Auf Cluster zugreifen

Nach der Erstellung des IBM Cloud® Kubernetes Service-Clusters können Sie anfangen, mit Ihrem Cluster zu arbeiten, indem Sie auf den Cluster zugreifen.

Voraussetzungen

Erforderliche CLI-Tools installieren, einschließlich der IBM Cloud-CLI, des Kubernetes Service-Plug-ins (ibmcloud ks) und der Kubernetes-CLI (kubectl). Für einen schnellen Zugriff auf Testfunktionen in Ihrem Cluster können Sie auch die IBM Cloud Shell verwenden.
Erstellen Sie Ihren IBM Cloud Kubernetes Service-Cluster.
Wenn Ihr Netz durch eine Firewall des Unternehmens geschützt ist, ermöglichen Sie den Zugriff auf die IBM Cloud- und IBM Cloud Kubernetes Service-API-Endpunkte und -Ports. Für Cluster, die nur für private Cloud-Serviceendpunkte bestimmt sind, können Sie die Verbindung zu Ihrem Cluster erst testen, wenn Sie Zugriff auf das Teilnetz des Cloud-Service-Endpunkts konfigurieren.
Überprüfen Sie, ob sich Ihr Cluster in einem einwandfreien Zustand befindet, indem Sie ibmcloud ks cluster get -c <cluster_name_or_ID> ausführen. Wenn sich der Cluster nicht in einwandfreiem Zustand befindet, finden Sie weitere Informationen unter Cluster debuggen. Wenn Ihr Cluster beispielsweise in einem Konto bereitgestellt wird, das durch eine Firewall-Firewall-Gateway geschützt ist, müssen Sie Ihre Firewalleinstellungen so konfigurieren, dass sie ausgehenden Datenverkehr zu den entsprechenden Ports und IP-Adressen zulassen.
Überprüfen Sie in der Ausgabe der Clusterdetails im vorherigen Schritt die öffentliche URL oder die URL des privaten Serviceendpunkts des Clusters.
- Nur öffentliche Serviceendpunkt-URL: Fahren Sie mit Über Public-Cloud-Serviceendpunkt auf Cluster zugreifen fort.
- Nur private Serviceendpunkt-URL: Fahren Sie mit Über Private-Cloud-Serviceendpunkt auf Cluster zugreifen fort.
- Beide Serviceendpunkt-URLs: Sie können über den öffentlichen oder den privaten Serviceendpunkt auf Ihren Cluster zugreifen.
Sie können auch über den Virtual Private Endpoint auf Ihren VPC-Cluster zugreifen.

Über den Public-Cloud-Serviceendpunkt auf Cluster zugreifen

Damit Sie mit Ihrem Cluster arbeiten können, legen Sie den von Ihnen erstellten Cluster als Kontext für eine CLI-Sitzung fest, um kubectl-Befehle auszuführen.

Wenn Sie stattdessen die IBM Cloud-Konsole verwenden möchten, können Sie CLI-Befehle direkt über Ihren Web-Browser in IBM Cloud Shell ausführen.

Legen Sie den von Ihnen erstellten Cluster als Kontext für diese Sitzung fest. Führen Sie diese Konfigurationsschritte jedes Mal aus, wenn Sie mit Ihrem Cluster arbeiten.
1. Laden Sie die Konfigurationsdatei kubeconfig für Ihren Cluster herunter und fügen Sie sie zu Ihrer vorhandenen Datei kubeconfig in ~/.kube/config oder zur letzten Datei in der Umgebungsvariablen KUBECONFIG hinzu.
```
    ibmcloud ks cluster config -c CLUSTER_NAME_OR_ID
    ```
2. Überprüfen Sie, ob `kubectl`-Befehle ordnungsgemäß ausgeführt werden und ob der Kubernetes-Kontext auf Ihren Cluster gesetzt ist.
```sh {: pre}
    kubectl config current-context
    ```
    Beispielausgabe
    ```sh {: screen}
    <cluster_name>/<cluster_ID>
    ```
```

Starten Sie Ihr Kubernetes-Dashboard über den Standardport 8001.

Legen Sie die Standardportnummer für den Proxy fest.

    kubectl proxy
    ```
    ```sh {: screen}
    Starting to serve on 127.0.0.1:8001
    ```
2. Öffnen Sie die folgende URL in einem Web-Browser, damit das Kubernetes-Dashboard angezeigt wird.
```sh {: codeblock}
    http://localhost:8001/api/v1/namespaces/kube-system/services/https:kubernetes-dashboard:/proxy/
    ```

Über den Private-Cloud-Serviceendpunkt auf Cluster zugreifen

Ermöglichen Sie berechtigten Clusterbenutzern den Zugriff auf Ihren VPC- oder klassischen Cluster über den Private-Cloud-Serviceendpunkt.

Über den privaten Serviceendpunkt auf VPC-Cluster zugreifen

Alle VPC-Cluster haben einen privaten Service-Endpunkt, auf den autorisierte Benutzer zugreifen können. Da sie nur im privaten Netz verfügbar ist, müssen die Benutzer auf eine der folgenden Arten darauf zugreifen:

Für andere Regionen als ca-mon, in-che und in-mum kann der private Service-Endpunkt für VPC-Cluster von einem beliebigen Ort innerhalb von IBM Cloud oder von einem Client aus erreicht werden, der ein VPN (oder ähnliches) verwendet, um sich mit IBM Cloud zu verbinden.

