Comparaison entre GKE dans Cloud de Confiance et Google Cloud

Les GPU sont disponibles sur les types de machines A3. Le seul type de machine Edge disponible est a3-edgegpu-8g-nolssd, et il doit être défini explicitement à l'aide d'une ComputeClass personnalisée.

Les TPU ne sont pas disponibles.

Les fonctionnalités de configuration de nœud suivantes ne sont pas disponibles :

• Charges de travail Arm
• VM Spot
• Emplacement compact

Certaines options de personnalisation ne sont pas disponibles :

• Le profil HPA de performances n'est pas disponible.
• Le mode VPA InPlaceOrRecreate n'est pas disponible.

Cloud de Confiance by S3NS propose des remises sur engagement d'utilisation flexibles Compute pour les dépenses éligibles sur GKE. Pour souscrire des engagements flexibles Compute, contactez l' assistance pour la facturation Cloud de Confiance by S3NS . Pour en savoir plus, consultez la page Différences de facturation.

Le pilote CSI Cloud Storage FUSE est compatible avec les clusters et les pools de nœuds exécutant GKE version 1.36.0-gke.1266000 ou ultérieure.

Les exigences de configuration dépendent de votre version de GKE :

• GKE version 1.36.0-gke.2684000 ou ultérieure : spécifiez l'attribut de volume skipCSIBucketAccessCheck: "true". L'option d'installation custom-endpoint n'est pas requise, car le pilote CSI détecte automatiquement le point de terminaison de stockage.
• Versions de GKE comprises entre 1.36.0-gke.1266000 et 1.36.0-gke.2684000 : spécifiez à la fois l'attribut de volume skipCSIBucketAccessCheck: "true" et l'option d'installation custom-endpoint.

Pour configurer ces paramètres :

1. Spécifiez l'attribut de volume skipCSIBucketAccessCheck: "true" dans la spécification PersistentVolume ou les attributs de volume de stockage éphémère du pod. Exemple :

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

2. (Versions entre 1.36.0-gke.1266000 et 1.36.0-gke.2684000 uniquement) Spécifiez l'option d'installation custom-endpoint dans le mountOptions du volume, soit dans un volume de stockage éphémère d'un pod, soit dans un PersistentVolume, pour pointer vers le point de terminaison de l'API Cloud Storage pour votre environnement : storage.s3nsapis.fr:443.

   Vous pouvez utiliser le format d'option de la CLI ou le format de fichier de configuration. Les deux formats sont analysés directement par le pilote en tant qu'options d'installation. Vous n'avez donc pas besoin de fournir un fichier de configuration distinct.

   • Format de la CLI : custom-endpoint=storage.s3nsapis.fr:443
   • Format du fichier de configuration : gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

Pour en savoir plus sur la spécification des options d'installation, consultez Configurer les options d'installation.

Les fonctionnalités de sécurité suivantes ne sont pas disponibles :

• Stratégie de sécurité GKE
• Autorisation binaire pour GKE
• Nœuds Google Kubernetes Engine confidentiels
• GKE control plane authority
• Policy Controller
• Agent Identity pour GKE (preview)

Les domaines de pool d'identités de charge de travail (et les identifiants de comptes principaux Kubernetes qui les utilisent) sont spécifiés de manière légèrement différente dans Google Cloud et Cloud de Confiance by S3NS, à l'aide de s3ns.svc.id.goog plutôt que de svc.id.goog. Par exemple, lorsque vous spécifiez un compte de service Kubernetes à l'aide de Workload Identity Federation for GKE dans une stratégie IAM, vous utilisez .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

Dans Cloud de Confiance, les agents de service (comptes de service gérés par l'univers) sont provisionnés juste-à-temps (JIT) lorsque vous créez votre première ressource pour un service, plutôt que lorsque l'API est activée.

Si vous devez accorder des autorisations à un agent de service avant de créer des ressources (par exemple, lors de la configuration d'un VPC partagé), vous devez créer manuellement l'agent de service et lui accorder les rôles par défaut requis.

Pour savoir comment déclencher manuellement la création d'agents de service et leur attribuer des rôles, consultez Créer des rôles et les attribuer à des agents de service. Ensuite, accordez le rôle Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) par défaut à l'agent que vous créez.

Les options de personnalisation suivantes pour l'isolation réseau ne sont pas disponibles :

• Désactiver les points de terminaison internes et externes du plan de contrôle.
• Attribuer des plages d'adresses IPv4 de pods supplémentaires à un cluster
• Limiter le trafic sortant du serveur d'API.

Lorsque vous utilisez le contrôleur GKE Ingress, l'équilibreur de charge d'application externe Google Cloud global (gxlb) n'est pas utilisé. Dans Cloud de Confiance by S3NS, un équilibreur de charge externe régional (rxlb) est utilisé.

Les fonctionnalités d'équilibrage de charge suivantes ne sont pas disponibles :

• Équilibrage de charge pondéré.
• Affinité zonale pour l'équilibreur de charge réseau passthrough interne.
• Équilibrage de charge basé sur l'utilisation.

Les plages d'adresses IP disponibles, par exemple pour les règles de pare-feu d'entrée, dépendent de votre environnement, comme suit :

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26

Config Sync n'est disponible qu'avec la méthode d'installation manuelle.

L'API GKE Hub (Fleet) n'étant pas disponible, les fonctionnalités de gestion et d'observabilité suivantes ne sont pas compatibles :

• Valeurs par défaut au niveau du parc et packages de parc (ConfigDelivery).
• Gestion centralisée via le tableau de bord Config Sync dans la console Cloud de Confiance .
• Tableaux de bord intégrés et métriques Cloud Monitoring dans la console Cloud de Confiance . Vous pouvez utiliser le scraping Prometheus local (port 8675) pour les métriques et les alertes à la place.