Points de contrôle
Create a private cluster
/ 10
Create a VM instance
/ 10
Authorize your external address range
/ 20
Delete the Kubernetes cluster
/ 20
Create a subnetwork and secondary ranges in us-central1 region
/ 10
Create a private cluster that uses your subnetwork
/ 10
Authorize your external address range for private cluster in custom subnetwork
/ 20
Configurer un cluster Kubernetes privé
- GSP178
- Présentation
- Préparation
- Tâche 1 : Définir la région et la zone
- Tâche 2 : Créer un cluster privé
- Tâche 3 : Afficher le sous-réseau et les plages d'adresses secondaires
- Tâche 4 : Activer des réseaux autorisés maîtres
- Tâche 5 : Effectuer un nettoyage
- Tâche 6 : Créer un cluster privé qui utilise un sous-réseau personnalisé
- Félicitations !
GSP178
Présentation
Dans Kubernetes Engine, un cluster privé empêche l'accès à votre instance maître depuis l'Internet public. Dans un cluster privé, les nœuds n'ont pas d'adresse IP publique, seulement une adresse privée. Vos charges de travail s'exécutent donc dans un environnement isolé. Les nœuds et les instances maîtres communiquent entre eux via l'appairage de VPC.
Dans l'API Kubernetes Engine, les plages d'adresses sont représentées sous forme de blocs CIDR (Classless Inter-Domain Routing).
Dans cet atelier, vous apprendrez à créer un cluster Kubernetes privé.
Objectifs de l'atelier
- Créer un cluster Kubernetes privé
Prérequis
- Les participants doivent maîtriser les procédures de création et de lancement de clusters Kubernetes. Ils doivent également bien savoir comment allouer une adresse IP grâce aux formats CIDR.
Préparation
Avant de cliquer sur le bouton "Démarrer l'atelier"
Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.
Cet atelier pratique vous permet de suivre vous-même les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Nous vous fournissons des identifiants temporaires pour vous connecter à Google Cloud le temps de l'atelier.
Pour réaliser cet atelier :
- vous devez avoir accès à un navigateur Internet standard (nous vous recommandons d'utiliser Chrome) ;
- vous disposez d'un temps limité ; une fois l'atelier commencé, vous ne pouvez pas le mettre en pause.
Démarrer l'atelier et se connecter à la console Google Cloud
-
Cliquez sur le bouton Démarrer l'atelier. Si l'atelier est payant, un pop-up s'affiche pour vous permettre de sélectionner un mode de paiement. Sur la gauche, vous trouverez le panneau Détails concernant l'atelier, qui contient les éléments suivants :
- Le bouton Ouvrir la console Google
- Le temps restant
- Les identifiants temporaires que vous devez utiliser pour cet atelier
- Des informations complémentaires vous permettant d'effectuer l'atelier
-
Cliquez sur Ouvrir la console Google. L'atelier lance les ressources, puis ouvre la page Se connecter dans un nouvel onglet.
Conseil : Réorganisez les onglets dans des fenêtres distinctes, placées côte à côte.
Remarque : Si la boîte de dialogue Sélectionner un compte s'affiche, cliquez sur Utiliser un autre compte. -
Si nécessaire, copiez le nom d'utilisateur inclus dans le panneau Détails concernant l'atelier et collez-le dans la boîte de dialogue Se connecter. Cliquez sur Suivant.
-
Copiez le mot de passe inclus dans le panneau Détails concernant l'atelier et collez-le dans la boîte de dialogue de bienvenue. Cliquez sur Suivant.
Important : Vous devez utiliser les identifiants fournis dans le panneau de gauche. Ne saisissez pas vos identifiants Google Cloud Skills Boost. Remarque : Si vous utilisez votre propre compte Google Cloud pour cet atelier, des frais supplémentaires peuvent vous être facturés. -
Accédez aux pages suivantes :
- Acceptez les conditions d'utilisation.
- N'ajoutez pas d'options de récupération ni d'authentification à deux facteurs (ce compte est temporaire).
- Ne vous inscrivez pas aux essais offerts.
Après quelques instants, la console Cloud s'ouvre dans cet onglet.
Activer Cloud Shell
Cloud Shell est une machine virtuelle qui contient de nombreux outils pour les développeurs. Elle comprend un répertoire d'accueil persistant de 5 Go et s'exécute sur Google Cloud. Cloud Shell vous permet d'accéder via une ligne de commande à vos ressources Google Cloud.
- Cliquez sur Activer Cloud Shell en haut de la console Google Cloud.