Sie können sich über VPN mit IBM Cloud verbinden, indem Sie eine der folgenden Optionen verwenden:
```
 [client-to-Site-VPN](/docs/vpc?topic=vpc-vpn-client-to-site-overview)
```
: Die gebräuchlichste Option für den Cluster-Zugang, und sie ist recht einfach einzurichten. Tipps zur Konfiguration finden Sie unter Zugriff auf VPC-Cluster über das Virtual Private Endpoint Gateway.

Site-to-Site VPN : Die Einrichtung ist komplizierter, bietet aber zusätzliche Funktionen, die nützlich sein können.

Auf diese Cluster kann über den privaten Service-Endpunkt URL für den Cluster zugegriffen werden, der wie c<XXX>.private.<REGION>.containers.cloud.ibm.com:XXXXX aussieht. Verwenden Sie diesen Befehl, um eine kubeconfig-Datei zu erhalten, die diesen privaten Endpunkt verwendet:

Anschließend können Sie sich mit einer der unten aufgeführten Optionen beim Cluster anmelden. Sobald Sie dies getan haben, können Sie die Verbindung überprüfen, indem Sie etwas wie ibmcloud ks get nodes
- Anmeldung als Administrator:
  1. Stellen Sie sicher, dass Sie über die Plattformzugriffsrolle Administrator für den Cluster verfügen.
  2. Laden Sie die kubeconfig für den Administrator herunter.
```
ibmcloud ks cluster config -c CLUSTER_NAME_OR_ID --admin --endpoint private
```
- Als Benutzer anmelden:
  1. Laden Sie die kubeconfig-Datei für den Benutzer herunter, unter dem Sie angemeldet sind.
```
ibmcloud ks cluster config -c CLUSTER_NAME_OR_ID --endpoint private
```
Auf den privaten Service-Endpunkt für alle VPC-Cluster in allen Regionen kann über den spezifischen Virtual Private Endpoint (VPE)-Gateway des jeweiligen Clusters zugegriffen werden. Ein VPE-Gateway ist nur innerhalb der VPC verfügbar, in der es erstellt wurde, oder über ein VPN (oder ähnliches) in dieser spezifischen VPC. Es gibt zwei Hauptoptionen, um auf diese Weise eine Verbindung zu einem Cluster herzustellen:
- Ein VPE-Gateway für den Cluster wird automatisch in der VPC erstellt, in der der Cluster erstellt wurde. Eine Möglichkeit besteht also darin, eine Verbindung von einem System innerhalb dieser VPC oder von einem System aus herzustellen, das eine VPN-Verbindung (oder eine ähnliche Verbindung) zu dieser VPC hat.
- Wenn Sie eine Verbindung von einer anderen VPC (vielleicht sogar einer VPC in einer anderen Region oder einem anderen Konto) herstellen möchten, können Sie ein neues VPE-Gateway in dieser anderen VPC erstellen. Dann können Sie von dieser anderen VPC aus (auch wenn Sie mit dieser anderen VPC per VPN verbunden sind) über das neue VPE-Gateway auf den Clustermaster zugreifen. Die Schritte dazu finden Sie im Abschnitt Erstellen zusätzlicher Virtual Private Endpoint Gateways in anderen VPCs und Konten weiter unten.
- Weitere Informationen zu dieser Option, einschließlich der Frage, wie Sie eine kubeconfig-Datei erhalten, und Tipps zur Konfiguration eines VPN finden Sie im Abschnitt Zugriff auf VPC-Cluster über das Virtual Private Endpoint Gateway weiter unten.

Über den Private-Cloud-Serviceendpunkt auf klassische Cluster zugreifen

Der Kubernetes-Master ist über den Private-Cloud-Serviceendpunkt zugänglich, wenn sich berechtigte Clusterbenutzer in Ihrem privaten IBM Cloud-Netz befinden oder mit dem privaten Netz verbunden sind, z. B. durch eine klassische VPN-Verbindung oder IBM Cloud Direct Link. Die Kommunikation mit dem Kubernetes-Master über den Private-Cloud-Serviceendpunkt muss jedoch über den IP-Adressbereich 166.X.X.X erfolgen, der über eine klassische VPN-Verbindung oder über IBM Cloud Direct Link nicht angesteuert werden kann. Sie können den Private-Cloud-Serviceendpunkt des Masters für Ihre Clusterbenutzer mithilfe einer privaten Netzlastausgleichsfunktion (NLB) zugänglich machen. Die private NLB macht den Private-Cloud-Serviceendpunkt des Masters als internen 10.X.X.X-IP-Adressbereich zugänglich, auf den Benutzer über eine VPN- oder IBM Cloud Direct Link-Verbindung zugreifen können. Wenn Sie nur den Private-Cloud-Serviceendpunkt aktivieren, können Sie das Kubernetes-Dashboard verwenden oder vorübergehend den Public-Cloud-Serviceendpunkt aktivieren, um die private NLB zu erstellen.

Rufen Sie die URL und den Port des Private-Cloud-Serviceendpunkts für Ihren Cluster ab.

ibmcloud ks cluster get -c <cluster_name_or_ID>

In dieser Beispielausgabe lautet der Wert für Private Service Endpoint URL https://c1.private.us-east.containers.cloud.ibm.com:25073.

NAME:                           setest
ID:                             b8dcc56743394fd19c9f3db7b990e5e3
State:                          normal
Status:                         healthy cluster
Created:                        2019-04-25T16:03:34+0000
Location:                       wdc04
Master URL:                     https://c1.private.us-east.containers.cloud.ibm.com:25073
Public Service Endpoint URL:    -
Private Service Endpoint URL:   https://c1.private.us-east.containers.cloud.ibm.com:25073
Master Location:                Washington D.C.
...

