Private-Cloud-Serviceendpunkt einrichten

Aktivieren Sie den Private-Cloud-Serviceendpunkt für Ihren Cluster.

Der Private-Cloud-Serviceendpunkt macht Ihren Kubernetes-Master privat zugänglich. Ihre Workerknoten und Ihre berechtigten Clusterbenutzer können mit dem Kubernetes-Master über das private Netz kommunizieren. Informationen dazu, ob Sie den Private-Cloud-Serviceendpunkt aktivieren können, finden Sie unter Worker-Master- und Benutzer-Master-Kommunikation. Beachten Sie, dass Sie den privaten Cloud-Serviceendpunkt nach der Aktivierung nicht inaktivieren können.

Haben Sie einen Cluster mit nur einem Private-Cloud-Serviceendpunkt erstellt, bevor Sie Ihr Konto für VRF und Serviceendpunkte aktiviert haben? Versuchen Sie, den Public-Cloud-Serviceendpunkt einzurichten, damit Sie Ihren Cluster verwenden können, bis Ihre Supportfälle zur Aktualisierung Ihres Kontos bearbeitet wurden.

1. Aktivieren Sie VRF in Ihrem Konto für die IBM Cloud-Infrastruktur. Mit dem Befehl ibmcloud account show können Sie überprüfen, ob VRF bereits aktiviert ist.

2. Aktivieren Sie Ihr IBM Cloud-Konto zur Verwendung von Serviceendpunkten.

3. Aktivieren Sie den Private-Cloud-Serviceendpunkt.

   ibmcloud ks cluster master private-service-endpoint enable --cluster CLUSTER_NAME_OR_ID
   

4. Aktualisieren Sie den API-Server des Kubernetes-Masters, sodass er den Private-Cloud-Serviceendpunkt verwendet. Sie können der Eingabeaufforderung in der CLI folgen oder den folgenden Befehl manuell ausführen. Die Aktualisierung des Masters kann mehrere Minuten dauern.

   ibmcloud ks cluster master refresh --cluster CLUSTER_NAME_OR_ID
   

5. Erstellen Sie eine Konfigurationszuordnung (Configmap), um die maximale Anzahl von Workerknoten zu steuern, die gleichzeitig in Ihrem Cluster nicht verfügbar sein können. Wenn Sie Ihre Workerknoten aktualisieren, hilft die Konfigurationszuordnung bei der Vermeidung von Ausfallzeiten für Ihre Apps, wenn die Apps ordentlich auf verfügbaren Workerknoten erneut geplant werden.

6. Aktualisieren Sie alle Workerknoten in Ihrem Cluster, um die Konfiguration des Private-Cloud-Serviceendpunkts aufzunehmen.

   Durch Absetzen des Update-Befehls werden die Workerknoten erneut geladen, um die Konfiguration des Serviceendpunkts aufzunehmen. Wenn keine Workeraktualisierung verfügbar ist, müssen Sie Workerknoten manuell erneut laden. Wenn Sie erneut laden, stellen Sie sicher, dass Sie die Bestellung abriegeln ('cordon'), entleeren ('drain') und verwalten, um die maximale Anzahl der Workerknoten zu steuern, die gleichzeitig nicht verfügbar sind.

   ibmcloud ks worker update --cluster CLUSTER_NAME_OR_ID --worker WORKER1,WORKER2
   

7. Wenn sich der Cluster in einer Umgebung hinter einer Firewall befindet:

   • Lassen Sie zu, dass berechtigte Clusterbenutzer kubectl-Befehle ausführen, um auf den Master über den Private-Cloud-Serviceendpunkt zuzugreifen.
   • Lassen Sie ausgehenden Netzverkehr an die privaten IP-Adressen für Infrastrukturressourcen und für die IBM Cloud-Services zu, deren Einsatz Sie planen.

8. Optional: Wenn Sie nur den Private-Cloud-Serviceendpunkt verwenden wollen:

   1. Inaktivieren Sie den Public-Cloud-Serviceendpunkt.
   2. Konfigurieren Sie den Zugriff auf den Master am Private-Cloud-Serviceendpunkt.

Public-Cloud-Serviceendpunkt einrichten

Sie können den Public-Cloud-Serviceendpunkt für Ihren Cluster aktivieren oder inaktivieren.

