Cloud de Confiance 與 Google Cloud 的 GKE 差異

A3 機型提供 GPU。可用的 Edge 機型只有 a3-edgegpu-8g-nolssd，且必須使用自訂 ComputeClass 明確設定。

無法使用 TPU。

下列節點設定功能無法使用：

• Arm 工作負載
• Spot VM
• 密集配置

無法使用部分自訂選項：

• 無法使用 Performance HPA 設定檔。
• 無法使用 VPA InPlaceOrRecreate 模式。

Cloud de Confiance by S3NS 針對符合資格的 GKE 支出，提供 Compute 彈性承諾使用折扣 (CUD)。如要購買彈性運算承諾，請與 Cloud de Confiance by S3NS 帳單支援團隊聯絡。 詳情請參閱帳單差異頁面。

執行 GKE 1.36.0-gke.1266000 以上版本的叢集和節點集區，支援 Cloud Storage FUSE CSI 驅動程式。

設定需求取決於 GKE 版本：

• GKE 1.36.0-gke.2684000 以上版本：指定 skipCSIBucketAccessCheck: "true" 磁碟區屬性。CSI 驅動程式會自動探索儲存空間端點，因此不需要 custom-endpoint 掛接選項。
• GKE 版本介於 1.36.0-gke.1266000 和 1.36.0-gke.2684000 之間：同時指定 skipCSIBucketAccessCheck: "true" 磁碟區屬性和 custom-endpoint 掛接選項。

如要設定這些選項，請按照下列步驟操作：

1. 在 PersistentVolume 規格或 Pod 的臨時儲存空間磁碟區屬性中，指定 skipCSIBucketAccessCheck: "true" 磁碟區屬性。例如：

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

2. (僅限 1.36.0-gke.1266000 和 1.36.0-gke.2684000 之間的版本) 在 Pod 的暫時性儲存空間磁碟區或 PersistentVolume 中，於磁碟區的 mountOptions 指定 custom-endpoint 掛接選項，指向您環境的 Cloud Storage API 端點：storage.s3nsapis.fr:443

   您可以使用 CLI 標記格式或設定檔格式。這兩種格式都會由驅動程式直接剖析為掛接選項，因此您不需要提供個別的設定檔。

   • CLI 格式：custom-endpoint=storage.s3nsapis.fr:443
   • 設定檔格式：gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

如要進一步瞭解如何指定掛接選項，請參閱「設定掛接選項」。

下列安全防護功能無法使用：

• GKE 資安態勢
• GKE 適用的二進位授權
• Google Kubernetes Engine 機密節點
• GKE 控制層授權
• Policy Controller
• GKE 代理程式身分 (預先發布版)

在 Google Cloud 中，工作負載身分集區網域 (以及使用這些網域的 Kubernetes 主體 ID) 的指定方式略有不同，使用 Cloud de Confiance by S3NS，而非 svc.id.goog。s3ns.svc.id.goog舉例來說，在 IAM 政策中，使用 Workload Identity Federation for GKE 指定 Kubernetes ServiceAccount 時，您會使用 .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT。

在 Cloud de Confiance中，當您為服務建立第一個資源時，系統會即時 (JIT)佈建服務代理程式 (Universe 管理的服務帳戶)，而不是在啟用 API 時佈建。

如要在建立資源前授予服務代理權限 (例如設定Shared VPC 時)，您必須手動建立服務代理，並授予必要的預設角色。

如要瞭解如何手動觸發服務代理建立授權角色，請參閱「建立服務代理並授予角色」。接著，將預設 Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) 授予您建立的代理程式。

下列網路隔離自訂選項無法使用：

• 停用控制層的內部和外部端點。
• 將額外的 Pod IPv4 範圍指派給叢集。
• 限制 API 伺服器的輸出流量。

使用 GKE Ingress 控制器時，系統不會使用全域 Google Cloud 外部應用程式負載平衡器 (gxlb)。在 Cloud de Confiance by S3NS中，使用的是區域性外部負載平衡器 (rxlb)。

下列負載平衡功能無法使用：

• 加權負載平衡。
• 內部直通式網路負載平衡器的可用區親和性。
• 以使用率為準的負載平衡。

可用的 IP 位址範圍 (例如輸入防火牆規則) 視環境而定，如下所示：

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

Config Sync 僅適用於手動安裝方法。

由於 GKE Hub (機群) API 無法使用，因此系統不支援下列管理和可觀測性功能：

• 機群層級預設值和機群套件 (ConfigDelivery)。
• 透過 Cloud de Confiance 控制台的 Config Sync 資訊主頁集中管理。
• 在 Cloud de Confiance 控制台中整合資訊主頁和 Cloud Monitoring 指標。您可以改用本機 Prometheus 擷取 (連接埠 8675) 取得指標和快訊。