Erstellen Sie eine YAML-Datei namens kube-api-via-nlb.yaml. Diese YAML-Datei erstellt einen privaten LoadBalancer-Service und macht den Private-Cloud-Serviceendpunkt durch diese NLB zugänglich. Ersetzen Sie <private_service_endpoint_port> durch den im vorherigen Schritt gefundenen Port.

apiVersion: v1
kind: Service
metadata:
  name: kube-api-via-nlb
  annotations:
    service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: private
  namespace: default
spec:
  type: LoadBalancer
  ports:
  - protocol: TCP
    port: 8080 # Or, the <private_service_endpoint_port> that you found earlier.
    targetPort: 8080 # Optional. By default, the `targetPort` is set to match the `port` value unless specified otherwise.
---
kind: Endpoints
apiVersion: v1
metadata:
  name: kube-api-via-nlb
subsets:
  - addresses:
      - ip: 172.20.0.1
    ports:
      - port: 2040

Damit Sie die private NLB erstellen können, müssen Sie mit dem Cluster-Master verbunden sein. Da Sie noch keine Verbindung über den Endpunkt des privaten Cloud-Service von einem VPN oder IBM Cloud Direct Link herstellen können, müssen Sie eine Verbindung zum Cluster-Master herstellen und die NLB über den Endpunkt des öffentlichen Cloud-Service oder das Kubernetes-Dashboard erstellen.
- Wenn Sie nur den Private-Cloud-Serviceendpunkt aktiviert haben, können Sie das Kubernetes-Dashboard verwenden, um die NLB zu erstellen. Das Dashboard leitet automatisch alle Anforderungen an den Private-Cloud-Serviceendpunkt des Masters weiter.
  1. Klicken Sie auf der Seite Cluster auf den Cluster, auf den Sie zugreifen möchten.
  2. Klicken Sie auf der Seite mit den Clusterdetails auf Kubernetes-Dashboard.
  3. Klicken Sie auf + Erstellen.
  4. Wählen Sie Aus Datei erstellen aus, laden Sie die Datei kube-api-via-nlb.yaml hoch und klicken Sie auf Hochladen.
  5. Überprüfen Sie auf der Seite Übersicht, ob der Service kube-api-via-nlb erstellt wurde. Notieren Sie die Adresse ** in der Spalte **Externe Endpunkte10.x.x.x. Diese IP-Adresse macht den Private-Cloud-Serviceendpunkt für den Kubernetes-Master an dem Port zugänglich, den Sie in Ihrer YAML-Datei angegeben haben.
- Wenn Sie auch den Public-Cloud-Serviceendpunkt aktiviert haben, haben Sie bereits Zugriff auf den Master.
  1. Laden Sie die Konfigurationsdatei kubeconfig für Ihren Cluster herunter und fügen Sie sie zu Ihrer vorhandenen Datei kubeconfig in ~/.kube/config oder zur letzten Datei in der Umgebungsvariablen KUBECONFIG hinzu.
```
ibmcloud ks cluster config -c <cluster_name_or_ID>
```
  2. Erstellen Sie die NLB und den Endpunkt.
```
kubectl apply -f kube-api-via-nlb.yaml
```
  3. Überprüfen Sie, ob die NLB kube-api-via-nlb erstellt wurde. Notieren Sie die Adresse 10.x.x.x unter EXTERNAL-IP in der Ausgabe. Diese IP-Adresse macht den Private-Cloud-Serviceendpunkt für den Kubernetes-Master an dem Port zugänglich, den Sie in Ihrer YAML-Datei angegeben haben.
```
kubectl get svc -o wide
```
    In dieser Beispielausgabe lautet die IP-Adresse für den Private-Cloud-Serviceendpunkt des Kubernetes-Masters 10.186.92.42.
```
NAME                     TYPE           CLUSTER-IP       EXTERNAL-IP      PORT(S)          AGE   SELECTOR
kube-api-via-nlb         LoadBalancer   172.21.150.118   10.186.92.42     443:32235/TCP    10m   <none>
...
```

Fügen Sie auf den Clientmaschinen, auf denen Sie oder Ihre Benutzer kubectl-Befehle ausführen, die NLB-IP-Adresse und die URL des Private-Cloud-Serviceendpunkts zur Datei /etc/hosts hinzu. Schließen Sie keine Ports in die IP-Adresse und URL ein und schließen Sie https:// nicht in die URL ein.

Für macOS- und Linux-Benutzer:

    sudo nano /etc/hosts
    ```
* Für Windows-Benutzer:

```sh {: pre}
    notepad C:\Windows\System32\drivers\etc\hosts
    ```
    Abhängig von Ihren Berechtigungen für die lokale Maschine müssen Sie Notepad als Administrator ausführen, um die Datei 'hosts' bearbeiten zu können.

    ```sh {: codeblock}
    10.186.92.42  c1.private.us-east.containers.cloud.ibm.com
    ```

Stellen Sie sicher, dass Sie über eine VPN- oder IBM Cloud Direct Link-Verbindung mit dem privaten Netz verbunden sind.
Laden Sie die Konfigurationsdatei kubeconfig für Ihren Cluster herunter und fügen Sie sie zu Ihrer vorhandenen Datei kubeconfig in ~/.kube/config oder zur letzten Datei in der Umgebungsvariablen KUBECONFIG hinzu.
```
ibmcloud ks cluster config -c <cluster_name_or_ID> --endpoint private
```
Überprüfen Sie, ob kubectl-Befehle ordnungsgemäß ausgeführt werden und ob der Kubernetes-Kontext auf Ihren Cluster gesetzt ist.
```
kubectl config current-context
```
Beispielausgabe
```
<cluster_name>/<cluster_ID>
```

Über Virtual Private Endpoint Gateway auf VPC-Cluster zugreifen

Virtual Private Endpoint Gateway wird für VPC-Cluster automatisch erstellt. Der Master „ Kubernetes “ ist über dieses virtuelle private Endpunkt-Gateway zugänglich, wenn autorisierte Clusterbenutzer mit derselben VPC verbunden sind, in der der Cluster bereitgestellt ist, beispielsweise über ein VPN vom Typ „ IBM Cloud VPC “. In diesem Fall ist kubeconfig die mit dem Virtual Private Endpoint (VPE) URL konfiguriert, einem privaten DNS-Namen, der nur vom privaten DNS-Dienst IBM Cloud VPC aufgelöst werden kann. Die Adressen des privaten DNS-Servers „ IBM Cloud VPC “ lauten 161.26.0.7 und 161.26.0.8.

Richten Sie Ihr IBM Cloud VPC-VPN ein und stellen Sie über VPN eine Verbindung zu Ihrer VPC her.
1. Konfigurieren Sie ein Client-to-Site-oder Site-to-Site-VPN für Ihre VPC. Sie können beispielsweise eine Client-zu-Site-Verbindung mit einem VPN-Client einrichten.
2. Im Falle eines Client-to-Site-VPN für den Service IBM Cloud VPC müssen Sie die privaten IBM Cloud VPC-DNS-Serviceadressen angeben, wenn Sie den VPN-Server wie in den Hinweisen beschrieben bereitstellen, und Sie müssen eine VPN-Route erstellen, nachdem der VPN-Server mit dem Ziel 161.26.0.0/16 und der Aktion translate bereitgestellt wurde.
3. Wenn Sie ein Site-to-Site-VPN für den Service IBM Cloud VPC verwenden, folgen Sie den Anweisungen im Abschnitt Zugriff auf Serviceendpunkte über VPN und konfigurieren Sie die privaten DNS-Serviceadressen von IBM Cloud VPC.
4. Stellen Sie sicher, dass Sie über Ihre IBM Cloud VPC-VPN-Verbindung mit der VPC verbunden sind.
Laden Sie die Konfigurationsdatei kubeconfig für Ihren Cluster herunter und fügen Sie sie zu Ihrer vorhandenen Datei kubeconfig in ~/.kube/config oder zur letzten Datei in der Umgebungsvariablen KUBECONFIG hinzu.

Das Flag --endpoint vpe stellt sicher, dass <CLUSTERID>.private.<REGION>.containers.cloud.ibm.com:XXXXX URL in der kubeconfig-Datei verwendet wird.
```
ibmcloud ks cluster config -c <cluster_name_or_ID> --endpoint vpe
```
1.30 und höher Fügen Sie eine Sicherheitsgruppenregel zum kube-vpegw-<clusterID> für Ihr VPN hinzu. Die ferne Ressource in diesem Beispiel stammt aus der Client-IP-CIDR des VPN. Sie können Ihren VPE-Port ermitteln, indem Sie ibmcloud ks cluster get -c CLUSTER ausführen.
```
ibmcloud is sg-rulec kube-vpegw-<clusterID> inbound tcp --port-min 30829  --port-max 30829 --remote 192.168.192.0/22
```

Überprüfen Sie, ob der Kubernetes-Kontext für Ihren Cluster festgelegt ist.

kubectl config current-context

Beispielausgabe

<cluster_name>/<cluster_ID>

kubectl version

Beispielausgabe

Client Version: v1.25.3
Kustomize Version: v4.5.7
Server Version: v1.25.4+IKS

Schutz von Clustern durch kontextbezogene Einschränkungen

Listen für private Dienstendpunkte werden nicht mehr unterstützt. Möglichst baldige Umstellung von privaten Endpunkt-Zulassungslisten für Dienste auf kontextbezogene Beschränkungen. Spezifische Migrationsschritte finden Sie unter Migrieren von einer privaten Service-Endpunkt-Zulassungsliste zu kontextbasierten Einschränkungen(CBR ).

Kontrollieren Sie den Zugang zu Ihren öffentlichen und privaten Service-Endpunkten mit kontextbasierten Beschränkungsregeln (CBR).

Nachdem Sie Benutzern über IBM Cloud IAM Zugriff auf Ihren Cluster gewährt haben, können Sie eine zweite Sicherheitsebene hinzufügen, indem Sie CBR-Regeln für den öffentlichen und privaten Service-Endpunkt Ihres Clusters erstellen. Nur autorisierte Anfragen an Ihren Cluster-Master, die von Subnetzen in den CBR-Regeln stammen, werden zugelassen.

Wenn Sie Anfragen aus einer anderen VPC als der, in der sich Ihr Cluster befindet, zulassen möchten, müssen Sie die IP-Adresse des Cloud-Service-Endpunkts für diese VPC in die CBR-Regeln aufnehmen.

Um z. B. auf den Private-Cloud-Serviceendpunkt Ihres Clusters zugreifen zu können, müssen Sie eine Verbindung zu Ihrem IBM Cloud klassischen Netz oder Ihrem VPC-Netz über ein VPN oder IBM Cloud Direct Link herstellen. Sie können in Ihren CBR-Regeln nur das Subnetz für den VPN- oder Direct Link-Tunnel angeben, sodass nur autorisierte Benutzer in Ihrer Organisation von diesem Subnetz aus auf den Endpunkt des Private-Cloud-Dienstes zugreifen können.

Öffentliche CBR-Regeln (wenn Ihr Cluster über einen Endpunkt für öffentliche Dienste verfügt) können ebenfalls dazu beitragen, dass Benutzer nach dem Entzug ihrer Berechtigung nicht mehr auf Ihr Cluster zugreifen können. Wenn Benutzer Ihre Organisation verlassen, entfernen Sie ihre IBM Cloud IAM-Berechtigungen, die ihnen zuvor den Zugriff auf den Cluster ermöglichten. Es kann jedoch sein, dass der Benutzer die Datei admin kubeconfig für einen Cluster kopiert hat, wodurch er Zugriff auf diesen Cluster erhält. Wenn Sie eine öffentliche CBR-Regel haben, die den Zugriff auf Ihre Cluster-Master nur von bekannten öffentlichen Subnetzen erlaubt, die Ihrer Organisation gehören, dann wird der Zugriffsversuch des Benutzers von einer anderen öffentlichen IP-Adresse blockiert.

Die Subnetze der Arbeitsknoten werden automatisch zur CBR-Implementierung im Backend hinzugefügt und daraus entfernt (nicht jedoch die CBR-Regeln/Zonen), so dass die Arbeitsknoten immer auf den Cluster-Master zugreifen können und die Benutzer diese nicht speziell zu ihren eigenen CBR-Regeln hinzufügen müssen.

Weitere Informationen zum Schutz Ihres Clusters mit CBR-Regeln finden Sie unter Schutz von Cluster-Ressourcen mit kontextbasierten Einschränkungen und Beispiel für kontextbasierte Einschränkungen

Erstellen zusätzlicher Virtual Private Endpoint Gateways in anderen VPCs und Konten

Zusätzlich zu dem VPE-Gateway, das für einen Cluster in seiner VPC erstellt wird, können Sie weitere VPE-Gateways für diesen Cluster erstellen, um den Zugriff über das private Netzwerk von anderen VPCs, Regionen und Konten aus zu ermöglichen.

Zusätzliche VPE-Gateways müssen mit Hilfe der CLI oder API erstellt werden. Nach der Erstellung können sie über die Web-UI verwaltet werden.
Für kontenübergreifende VPE-Gateways müssen Sie zunächst eine Berechtigung im Zielkonto erstellen. Weitere Informationen finden Sie unter Erstellen der Serviceberechtigung für kontoübergreifende VPE in der Konsole.
Es ist kein Transit-Gateway oder spezielles Routing erforderlich. Das VPE-Gateway übernimmt das Routing zum Zielcluster.

Die folgenden Schritte zeigen Ihnen, wie Sie ein kontoübergreifendes VPE-Gateway erstellen.

Holen Sie sich die notwendigen Informationen aus dem Zielcluster.

Setzen Sie ibmcloud target auf das Zielkonto, die Region und die Ressourcengruppe.
Abrufen der vorhandenen VPE-Gateway-Informationen.

    ibmcloud is endpoint-gateway iks-TARGET_CLUSTER_ID
    ```
1. Notieren Sie die **Ziel-CRN** (Format: `crn:v1:bluemix:public:containers-kubernetes:REGION:a/TARGET_ACCOUNT:TARGET_CLUSTER_ID::`).

1. Beachten Sie die Hostnamen der **Service-Endpunkte**.

Erstellen Sie das neue VPE-Gateway im Quellkonto.

Setzen Sie ibmcloud target auf das Quellkonto, die Region und die Ressourcengruppe.
Überprüfen Sie, ob die VPC in diesem Konto existiert.

    ibmcloud is vpcs
    ```
1. Erstellen Sie das VPE-Gateway.

