Cloud de Confiance 中的 GKE 与 Google Cloud 的对比

A3 机器类型支持 GPU。唯一可用的 Edge 机器类型是 a3-edgegpu-8g-nolssd，但必须使用自定义 ComputeClass 明确设置。

TPU 不可用。

以下节点配置功能不可用：

• Arm 工作负载
• Spot 虚拟机
• 紧凑布置

部分自定义选项无法使用：

• 性能 HPA 配置文件不可用。
• VPA InPlaceOrRecreate 模式不可用。

运行 GKE 1.36.0-gke.1266000 版或更高版本的集群和节点池支持 Cloud Storage FUSE CSI 驱动程序。

如需使用该驱动程序，请完成以下任务：

1. 在卷的 mountOptions 中指定 custom-endpoint 装载选项（在 Pod 的临时存储卷或 PersistentVolume 中），以指向您环境的 Cloud Storage API 端点。端点值采用 storage.s3nsapis.fr:443 格式。

   您可以使用 CLI 标志格式 或 配置文件格式。这两种格式都由驱动程序直接解析为装载选项，因此您无需提供单独的配置文件。

   • CLI 格式：custom-endpoint=storage.s3nsapis.fr:443
   • 配置文件格式：gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

2. 在 PersistentVolume 规范或 Pod 的临时存储卷属性中指定 skipCSIBucketAccessCheck: "true" 卷属性。例如：

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

如需详细了解如何指定装载选项，请参阅配置装载选项。

以下安全功能不可用：

• GKE Security Posture
• Binary Authorization for GKE
• 机密 Google Kubernetes Engine 节点
• GKE control plane authority
• Policy Controller

在 Google Cloud 和 Cloud de Confiance by S3NS中，工作负载身份池网域（以及使用这些网域的 Kubernetes 主账号标识符）的指定方式略有不同，使用的是 s3ns.svc.id.goog 而不是 svc.id.goog。因此，例如，在IAM 政策中使用 Workload Identity Federation for GKE 指定 Kubernetes ServiceAccount 时，您需要使用.../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT。

在 Cloud de Confiance中，服务代理（宇宙代管式服务账号）会在您首次为服务创建资源时即时 (JIT) 预配，而不是在启用 API 时预配。

如果您需要在创建资源之前向服务代理授予权限（例如，在配置 共享 VPC 时），则必须手动创建服务代理并向其授予所需的默认角色。

如需了解如何手动触发服务代理创建授予角色，请参阅创建服务代理并授予角色。然后，向您创建的代理授予默认的 Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com)。

以下网络隔离自定义选项不可用：

• 停用控制平面的内部和外部端点。
• 添加授权网络。
• 使用 GKE 网络政策控制集群 Pod 和服务之间的通信。
• 为集群分配额外的 Pod IPv4 范围。
• 限制来自 API 服务器的出站流量。

使用 GKE Ingress 控制器时，不会使用全球 Google Cloud 外部应用负载均衡器 (gxlb)。在 Cloud de Confiance by S3NS中，会使用区域外部负载均衡器 (rxlb)。

以下负载均衡功能无法使用：

• 加权负载均衡。
• 内部直通式网络负载均衡器的可用区级亲和性。
• 基于利用率的负载均衡。

可用的 IP 地址范围（例如 Ingress 防火墙规则） 取决于您的环境，如下所示：

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26