Une fois connecté, vous êtes en principe authentifié et le projet est défini sur votre ID_PROJET. Le résultat contient une ligne qui déclare YOUR_PROJECT_ID (VOTRE_ID_PROJET) pour cette session :
gcloud
est l'outil de ligne de commande pour Google Cloud. Il est préinstallé sur Cloud Shell et permet la complétion par tabulation.
- (Facultatif) Vous pouvez lister les noms des comptes actifs à l'aide de cette commande :
-
Cliquez sur Autoriser.
-
Vous devez à présent obtenir le résultat suivant :
Résultat :
- (Facultatif) Vous pouvez lister les ID de projet à l'aide de cette commande :
Résultat :
Exemple de résultat :
gcloud
, dans Google Cloud, accédez au guide de présentation de la gcloud CLI.
Tâche 1 : Définir la région et la zone
- Définissez la région du projet pour cet atelier :
- Créez une variable pour la région :
- Créez une variable pour la zone :
Pour en savoir plus, consultez la documentation sur les régions et les zones.
gcloud
sur votre propre machine, les paramètres de configuration sont conservés d'une session à l'autre. En revanche, dans Cloud Shell, vous devez définir ces paramètres à chaque nouvelle session ou reconnexion.
Tâche 2 : Créer un cluster privé
- Lors de la création d'un cluster privé, vous devez indiquer une plage CIDR
/28
pour les VM exécutant les composants maîtres Kubernetes et activer les alias d'adresse IP.
Vous créerez ensuite un cluster appelé private-cluster
et indiquerez la plage CIDR 172.16.0.16/28
pour les maîtres. En activant les alias d'adresse IP, vous autorisez la création automatique d'un sous-réseau par Kubernetes Engine.
Les options --private-cluster
, --master-ipv4-cidr
et --enable-ip-alias
vous serviront à créer le cluster privé.
- Exécutez la commande suivante pour créer le cluster :
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si le cluster privé a correctement été créé, vous recevez une note d'évaluation.
Tâche 3 : Afficher le sous-réseau et les plages d'adresses secondaires
- Répertoriez les sous-réseaux du réseau par défaut :
-
Dans les résultats, cherchez le nom du sous-réseau créé automatiquement pour votre cluster (exemple :
gke-private-cluster-subnet-xxxxxxxx
). Notez le nom du cluster, car il vous sera utile à l'étape suivante. -
À présent, exécutez la commande suivante pour obtenir des informations sur le sous-réseau créé automatiquement (remplacez
[SUBNET_NAME]
par votre sous-réseau) :
Vous obtenez la plage d'adresses principale, avec le nom du cluster privé GKE, et les plages secondaires :
Dans les résultats, vous pouvez constater qu'il existe deux plages secondaires : une pour les pods et une autre pour les services.
Notez que privateIPGoogleAccess
est défini sur true
. Cela permet aux hôtes du cluster, qui possèdent uniquement une adresse IP privée, de communiquer avec les API et les services Google.
Tâche 4 : Activer des réseaux autorisés maîtres
À ce stade, seules les adresses IP des plages suivantes ont accès au maître :
- La plage principale de votre sous-réseau, c'est-à-dire celle utilisée pour les nœuds
- La plage secondaire de votre sous-réseau utilisée pour les pods
Pour étendre l'accès au maître, vous devez autoriser les plages d'adresses concernées.
Créer une instance de VM
- Créez une instance source qui servira à vérifier la connectivité aux clusters Kubernetes :
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à créer une instance de VM, vous recevez une note d'évaluation.
- Exécutez la commande suivante pour obtenir l'adresse IP externe (
<External_IP>
) desource-instance
:
Exemple de résultat :
-
Copiez l'adresse IP Nat (
<nat_IP>
) et notez-la, car vous en aurez besoin plus tard. -
Exécutez la commande suivante pour autoriser la plage d'adresses externes. Pensez à remplacer
[MY_EXTERNAL_RANGE]
par la plage CIDR des adresses externes renvoyées précédemment (natIP/32
, en l'occurrence). Nous ajoutons à la liste d'autorisation une adresse IP spécifique pour la plage CIDRnatIP/32
:
[MY_EXTERNAL_RANGE]
par la plage CIDR d'adresses externes de votre réseau.
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à autoriser une plage d'adresses externes, vous recevez une note d'évaluation.
Maintenant que vous avez accès au maître à partir d'une plage d'adresses externes, vous allez installer kubectl
afin de pouvoir l'utiliser pour obtenir des informations sur votre cluster. Avec kubectl
, vous pouvez par exemple vérifier que vos nœuds n'ont pas d'adresse IP externe.