```sh {: pre}
    ibmcloud is endpoint-gateway-create --vpc SOURCE_VPC_NAME --target TARGET_CRN --name new-iks-TARGET_CLUSTER_ID --resource-group-name SOURCE_ACCOUNT_RESOURCE_GROUP
    ```
    `SOURCE_VPC_NAME`
    :   Der VPC-Name aus dem vorherigen Schritt.

    `TARGET_CRN`
    :   Die CRN vom VPE-Gateway des Ziel-Clusters.

    `--name`
    :   Ein Name für Ihr VPE-Gateway.

    `SOURCE_ACCOUNT_RESOURCE_GROUP`
    :   Der Name der Ressourcengruppe im Quellkonto.

1. Wenn eine Fehlermeldung angezeigt wird `Could not find service`, überprüfen Sie, ob die Ziel-CRN korrekt ist. Wenn dies der Fall ist, müssen Sie die Berechtigung im Zielkonto erstellen. Siehe [Service-Autorisierung für kontoübergreifende VPE in der Konsole erstellen](/docs/vpc?topic=vpc-ordering-cross-account-endpoint-gateway&interface=ui#cross-account-vpe-prerequisite-console).

Fügen Sie reservierte IPs zu Ihrem VPE-Gateway hinzu.

Sie müssen mindestens eine reservierte IP-Adresse hinzufügen. Reservierte IPs stammen von Ihren Quell-VPC-Subnetzen (maximal eine pro Zone) und werden zu den privaten DNS-Einträgen der Quell-VPC hinzugefügt.

Erstellen Sie für jede Zone eine reservierte IP.

    ibmcloud is subnet-reserved-ip-create SOURCE_VPC_SUBNET_NAME --vpc SOURCE_VPC_NAME --name ANY_NAME_YOU_CHOOSE --auto-delete true --target VPE_GATEWAY_NAME
    ```
1. Optional: Hinzufügen oder Ändern von Sicherheitsgruppen. Standardmäßig ist nur die Standardsicherheitsgruppe für die Quell-VPC angeschlossen. Bei VPE-Gateways schützen die Sicherheitsgruppen nur den eingehenden Verkehr. Stellen Sie sicher, dass die Sicherheitsgruppen den gesamten erforderlichen eingehenden Datenverkehr von Clients zulassen.