Der Public-Cloud-Serviceendpunkt macht Ihren Kubernetes-Master öffentlich zugänglich. Ihre Workerknoten und Ihre berechtigten Clusterbenutzer können mit dem Kubernetes-Master sicher über das öffentliche Netz kommunizieren. Weitere Informationen finden Sie unter Worker-zu-Master- und Benutzer-zu-Master-Kommunikation.

Vom Public-Cloud-Serviceendpunkt zum Private-Cloud-Serviceendpunkt wechseln

Um Workerknoten für die Kommunikation mit dem Kubernetes-Master über das private Netz anstelle des öffentlichen Netzes einzurichten, können Sie den Private-Cloud-Serviceendpunkt aktivieren.

Alle Cluster, die mit einem öffentlichen und einem privaten VLAN verbunden sind, verwenden standardmäßig den Public-Cloud-Serviceendpunkt. Ihre Workerknoten und Ihre berechtigten Clusterbenutzer können mit dem Kubernetes-Master sicher über das öffentliche Netz kommunizieren. Um Workerknoten für die Kommunikation mit dem Kubernetes-Master über das private Netz anstelle des öffentlichen Netzes einzurichten, können Sie den Private-Cloud-Serviceendpunkt aktivieren. Anschließend können Sie optional den Public-Cloud-Serviceendpunkt inaktivieren.

• Wenn Sie den Private-Cloud-Serviceendpunkt aktivieren und den Public-Cloud-Serviceendpunkt aktiviert behalten, kommunizieren Worker mit dem Master immer über das private Netz, während Ihre Benutzer mit dem Master entweder über das öffentliche oder über das private Netz kommunizieren können.
• Wenn Sie den Private-Cloud-Serviceendpunkt aktivieren, jedoch den Public-Cloud-Serviceendpunkt inaktivieren, müssen Worker und Benutzer mit dem Master über das private Netz kommunizieren.

Sie können den Endpunkt des Private-Cloud-Dienstes nicht mehr deaktivieren, nachdem Sie ihn aktiviert haben.

1. Aktivieren Sie VRF in Ihrem Konto für die IBM Cloud-Infrastruktur. Mit dem Befehl ibmcloud account show können Sie überprüfen, ob VRF bereits aktiviert ist.

2. Aktivieren Sie Ihr IBM Cloud-Konto zur Verwendung von Serviceendpunkten.

3. Aktivieren Sie den Private-Cloud-Serviceendpunkt.

   ibmcloud ks cluster master private-service-endpoint enable --cluster CLUSTER_NAME_OR_ID
   

4. Aktualisieren Sie den API-Server des Kubernetes-Masters, sodass er den Private-Cloud-Serviceendpunkt verwendet, indem Sie der CLI-Eingabeaufforderung folgen oder den folgenden Befehl manuell ausführen. Die Aktualisierung des Masters kann mehrere Minuten dauern.

   ibmcloud ks cluster master refresh --cluster CLUSTER_NAME_OR_ID
   

5. Erstellen Sie eine Konfigurationszuordnung (Configmap), um die maximale Anzahl von Workerknoten zu steuern, die gleichzeitig in Ihrem Cluster nicht verfügbar sein können. Wenn Sie Ihre Workerknoten aktualisieren, hilft die Konfigurationszuordnung bei der Vermeidung von Ausfallzeiten für Ihre Apps, wenn die Apps ordentlich auf verfügbaren Workerknoten erneut geplant werden.

6. Aktualisieren Sie alle Workerknoten in Ihrem Cluster, um die Konfiguration des Private-Cloud-Serviceendpunkts aufzunehmen.

   Durch Absetzen des Update-Befehls werden die Workerknoten erneut geladen, um die Konfiguration des Serviceendpunkts aufzunehmen. Wenn keine Workeraktualisierung verfügbar ist, müssen Sie Workerknoten manuell erneut laden. Wenn Sie erneut laden, stellen Sie sicher, dass Sie die Bestellung abriegeln ('cordon'), entleeren ('drain') und verwalten, um die maximale Anzahl der Workerknoten zu steuern, die gleichzeitig nicht verfügbar sind.

   ibmcloud ks worker update --cluster CLUSTER_NAME_OR_ID --worker WORKER1,WORKER2
   

7. Optional: Wenn Sie nur den Private-Cloud-Serviceendpunkt verwenden wollen:

   1. Inaktivieren Sie den Public-Cloud-Serviceendpunkt.

       ibmcloud ks cluster master public-service-endpoint disable --cluster CLUSTER_NAME_OR_ID
       ```
   2. [Konfigurieren Sie den Zugriff auf den Master am Private-Cloud-Serviceendpunkt](/docs/containers?topic=containers-access-private-classic).
   
