Configurazione dell'endpoint del servizio cloud privato

Abilita l'endpoint del servizio cloud privato per il tuo cluster.

L'endpoint del servizio cloud privato rende accessibile in modo privato il tuo master Kubernetes. I tuoi nodi di lavoro e gli utenti del cluster autorizzati possono comunicare con il master Kubernetes sulla rete privata. Per verificare se è possibile abilitare l'endpoint del servizio cloud privato, consultare la sezione " Comunicazione da worker a master e da utente a master ". Si noti che non è possibile disattivare l'endpoint del servizio cloud privato dopo averlo attivato.

Hai creato un cluster con un solo endpoint di servizio del cloud privato prima di abilitare il tuo account per i VRF e gli endpoint di servizio? Prova a configurare l'endpoint del servizio cloud pubblico in modo da poter continuare a utilizzare il tuo cluster fino a quando le tue richieste di assistenza non saranno state elaborate per l'aggiornamento del tuo account.

1. Abilita VRF nel tuo account dell'infrastruttura IBM Cloud. Per controllare se una VRF è già abilitata, utilizza il comando ibmcloud account show.

2. Abilita il tuo account IBM Cloud per l'utilizzo degli endpoint del servizio.

3. Abilita l'endpoint del servizio cloud privato.

   ibmcloud ks cluster master private-service-endpoint enable --cluster CLUSTER_NAME_OR_ID
   

4. Aggiorna il server API master di Kubernetes per utilizzare l'endpoint del servizio cloud privato. Puoi seguire la richiesta nella CLI o eseguire manualmente il seguente comando. L'aggiornamento del master potrebbe richiedere alcuni minuti.

   ibmcloud ks cluster master refresh --cluster CLUSTER_NAME_OR_ID
   

5. Crea una mappa di configurazione per controllare il numero massimo di nodi di lavoro che possono essere non disponibili contemporaneamente nel tuo cluster. Quando aggiorni i tuoi nodi di lavoro, la mappa di configurazione aiuta ad evitare tempi di inattività per le tue applicazioni in quanto le applicazioni vengono ripianificate ordinatamente sui nodi di lavoro disponibili.

6. Aggiorna tutti i nodi di lavoro del tuo cluster affinché acquisiscano la configurazione dell'endpoint del servizio cloud privato.

   Immettendo il comando di aggiornamento, i nodi di lavoro vengono ricaricati per acquisire la configurazione dell'endpoint del servizio. Se non è disponibile alcun aggiornamento di nodi di lavoro, devi ricaricare manualmente i nodi di lavoro. Se ricarichi, assicurati di delimitare, svuotare e gestire l'ordine per controllare il numero massimo di nodi di lavoro che non sono disponibili contemporaneamente.

   ibmcloud ks worker update --cluster CLUSTER_NAME_OR_ID --worker WORKER1,WORKER2
   

7. Se il cluster si trova in un ambiente dietro un firewall:

   • Consenti agli utenti autorizzati del cluster di eseguire i comandi kubectl per accedere al master tramite l'endpoint del servizio cloud privato.
   • Consenti il traffico di rete in uscita verso gli IP privati per le risorse dell'infrastruttura e per i servizi IBM Cloud che intendi utilizzare.

8. Opzionale: per utilizzare esclusivamente l'endpoint del servizio cloud privato:

   1. Disabilita l'endpoint del servizio cloud pubblico.
   2. Configurare l'accesso al master sull'endpoint del servizio cloud privato.

Configurazione dell'endpoint del servizio cloud pubblico

Abilita o disabilita l'endpoint del servizio cloud pubblico per il tuo cluster.

L'endpoint del servizio cloud pubblico rende accessibile al pubblico il master di Kubernetes. I tuoi nodi di lavoro e gli utenti del cluster autorizzati possono comunicare in modo sicuro con il master Kubernetes sulla rete pubblica. Per ulteriori informazioni, vedi Comunicazioni nodo di lavoro-master e utente-master.

Passaggio dall'endpoint del servizio cloud pubblico all'endpoint del servizio cloud privato

Consenti ai nodi di lavoro di comunicare con il master tramite la rete privata anziché quella pubblica, abilitando l'endpoint del servizio cloud privato.

Tutti i cluster collegati a una VLAN pubblica e a una privata utilizzano per impostazione predefinita l'endpoint del servizio cloud pubblico. I tuoi nodi di lavoro e gli utenti del cluster autorizzati possono comunicare in modo sicuro con il master Kubernetes sulla rete pubblica. Per consentire ai nodi di lavoro di comunicare con il master di Kubernetes tramite la rete privata anziché quella pubblica, è possibile abilitare l'endpoint del servizio cloud privato. A questo punto, è possibile, se lo si desidera, disattivare l'endpoint del servizio cloud pubblico.

• Se si abilita l'endpoint del servizio cloud privato e si mantiene abilitato anche quello del servizio cloud pubblico, i worker comunicano sempre con il master tramite la rete privata, mentre gli utenti possono comunicare con il master sia tramite la rete pubblica che tramite quella privata.
• Se si abilita l'endpoint del servizio cloud privato ma si disabilita quello del servizio cloud pubblico, i worker e gli utenti dovranno comunicare con il master tramite la rete privata.

Non è possibile disattivare l'endpoint del servizio cloud privato dopo averlo attivato.

1. Abilita VRF nel tuo account dell'infrastruttura IBM Cloud. Per controllare se una VRF è già abilitata, utilizza il comando ibmcloud account show.