Testen Sie die Verbindung.

Verwenden Sie von einem VSI in der Quell-VPC denselben Hostnamen wie das ursprüngliche VPE-Gateway. Diese finden Sie in der Liste der Service-Endpunkte oder in der Eigenschaft VPE-Gateway unter ibmcloud ks cluster get -c CLUSTER_NAME.
Prüfen Sie, ob die Verbindung funktioniert.

    curl -k https://CLUSTERID...:XXXXX/version
    ```
1. Wenn die Verbindung fehlschlägt, überprüfen Sie Folgendes:

    * Sicherheitsgruppen auf dem VSI- und VPE-Gateway erlauben den erforderlichen Datenverkehr
    * VPC ACL erlaubt den Verkehr
    * CBR-Regeln (Context Based Restriction) auf dem Zielcluster erlauben privaten Datenverkehr aus der Quell-VPC (fügen Sie die drei IP-Adressen aus `Cloud Service Endpoint source addresses` Ihrer Quell-VPC zur privaten CBR-Regel hinzu)

Beispiel: Befehle für das Zielkonto

Das folgende Beispiel zeigt Befehle, die im Zielkonto ausgeführt werden, um Informationen über den Cluster und sein VPE-Gateway zu sammeln.

Überprüfen Sie, ob Sie das richtige Konto anvisieren.

ibmcloud target

Beispielausgabe

API endpoint:     https://cloud.ibm.com
Region:           us-east
User:             user2@example.com
Account:          Target Account (9f8e7d6c5b4a321fedcba98765432222) <-> 2222222
Resource group:   default

Listen Sie Ihre Cluster auf.

ibmcloud ks clusters

Beispielausgabe

OK
Name                     ID                     State    Created     Workers   Location        Version                  Resource Group Name   Provider
vpe-cross-account-test   c8m5n3p2q4x6z1w7y077   normal   1 day ago   2         Washington DC   4.19.25_1572_openshift   default               vpc-gen2

Rufen Sie die Details des VPE-Gateways ab. Beachten Sie das Ziel-CRN und die Service-Endpunkte.

ibmcloud is endpoint-gateway iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Getting endpoint gateway iks-c8m5n3p2q4x6z1w7y077 under account Target Account as user user2@example.com...
ID                            r014-7a228b24-4bc4-416c-aede-7fda14e88d98   
Name                          iks-c8m5n3p2q4x6z1w7y077
CRN                           crn:v1:bluemix:public:is:us-east:a/9f8e7d6c5b4a321fedcba98765432222::endpoint-gateway:r014-7a228b24-4bc4-416c-aede-7fda14e88d98
Target                        CRN      
                              crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077::
DNS resolution binding mode   primary   
Target Type                   provider_cloud_service   
Target Remote                 ID                        Name   Resource type      
                              No target remote found.      
VPC                           ID                                          Name      
                              r014-464b4e54-48a8-4f6c-b10a-68edc6fd2be4   new-vpcgen2-default-sec-grp-wdc      
Private IPs                   ID                                          Name                                   Address       Subnet ID      
                              0757-3bd457cb-af5a-4ab6-b9bb-6e78d3eaf752   iks-useast1-c8m5n3p2q4x6z1w7y077-2e8   172.22.0.11   0757-0c981aa5-cb47-41d9-ab29-edee98b416f8
Service Endpoints             c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com
Lifecycle State               stable   
Health State                  ok   
Security groups               ID                                          Name      
                              r014-3873358e-3180-482b-927e-abcc300ecbf8   kube-vpegw-c8m5n3p2q4x6z1w7y077
Created                       2026-04-03T12:14:59-05:00   
Resource Group                default

Optional: Rufen Sie die Clusterdetails auf, um das VPE-Gateway zu sehen URL.

ibmcloud ks cluster get -c c8m5n3p2q4x6z1w7y077

Beispielausgabe

Retrieving cluster c8m5n3p2q4x6z1w7y077...
OK
Name:                           vpe-cross-account-test
ID:                             c8m5n3p2q4x6z1w7y077
State:                          normal
Status:                         All Workers Normal
Created:                        2026-04-03 11:56:38 -0500 (1 day ago)
Resource Group ID:              950cec30388441ce809ca0d18b5ca3bc
Resource Group Name:            default
Pod Subnet:                     172.17.0.0/18
Service Subnet:                 172.21.0.0/16
Workers:                        2
Worker Zones:                   us-east-1
Ingress Subdomain:              vpe-cross-account-test-354226545946e7ee0a2c700f061c1661-0000.us-east.containers.appdomain.cloud
Ingress Secret:                 vpe-cross-account-test-354226545946e7ee0a2c700f061c1661-0000
Ingress Status:                 healthy
Ingress Message:                All Ingress components are healthy.
Trusted Profile ID:             -
Public Service Endpoint URL:    https://c111-e.us-east.containers.cloud.ibm.com:31100
Private Service Endpoint URL:   https://c111.private.us-east.containers.cloud.ibm.com:31100
Pull Secrets:                   enabled in the default namespace
VPCs:                           r014-464b4e54-48a8-4f6c-b10a-68edc6fd2be4
VPE Gateway:                    https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:31100
OAuth Server URL:               https://c111-e.us-east.containers.cloud.ibm.com:31264
Konnectivity Server URL:        https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:30996
Secure By Default Networking:   enabled
Outbound Traffic Protection:    enabled
Master      
Status:     Ready (1 day ago)
State:      deployed
Health:     normal
Version:    4.19.25_1572_openshift
Location:   Washington DC
URL:        https://c111-e.us-east.containers.cloud.ibm.com:31100

Beispiel: Befehle für das Ausgangskonto

Das folgende Beispiel zeigt Befehle, die im Quellkonto ausgeführt werden, um ein VPE-Gateway zu erstellen, das eine Verbindung zum Cluster im Zielkonto herstellt.