   
   
   

VLAN-Verbindungen für Workerknoten ändern

Wenn Sie einen Cluster erstellen, wählen Sie aus, ob Ihre Workerknoten mit einem privaten und einem öffentlichen VLAN oder nur mit einem privaten VLAN verbunden werden sollen. Ihre Workerknoten gehören zu Worker-Pools, die Netzmetadaten speichern, die die VLANs enthalten, die zur Bereitstellung zukünftiger Workerknoten im Pool verwendet werden sollen. Sie haben die Möglichkeit, die Einrichtung der VLAN-Konnektivität Ihres Clusters später zu ändern, wie zum Beispiel in folgenden Fällen.

• Die Kapazität der VLANs für den Worker-Pool in einer Zone wird knapp und Sie müssen ein neues VLAN bereitstellen, das Ihre Cluster-Workerknoten verwenden können.
• Sie haben einen Cluster mit Workerknoten, die sich sowohl in öffentlichen als auch in privaten VLANs befinden, Sie wollen jedoch zu einem rein privaten Cluster wechseln.
• Sie haben einen reinen privaten Cluster, Sie wollen jedoch einige Workerknoten als Worker-Pool von Edge-Knoten im öffentlichen VLAN haben, um Ihre Apps im Internet zugänglich zu machen.

Versuchen Sie stattdessen den Serviceendpunkt für die Kommunikation zwischen Master- und Workerknoten zu ändern? Prüfen Sie die Abschnitte zur Einrichtung öffentlicher und privater Serviceendpunkte.

Wenn Sie alle Worker aus einem VLAN entfernen, wird die IP-Adresse der Ingress-ALB in der Zone des VLAN entfernt.

Melden Sie sich an Ihrem Konto an. If applicable, target the appropriate resource group. Legen Sie den Kontext für den Cluster fest.

Gehen Sie wie folgt vor, um die VLANs zu ändern, die ein Worker-Pool zur Bereitstellung von Workerknoten verwendet:

1. Listen Sie die Namen der Worker-Pools in Ihrem Cluster auf.

   ibmcloud ks worker-pool ls --cluster CLUSTER_NAME_OR_ID
   

2. Bestimmen Sie die Zonen für einen der Worker-Pools. Suchen Sie in der Ausgabe nach dem Feld Zones.

   ibmcloud ks worker-pool get --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
   

3. Ermitteln Sie für jede Zone, die Sie im vorherigen Schritt gefunden haben, ein verfügbares öffentliches VLAN und ein verfügbares privates VLAN, die miteinander kompatibel sind.

   1. Prüfen Sie die verfügbaren öffentlichen und privaten VLANs, die unter Type in der Ausgabe aufgelistet werden.

       ibmcloud ks vlan ls --zone ZONE
       ```
   2. Prüfen Sie, ob die öffentlichen und privaten VLANs in der Zone kompatibel sind. Um kompatibel zu sein, muss der **Router** dieselbe Pod-ID aufweisen. In der folgenden Beispielausgabe stimmen die Pod-IDs für **Router** überein: `01a` und `01a`. Wenn eine Pod-ID `01a` und die andere `02a` war, können diese öffentlichen und privaten VLAN-IDs für Ihren Workerpool nicht festgelegt werden.
   ```sh {: screen}
       ID        Name   Number   Type      Router         Supports Virtual Workers
       229xxxx          1234     private   bcr01a.dal12   true
       229xxxx          5678     public    fcr01a.dal12   true
       ```
   3. Wenn Sie ein neues öffentliches oder privates VLAN für die Zone bestellen müssen, können Sie über die [IBM Cloud-Konsole](/docs/vlans?topic=vlans-ordering-premium-vlans#ordering-premium-vlans) bestellen oder den folgenden Befehl verwenden. Beachten Sie, dass die VLANs mit übereinstimmenden Pod-IDs für **Router** wie im vorherigen Schritt kompatibel sein müssen. Wenn Sie ein Paar aus einem neuen öffentlichen VLAN und einem neuen privaten VLAN erstellen, müssen diese miteinander kompatibel sein.
   ```sh {: pre}
       ibmcloud sl vlan create -t [public|private] -d <zone> -r <compatible_router>
       ```
   4. Notieren Sie die IDs der kompatiblen VLANs.
   
