בידוד הרשת

אפשרויות ההתאמה האישית הבאות לבידוד רשת לא זמינות:

  • השבתת נקודות קצה פנימיות וחיצוניות של מישור הבקרה.
  • הקצאת טווחי IPv4 נוספים של Pods לאשכול.
  • הגבלת תעבורת נתונים יוצאת (egress) משרת API.
חשיפת האפליקציה

כשמשתמשים בבקר GKE Ingress, לא משתמשים במאזן עומסים של אפליקציות חיצוניות גלובלי ב-Google Cloud‏ (gxlb). ב- Cloud de Confiance by S3NS, נעשה שימוש במאזן עומסים חיצוני אזורי (rxlb).
רשתות עם כמה אשכולות אי אפשר להשתמש ב-Multi Cluster Ingress ובשירותים מרובי אשכולות (MCS).
ניראות (observability) כלי התצפית של GKE Dataplane V2 לא זמינים.
Cloud Service Mesh ‫Cloud Service Mesh לא זמין.
איזון עומסים

התכונות הבאות של איזון עומסים לא זמינות:

  • איזון עומסים משוקלל.
  • שיוך לאזור במאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי.
  • איזון עומסים בהתאם לניצול.
טווחי IP

טווחי כתובות ה-IP הזמינים, למשל לכללי חומת אש לתעבורת נתונים נכנסת, תלויים בסביבה שלכם, באופן הבא:

  • 177.222.80.0/23
  • 177.222.87.0/26
  • 177.222.87.64/26

עומסי עבודה

סוגי מחשוב מוגדרים מראש רק סוג המחשוב למטרות כלליות זמין. כל שאר מחלקות המחשוב המוגדרות מראש לא זמינות.

תובנות וניראות

רישום ביומן ומעקב המדדים של עומס העבודה לא זמינים.
Google Cloud Observability כל השילובים ומרכזי הבקרה של Google Cloud Observability לא זמינים.
התראות לגבי אשכולות ההתראות לגבי אשכולות לא זמינות.

תכונות AI/ML

Ray Operator ‫Ray Operator ל-GKE לא זמין.

ניהול המשאבים

סנכרון תצורות

סנכרון תצורות זמין רק באמצעות שיטת ההתקנה הידנית.

מכיוון ש-GKE Hub (Fleet) API לא זמין, תכונות הניהול והתצפית הבאות לא נתמכות:

  • ברירות מחדל ברמת המאגר וחבילות של המאגר (ConfigDelivery).
  • ניהול מרכזי דרך לוח הבקרה של סנכרון ההגדרות במסוף Cloud de Confiance .
  • מרכזי בקרה משולבים ומדדי Cloud Monitoring במסוף Cloud de Confiance . במקום זאת, אתם יכולים להשתמש ב-Prometheus scraping מקומי (יציאה 8675) למדדים ולהתראות.
‫Config Connector, ‏ Config Controller אי אפשר להשתמש ב-Config Connector וב-Config Controller.

ניהול של כמה אשכולות

ציי רכב אי אפשר להשתמש ב-Fleet, במרכזי הבקרה של Fleet ובניהול הצוותים של Fleet.

המלצות

המידע שכאן יכול להשפיע גם על האופן שבו אתם משתמשים ב-GKE ובונים אותו ב- Cloud de Confiance by S3NS. במדריכים האלה יש מידע כללי על השימוש ב- Cloud de Confiance, כולל מאמרי עזרה ומידע על אבטחה ובקרת גישה, חיוב, כלים ושימוש בשירות.

ברשימת המוצרים יש פרטים על תכונות ושירותים אחרים ב- Cloud de Confiance וההבדלים ביניהם לשירותים המקבילים שלהם ב-Google Cloud.

מדריכיCloud de Confiance