Vergewissern Sie sich, dass Sie das richtige Quellkonto anvisieren.

ibmcloud target

Beispielausgabe

API endpoint:     https://cloud.ibm.com
Region:           us-south
User:             user1@example.com
Account:          Source Account (a1b2c3d4e5f6789abcdef01234561111) <-> 1111111
Resource group:   Default

Listen Sie Ihre VPCs auf.

ibmcloud is vpcs

Beispielausgabe

Listing vpcs in resource group Default and region us-south under account Source Account as user user1@example.com...
ID                                          Name                      Status      Classic access   Default network ACL                             Default security group                           Resource group   Health state   DNS Hub   DNS Resolver Type   
r006-6f450c4b-c808-40e7-9de6-c61c262a2ae9   dev-ansiblepr-vpc         available   false            vendor-paradox-ravioli-tank                     harmonica-hypnoses-tranquil-alkalize             Default          ok             false     system   
r006-bd06a98a-1183-42d2-810d-1c564eeb5f39   fvt-vpc-sdnlb-server-40   available   false            sloppy-program-venue-subsiding                  prattle-pension-wilt-recycled                    Default          ok             false     system   
r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8   network-fvt-us-south      available   false            doorknob-baffle-quintet-poem                    spotted-sandpaper-auction-unluckily              Default          ok             false     system   
r006-4ff93772-cee9-4d64-9d87-d8b1b781e201   network-fvt-vpc-gen2      available   false            stegosaur-reach-boxlike-alone-stranger-uncork   earplugs-preface-county-juicy-sensitize-babied   Default          ok             false     system

Erstellen Sie das VPE-Gateway unter Verwendung der Ziel-CRN des Zielkontos.

ibmcloud is endpoint-gateway-create --vpc network-fvt-us-south --target crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: --name new-iks-c8m5n3p2q4x6z1w7y077 --resource-group-name Default

Beispielausgabe

Creating endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 in resource group Default under account Source Account as user user1@example.com...
ID                            r006-2009f147-768a-4f6a-b8fa-75f20456cec2   
Name                          new-iks-c8m5n3p2q4x6z1w7y077
CRN                           crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2
Target                        CRN      
                              crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077::
DNS resolution binding mode   primary   
Target Type                   provider_cloud_service   
Target Remote                 ID                        Name   Resource type      
                              No target remote found.      
VPC                           ID                                          Name      
                              r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8   network-fvt-us-south      
Private IPs                   -   
Service Endpoints             c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com
Lifecycle State               pending   
Health State                  ok   
Security groups               ID                                          Name      
                              r006-7ae081e2-743d-4046-b755-5ca9997ae077   spotted-sandpaper-auction-unluckily      
Created                       2026-04-04T18:17:12-05:00   
Resource Group                Default

Führen Sie die Subnetze auf, um zu ermitteln, welche für reservierte IPs verwendet werden sollen.

ibmcloud is subnets --vpc network-fvt-us-south

Beispielausgabe

Listing subnets in resource group Default and region us-south under account Source Account as user user1@example.com...
ID                                          Name                           Status      Subnet CIDR       Addresses   ACL                            Public Gateway                             VPC                    Zone         Resource group   
0717-04288f84-4aef-4938-9fa7-5544a40ba258   network-fvt-us-south-1-priv    available   10.240.0.0/24     251/256     doorknob-baffle-quintet-poem   -                                          network-fvt-us-south   us-south-1   Default   
0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8   network-fvt-us-south-1-pubgw   available   10.240.1.0/24     246/256     doorknob-baffle-quintet-poem   pgw-33eb53d0-74e4-11ee-a747-33927b3ab784   network-fvt-us-south   us-south-1   Default   
0727-8813de08-fffa-45e3-ae67-2ba70703866e   network-fvt-us-south-2-priv    available   10.240.64.0/24    250/256     doorknob-baffle-quintet-poem   -                                          network-fvt-us-south   us-south-2   Default   
0727-50b14707-c9f6-4f93-9f49-99de13c66161   network-fvt-us-south-2-pubgw   available   10.240.65.0/24    251/256     doorknob-baffle-quintet-poem   pgw-34fe4a70-74e4-11ee-a747-33927b3ab784   network-fvt-us-south   us-south-2   Default   
0737-7a644374-f121-44c1-b216-5fd94c0362b2   network-fvt-us-south-3-priv    available   10.240.128.0/24   251/256     doorknob-baffle-quintet-poem   -                                          network-fvt-us-south   us-south-3   Default   
0737-71a34942-304c-4419-9205-3714a3574962   network-fvt-us-south-3-pubgw   available   10.240.129.0/24   251/256     doorknob-baffle-quintet-poem   pgw-36088e80-74e4-11ee-a747-33927b3ab784   network-fvt-us-south   us-south-3   Default

Erstellen Sie eine reservierte IP in der ersten Zone und verbinden Sie sie mit dem VPE-Gateway.