   

4. Richten Sie einen Worker-Pool mit den neuen VLAN-Netzmetadaten für jede Zone ein. Sie können einen neuen Worker-Pool erstellen oder einen vorhandenen Worker-Pool ändern.

   • Einen Worker-Pool erstellen: Informationen zum Hinzufügen von Worker-Knoten durch Erstellen eines neuen Worker-Pools finden Sie hier.

   • Vorhandenen Worker-Pool ändern: Legen Sie die Netzmetadaten des Worker-Pools zur Verwendung des VLAN für jede Zone fest. Workerknoten, die bereits im Pool erstellt wurden, verwenden weiterhin die vorherigen VLANs, während neue Workerknoten im Pool die neuen VLAN-Metadaten verwenden, die Sie festlegen.

   • Beispiel für das Hinzufügen eines öffentlichen und eines privaten VLAN wie beim Wechseln von einer rein privaten Netzkonfiguration zu einer privaten und öffentlichen Netzkonfiguration:

       ibmcloud ks zone network-set --zone ZONE --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --private-vlan PRIVATE_VLAN_ID --public-vlan PUBLIC_VLAN_ID
       ```
   - Beispiel für das Hinzufügen eines privaten VLAN wie beim Wechsel von öffentlichen und privaten VLANs zu nur privaten, wenn Sie ein [VRF-aktiviertes Konto, das Serviceendpunkte verwendet,](/docs/account?topic=account-vrf-service-endpoint) haben:
   
   ```sh {: pre}
       ibmcloud ks zone network-set --zone ZONE --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --private-vlan PRIVATE_VLAN_ID --private-only
       ```
   

5. Fügen Sie dem Worker-Pool Workerknoten hinzu, indem Sie die Größe des Pools ändern.

   ibmcloud ks worker-pool resize --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --size-per-zone NUMBER_OF_WORKERS_PER_ZONE
   

   Wenn Sie Workerknoten, die die vorherigen Netzmetadaten verwenden, entfernen wollen, ändern Sie die Anzahl der Worker pro Zone, um die vorherige Anzahl der Worker pro Zone zu verdoppeln. In späteren dieser Schritte können Sie die vorherigen Workerknoten abriegeln ('cordon'), entleeren ('drain') und entfernen.

6. Überprüfen Sie in der Ausgabe, dass die neuen Workerknoten mit den entsprechenden Adressen für Public IP (öffentliche IP) und Private IP (private IP) erstellt wurden. Beispiel: Wenn Sie den Worker-Pool von einem öffentlichen und privaten VLAN in ein nur privates VLAN ändern, haben die neuen Workerknoten nur eine private IP-Adresse. Wenn Sie den Worker-Pool von nur privaten VLANs in öffentliche und private VLANs ändern, haben die Workerknoten sowohl öffentliche als auch private IP-Adressen.

   ibmcloud ks worker ls --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
   

7. Optional: Entfernen Sie die Workerknoten mit den vorherigen Netzmetadaten aus dem Worker-Pool.

   1. Notieren Sie in der Ausgabe des vorherigen Schritts die ID des Workerknotens, der im Worker-Pool entfernt werden soll.
   2. Entfernen Sie den Workerknoten.

       ibmcloud ks worker rm --cluster CLUSTER_NAME_OR_ID --worker WORKER_NAME_OR_ID
       ```
   3. Überprüfen Sie, ob der Workerknoten entfernt wurde.
   ```sh {: pre}
       ibmcloud ks worker ls --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
       ```
   4. Gleichen Sie den Workerpool neu aus.
   ```sh {: pre}
       ibmcloud ks worker-pool rebalance --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
       ```
   
   
   

8. Optional: Wiederholen Sie die Schritte 2 bis 7 für jeden Worker-Pool in Ihrem Cluster. Nachdem Sie diese Schritte ausgeführt haben, sind alle Workerknoten in Ihrem Cluster mit den neuen VLANs eingerichtet.

9. Die Standard-ALBs in Ihrem Cluster sind weiterhin an das alte VLAN gebunden, weil die IP-Adressen dieser ALBs aus einem Teilnetz in diesem VLAN stammen. Da ALBs nicht zwischen VLANs verschoben werden können, können Sie stattdessen ALBs in den neuen VLANs erstellen und ALBs in den alten VLANs inaktivieren.

10. Optional: Wenn Sie die Teilnetze in den alten VLANs nicht mehr benötigen, können Sie sie entfernen.