GKE no Cloud de Confiance comparado ao Google Cloud

As GPUs estão disponíveis em tipos de máquinas A3. O único tipo de máquina de borda disponível é a3-edgegpu-8g-nolssd, e ele precisa ser definido explicitamente usando uma ComputeClass personalizada.

As TPUs não estão disponíveis.

Os seguintes recursos de configuração de nós não estão disponíveis:

• Cargas de trabalho do Arm
• VMs spot
• Posição compacta

Algumas opções de personalização não estão disponíveis:

• O perfil de HPA de performance não está disponível.
• O modo InPlaceOrRecreate do VPA não está disponível.

O driver CSI Cloud Storage FUSE é compatível com clusters e pools de nós que executam o GKE versão 1.36.0-gke.1266000 ou mais recente.

Para usar o driver, conclua as seguintes tarefas:

1. Especifique a opção de montagem custom-endpoint em mountOptions do volume, em um volume de armazenamento efêmero de um pod ou em um PersistentVolume, para apontar para o endpoint de API do Cloud Storage do seu ambiente. O valor do endpoint segue o formato storage.s3nsapis.fr:443.

   É possível usar o formato de flag da CLI ou o formato de arquivo de configuração. Os dois formatos são analisados diretamente pelo driver como opções de montagem. Portanto, não é necessário fornecer um arquivo de configuração separado.

   • Formato da CLI: custom-endpoint=storage.s3nsapis.fr:443
   • Formato do arquivo de configuração: gcs-connection:custom-endpoint:storage.s3nsapis.fr:443

2. Especifique o atributo de volume skipCSIBucketAccessCheck: "true" na especificação PersistentVolume ou nos atributos de volume de armazenamento efêmero do pod. Exemplo:

   volumeAttributes:
     skipCSIBucketAccessCheck: "true"

Para mais informações sobre como especificar opções de montagem, consulte Configurar opções de montagem.

Os seguintes recursos de segurança não estão disponíveis:

• Postura de segurança do GKE
• Autorização binária para GKE
• Nós confidenciais do Google Kubernetes Engine
• GKE control plane authority
• Policy Controller

Os domínios do pool de identidade da carga de trabalho (e os identificadores principais do Kubernetes que os usam) são especificados de maneira ligeiramente diferente no Google Cloud e Cloud de Confiance by S3NS, usando s3ns.svc.id.goog em vez de svc.id.goog. Por exemplo, ao especificar uma conta de serviço do Kubernetes usando a federação de identidade da carga de trabalho para GKE em uma política do IAM, use .../PROJECT_ID.s3ns.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT.

No Cloud de Confiance, os agentes de serviço (contas serviço gerenciado pelo universo) são provisionados Just-In-Time (JIT) quando você cria seu primeiro recurso para um serviço, em vez de quando a API é ativada.

Se você precisar conceder permissões a um agente de serviço antes de criar recursos (por exemplo, ao configurar uma VPC compartilhada), crie o agente de serviço manualmente e conceda a ele os papéis padrão necessários.

Para instruções sobre como acionar manualmente a criação de agente de serviço, consulte Criar e conceder papéis a agentes de serviço. Em seguida, conceda o padrão Kubernetes Engine Service Agent (service-PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com) ao agente que você criar.

As seguintes opções de personalização para isolamento de rede não estão disponíveis:

• Desativar endpoints internos e externos do plano de controle.
• Adicionar redes autorizadas.
• Controlar a comunicação entre pods e serviços de cluster com políticas de rede do GKE.
• Atribuir mais intervalos IPv4 de pods a um cluster.
• Restringir o tráfego de saída do servidor da API.

Ao usar o controlador de Entrada do GKE, o balanceador de carga de aplicativo externo global do Google Cloud (gxlb) não é usado. No Cloud de Confiance by S3NS, um balanceador de carga externo regional (rxlb) é usado.

Os seguintes recursos de balanceamento de carga não estão disponíveis:

• Balanceamento de carga ponderado.
• Afinidade zonal para balanceador de carga de rede de passagem interna.
• Balanceamento de carga baseado em utilização.

Os intervalos de endereços IP disponíveis, como para regras de firewall de entrada, dependem do seu ambiente, da seguinte maneira:

• 177.222.80.0/23
• 177.222.87.0/26
• 177.222.87.64/26