- Exécutez la commande suivante pour vous connecter en SSH à
source-instance
:
-
Appuyez sur
Y
pour continuer, puis sur la touche Entrée pour accéder à la phrase secrète. -
Dans le shell SSH, installez le composant
kubectl
de Cloud SDK :
- Exécutez la commande suivante pour configurer l'accès au cluster Kubernetes à partir du shell SSH :
ZONE
.
- Vérifiez que les nœuds du cluster n'ont pas d'adresse IP externe :
Le résultat indique que les nœuds possèdent une adresse IP interne, mais pas d'adresse externe :
- Pour vérifier que les nœuds n'ont pas d'adresse IP externe, vous pouvez également utiliser la commande suivante :
Une colonne vide est renvoyée pour EXTERNAL-IP
:
- Fermez le shell SSH à l'aide de la commande suivante :
Tâche 5 : Effectuer un nettoyage
- Supprimez le cluster Kubernetes :
- Appuyez sur
Y
pour continuer.
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à supprimer le cluster Kubernetes, vous recevez une note d'évaluation.
Tâche 6 : Créer un cluster privé qui utilise un sous-réseau personnalisé
Dans la section précédente, Kubernetes Engine a créé un sous-réseau de façon automatique. Dans cette section, vous allez créer un sous-réseau personnalisé, puis un cluster privé. Votre sous-réseau possède une plage d'adresses principale et deux plages d'adresses secondaires.
- Créez un sous-réseau et des plages secondaires :
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à créer un sous-réseau et des plages secondaires dans la région
- Créez un cluster privé qui utilise votre sous-réseau :
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à créer un cluster privé qui utilise votre sous-réseau, vous recevez une note d'évaluation.
- Récupérez la plage d'adresses externes de l'instance source :
Exemple de résultat :
-
Copiez l'adresse IP Nat (
<nat_IP>
) et notez-la, car vous en aurez besoin plus tard. -
Exécutez la commande suivante pour autoriser la plage d'adresses externes. Pensez à remplacer
[MY_EXTERNAL_RANGE]
par la plage CIDR des adresses externes renvoyées précédemment (natIP/32
, en l'occurrence). Nous ajoutons à la liste d'autorisation une adresse IP spécifique pour la plage CIDRnatIP/32
:
Tester la tâche terminée
Cliquez sur Vérifier ma progression pour valider la tâche exécutée. Si vous avez réussi à autoriser votre plage d'adresses externes pour un cluster privé dans un sous-réseau personnalisé, vous recevez une note d'évaluation.
- Exécutez la commande suivante pour vous connecter en SSH à
source-instance
:
- Exécutez la commande suivante pour configurer l'accès au cluster Kubernetes à partir du shell SSH :
ZONE
.
- Vérifiez que les nœuds du cluster n'ont pas d'adresse IP externe :
Le résultat indique que les nœuds possèdent une adresse IP interne, mais pas d'adresse externe :
À ce stade, seules les adresses IP des plages suivantes ont accès au maître :
- La plage principale de votre sous-réseau, c'est-à-dire celle utilisée pour les nœuds (ici,
10.0.4.0/22
) - La plage secondaire de votre sous-réseau utilisée pour les pods (ici,
10.4.0.0/14
)
Félicitations !
Vous avez terminé cet atelier pratique et savez désormais créer un cluster Kubernetes privé.
Terminer votre quête
Cet atelier d'auto-formation fait partie de la quête Security & Identity Fundamentals. Une quête est une série d'ateliers associés qui constituent un parcours de formation. Si vous terminez cette quête, vous obtenez un badge attestant de votre réussite. Vous pouvez rendre publics les badges que vous recevez et ajouter leur lien dans votre CV en ligne ou sur vos comptes de réseaux sociaux. Inscrivez-vous à cette quête ou à une autre quête contenant cet atelier pour obtenir immédiatement les crédits associés. Consultez le catalogue pour découvrir toutes les quêtes disponibles.
Atelier suivant
Continuez sur votre lancée avec l'atelier Sécuriser Google Cloud avec CFT Scorecard ou découvrez les ateliers suivants :
Formations et certifications Google Cloud
Les formations et certifications Google Cloud vous aident à tirer pleinement parti des technologies Google Cloud. Nos cours portent sur les compétences techniques et les bonnes pratiques à suivre pour être rapidement opérationnel et poursuivre votre apprentissage. Nous proposons des formations pour tous les niveaux, à la demande, en salle et à distance, pour nous adapter aux emplois du temps de chacun. Les certifications vous permettent de valider et de démontrer vos compétences et votre expérience en matière de technologies Google Cloud.
Dernière mise à jour du manuel : 20 septembre 2023
Dernier test de l'atelier : 20 septembre 2023
Copyright 2024 Google LLC Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms d'entreprises et de produits peuvent être des marques des entreprises auxquelles ils sont associés.