GKE in Cloud de Confiance rispetto a Google Cloud

Le GPU sono disponibili sui tipi di macchina A3. L'unico tipo di macchina Edge disponibile è a3-edgegpu-8g-nolssd e deve essere impostato esplicitamente utilizzando una ComputeClass personalizzata.

Le TPU non sono disponibili.

Le seguenti funzionalità di configurazione dei nodi non sono disponibili:

• Workload ARM
• VM spot
• Posizionamento compatto

Alcune opzioni di personalizzazione non sono disponibili:

• Il profilo HPA per le prestazioni non è disponibile.
• La modalità VPA InPlaceOrRecreate non è disponibile.

Cloud de Confiance by S3NS offre sconti per impegno di utilizzo (CUD) flessibili di Compute per la spesa idonea su GKE. Per acquistare impegni flessibili di computing, contatta Cloud de Confiance by S3NS l'assistenza per la fatturazione. Per ulteriori informazioni, consulta la pagina delle differenze di fatturazione.

Il driver CSI di Cloud Storage FUSE è supportato su cluster e node pool che eseguono GKE versione 1.36.0-gke.1266000 o successive.

I requisiti di configurazione dipendono dalla versione di GKE:

• GKE versione 1.36.0-gke.2684000 o successive: specifica l'attributo del volume skipCSIBucketAccessCheck: "true". L'opzione di montaggio custom-endpoint non è obbligatoria perché il driver CSI rileva automaticamente l'endpoint di archiviazione.
• Versioni GKE comprese tra 1.36.0-gke.1266000 e 1.36.0-gke.2684000: specifica sia l'attributo del volume skipCSIBucketAccessCheck: "true" sia l'opzione di montaggio custom-endpoint.

Per configurare queste impostazioni:

1. Specifica l'attributo del volume skipCSIBucketAccessCheck: "true" nella specifica PersistentVolume o negli attributi del volume di archiviazione temporaneo del pod. Ad esempio:

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

2. (Solo per le versioni tra 1.36.0-gke.1266000 e 1.36.0-gke.2684000) Specifica l'opzione di montaggio custom-endpoint nel mountOptions del volume, in un volume di archiviazione temporaneo di un pod o in un PersistentVolume, in modo che punti all'endpoint API Cloud Storage per il tuo ambiente: storage.s3nsapis.fr:443.

   Puoi utilizzare il formato flag CLI o il formato file di configurazione. Entrambi i formati vengono analizzati direttamente dal driver come opzioni di montaggio, quindi non è necessario fornire un file di configurazione separato.

   • Formato CLI: custom-endpoint=storage.s3nsapis.fr:443
   • Formato file di configurazione: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

Per saperne di più su come specificare le opzioni di montaggio, consulta Configura le opzioni di montaggio.

Le seguenti funzionalità di sicurezza non sono disponibili:

• Security posture di GKE
• Autorizzazione binaria per GKE
• Nodi Confidential Google Kubernetes Engine
• GKE control plane authority
• Policy Controller
• Identità dell'agente per GKE (anteprima)

I domini dei pool di identità del workload (e gli identificatori delle entità Kubernetes che li utilizzano) sono specificati in modo leggermente diverso in Google Cloud e Cloud de Confiance by S3NS, utilizzando s3ns.svc.id.goog anziché svc.id.goog. Ad esempio, quando specifichi un ServiceAccount Kubernetes utilizzando Workload Identity Federation for GKE in una policy IAM, utilizzi .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

In Cloud de Confiance, viene eseguito il provisioning degli agenti di servizio (service account gestiti dall'universo) Just-In-Time (JIT) quando crei la prima risorsa per un servizio, anziché quando l'API viene abilitata.

Se devi concedere autorizzazioni a un agente di servizio prima di creare risorse (ad esempio, quando configuri un VPC condiviso), devi creare manualmente l'agente di servizio e concedergli i ruoli predefiniti richiesti.

Per istruzioni su come attivare manualmente la creazione degli agenti di servizio e concedere i ruoli, consulta Crea e concedi ruoli agli agenti di servizio. Quindi, concedi l'autorizzazione Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) predefinita all'agente che crei.

Le seguenti opzioni di personalizzazione per l'isolamento della rete non sono disponibili:

• Disattivazione degli endpoint interni ed esterni del control plane.
• Assegnazione di intervalli IPv4 dei pod aggiuntivi a un cluster.
• Limitazione del traffico in uscita dal server API.

Quando utilizzi il controller GKE Ingress, il bilanciatore del carico delle applicazioni esterno Google Cloud globale (gxlb) non viene utilizzato. In Cloud de Confiance by S3NS, viene utilizzato un bilanciatore del carico esterno regionale (rxlb).

Le seguenti funzionalità di bilanciamento del carico non sono disponibili:

• Bilanciamento del carico ponderato.
• Affinità di zona per il bilanciatore del carico di rete passthrough interno.
• Bilanciamento del carico basato sull'utilizzo.

Gli intervalli di indirizzi IP disponibili, ad esempio per le regole firewall in entrata, dipendono dall'ambiente, come segue:

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

Config Sync è disponibile solo con il metodo di installazione manuale.

Poiché l'API GKE Hub (parco risorse) non è disponibile, le seguenti funzionalità di gestione e osservabilità non sono supportate:

• Impostazioni predefinite a livello di parco risorse e pacchetti del parco risorse (ConfigDelivery).
• Gestione centralizzata tramite la dashboard di Config Sync nella console Cloud de Confiance .
• Dashboard integrate e metriche di Cloud Monitoring nella console Cloud de Confiance . In alternativa, puoi utilizzare lo scraping Prometheus locale (porta 8675) per le metriche e gli avvisi.