ibmcloud is subnet-reserved-ip-create network-fvt-us-south-1-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-1 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Creating reserved IP in subnet network-fvt-us-south-1-pubgw under account Source Account as user user1@example.com...
ID                0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a   
Name              reserved-ip-for-us-south-1   
Address           0.0.0.0   
Auto delete       true   
Owner             user   
Created           2026-04-04T18:18:51-05:00   
Lifecycle state   pending   
Target            ID                                          Name                           Resource type      CRN      
                  r006-2009f147-768a-4f6a-b8fa-75f20456cec2   new-iks-c8m5n3p2q4x6z1w7y077   endpoint_gateway   crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2

Überprüfen Sie, ob die reservierte IP hinzugefügt wurde.

ibmcloud is eg new-iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Getting endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 under account Source Account as user user1@example.com...
ID                            r006-2009f147-768a-4f6a-b8fa-75f20456cec2   
Name                          new-iks-c8m5n3p2q4x6z1w7y077
CRN                           crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2
Target                        CRN      
                              crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077::
DNS resolution binding mode   primary   
Target Type                   provider_cloud_service   
Target Remote                 ID                        Name   Resource type      
                              No target remote found.      
VPC                           ID                                          Name      
                              r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8   network-fvt-us-south      
Private IPs                   ID                                          Name                         Address      Subnet ID      
                              0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a   reserved-ip-for-us-south-1   10.240.1.5   0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8      
Service Endpoints             c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com
Lifecycle State               stable   
Health State                  ok   
Security groups               ID                                          Name      
                              r006-7ae081e2-743d-4046-b755-5ca9997ae077   spotted-sandpaper-auction-unluckily      
Created                       2026-04-04T18:17:12-05:00   
Resource Group                Default

Erstellen Sie eine reservierte IP in der zweiten Zone und verbinden Sie sie mit dem VPE-Gateway.

ibmcloud is subnet-reserved-ip-create network-fvt-us-south-2-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-2 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Creating reserved IP in subnet network-fvt-us-south-2-pubgw under account Source Account as user user1@example.com...
ID                0727-d315d943-c501-4f69-823d-bb82a2b13b29   
Name              reserved-ip-for-us-south-2   
Address           0.0.0.0   
Auto delete       true   
Owner             user   
Created           2026-04-04T18:19:24-05:00   
Lifecycle state   pending   
Target            ID                                          Name                           Resource type      CRN      
                  r006-2009f147-768a-4f6a-b8fa-75f20456cec2   new-iks-c8m5n3p2q4x6z1w7y077   endpoint_gateway   crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2

Erstellen Sie eine reservierte IP in der dritten Zone und verbinden Sie sie mit dem VPE-Gateway.

ibmcloud is subnet-reserved-ip-create network-fvt-us-south-3-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-3 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Creating reserved IP in subnet network-fvt-us-south-3-pubgw under account Source Account as user user1@example.com...
ID                0737-afbebd9f-02bd-4b9a-be90-5bacf9836041   
Name              reserved-ip-for-us-south-3   
Address           0.0.0.0   
Auto delete       true   
Owner             user   
Created           2026-04-04T18:19:32-05:00   
Lifecycle state   pending   
Target            ID                                          Name                           Resource type      CRN      
                  r006-2009f147-768a-4f6a-b8fa-75f20456cec2   new-iks-c8m5n3p2q4x6z1w7y077   endpoint_gateway   crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2

Überprüfen Sie, ob alle reservierten IPs hinzugefügt wurden.

ibmcloud is eg new-iks-c8m5n3p2q4x6z1w7y077

Beispielausgabe

Getting endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 under account Source Account as user user1@example.com...
ID                            r006-2009f147-768a-4f6a-b8fa-75f20456cec2   
Name                          new-iks-c8m5n3p2q4x6z1w7y077
CRN                           crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2
Target                        CRN      
                              crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077::
DNS resolution binding mode   primary   
Target Type                   provider_cloud_service   
Target Remote                 ID                        Name   Resource type      
                              No target remote found.      
VPC                           ID                                          Name      
                              r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8   network-fvt-us-south      
Private IPs                   ID                                          Name                         Address        Subnet ID      
                              0737-afbebd9f-02bd-4b9a-be90-5bacf9836041   reserved-ip-for-us-south-3   10.240.129.5   0737-71a34942-304c-4419-9205-3714a3574962      
                              0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a   reserved-ip-for-us-south-1   10.240.1.5     0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8      
                              0727-d315d943-c501-4f69-823d-bb82a2b13b29   reserved-ip-for-us-south-2   10.240.65.5    0727-50b14707-c9f6-4f93-9f49-99de13c66161      
Service Endpoints             c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com
Lifecycle State               stable   
Health State                  ok   
Security groups               ID                                          Name      
                              r006-7ae081e2-743d-4046-b755-5ca9997ae077   spotted-sandpaper-auction-unluckily      
Created                       2026-04-04T18:17:12-05:00   
Resource Group                Default

Testen Sie die Verbindung von einem VSI in der Quell-VPC.

curl -k https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:31100/version

Beispielausgabe

{
  "major": "1",
  "minor": "32",
  "gitVersion": "v1.32.12",
  "gitCommit": "9b706b45b52a0c8bb05847295ee98ffccbabba32",
  "gitTreeState": "clean",
  "buildDate": "2026-02-19T13:30:47Z",
  "goVersion": "go1.23.10 (Red Hat 1.23.10-10.el9) X:strictfipsruntime",
  "compiler": "gc",
  "platform": "linux/amd64"
}

Überprüfen Sie, ob der Hostname zu einer reservierten IP-Adresse aufgelöst werden kann.
```
dig +short c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com
```
Beispielausgabe
```
10.240.65.5
```