2. Abilita il tuo account IBM Cloud per l'utilizzo degli endpoint del servizio.

3. Abilita l'endpoint del servizio cloud privato.

   ibmcloud ks cluster master private-service-endpoint enable --cluster CLUSTER_NAME_OR_ID
   

4. Aggiornare il server API master di Kubernetes per utilizzare l'endpoint del servizio cloud privato seguendo le istruzioni della CLI oppure eseguendo manualmente il comando riportato di seguito. L'aggiornamento del master potrebbe richiedere alcuni minuti.

   ibmcloud ks cluster master refresh --cluster CLUSTER_NAME_OR_ID
   

5. Crea una mappa di configurazione per controllare il numero massimo di nodi di lavoro che possono essere non disponibili contemporaneamente nel tuo cluster. Quando aggiorni i tuoi nodi di lavoro, la mappa di configurazione aiuta ad evitare tempi di inattività per le tue applicazioni in quanto le applicazioni vengono ripianificate ordinatamente sui nodi di lavoro disponibili.

6. Aggiorna tutti i nodi di lavoro del tuo cluster affinché acquisiscano la configurazione dell'endpoint del servizio cloud privato.

   Immettendo il comando di aggiornamento, i nodi di lavoro vengono ricaricati per acquisire la configurazione dell'endpoint del servizio. Se non è disponibile alcun aggiornamento di nodi di lavoro, devi ricaricare manualmente i nodi di lavoro. Se ricarichi, assicurati di delimitare, svuotare e gestire l'ordine per controllare il numero massimo di nodi di lavoro che non sono disponibili contemporaneamente.

   ibmcloud ks worker update --cluster CLUSTER_NAME_OR_ID --worker WORKER1,WORKER2
   

7. Opzionale: per utilizzare esclusivamente l'endpoint del servizio cloud privato:

   1. Disattivare l'endpoint del servizio cloud pubblico.

       ibmcloud ks cluster master public-service-endpoint disable --cluster CLUSTER_NAME_OR_ID
       ```
   2. [Configurare l'accesso al master sull'endpoint del servizio cloud privato](/docs/containers?topic=containers-access-private-classic).
   
   
   
   

Modifica delle connessioni VLAN dei tuoi nodi di lavoro

Quando crei un cluster, scegli se connettere i tuoi nodi di lavoro a una VLAN pubblica e a una privata o solo a una VLAN privata. I tuoi nodi di lavoro fanno parte dei pool di nodi di lavoro, che memorizzano i metadati di rete che includono le VLAN da utilizzare per il provisioning dei futuri nodi di lavoro nel pool. Potresti voler modificare la configurazione della connettività VLAN del tuo cluster in un secondo momento, in casi come quelli che seguono.

• Le VLAN del pool di nodi lavoro in una zona esauriscono la capacità e devi eseguire il provisioning di una nuova VLAN che verrà utilizzata dai nodi di lavoro del tuo cluster.
• Hai un cluster con nodi di lavoro che si trovano su VLAN pubbliche e private, ma vuoi passare a un cluster solo privato.
• Hai un cluster solo privato, ma vuoi alcuni nodi di lavoro come un pool di nodi edge sulla VLAN pubblica per esporre le tua applicazioni su Internet.

Stai provando a cambiare l'endpoint del servizio per le comunicazioni tra master e nodi di lavoro? Controlla gli argomenti per configurare gli endpoint del servizio pubblici e privati.

La rimozione di tutti i nodi di lavoro da una VLAN rimuove l'indirizzo IP dell'ALB Ingress nella zona della VLAN.

Accedi al tuo account. Se applicabile, specifica il gruppo di risorse appropriato. Imposta il contesto per il tuo cluster.

Per modificare le VLAN utilizzate da un pool di nodi di lavoro per eseguire il provisioning dei nodi di lavoro:

1. Elenca i nomi dei pool di nodi di lavoro nel tuo cluster.

   ibmcloud ks worker-pool ls --cluster CLUSTER_NAME_OR_ID
   

2. Determina le zone per uno dei pool di nodi di lavoro. Nell'output, cerca il campo Zones.

   ibmcloud ks worker-pool get --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
   

3. Per ogni zona che hai trovato nel passo precedente, ottieni una VLAN pubblica e una privata disponibili che siano compatibili tra loro.

   1. Controlla le VLAN pubbliche e private disponibili elencate nell'output sotto Type.

       ibmcloud ks vlan ls --zone ZONE
       ```
   2. Controlla che le VLAN pubbliche e private nella zona siano compatibili. Per essere compatibili, il **Router** deve avere lo stesso ID pod. In questo output di esempio, gli ID pod **Router** corrispondono: `01a` e `01a`. Se l'ID di un pod fosse `01a` e quello dell'altro fosse `02a`, non è possibile impostare questi ID VLAN pubblici e privati per il proprio pool di worker.
   ```sh {: screen}
       ID        Name   Number   Type      Router         Supports Virtual Workers
       229xxxx          1234     private   bcr01a.dal12   true
       229xxxx          5678     public    fcr01a.dal12   true
       ```
   3. Se hai bisogno di ordinare una nuova VLAN pubblica o privata per la zona, puoi farlo mediante la [console IBM Cloud](/docs/vlans?topic=vlans-ordering-premium-vlans#ordering-premium-vlans) o utilizzando il seguente comando. Ricorda che le VLAN devono essere compatibili, con gli ID pod **Router** corrispondenti come nel passo precedente. Se stai creando una coppia di nuove VLAN pubbliche e private, devono essere compatibili tra loro.
   ```sh {: pre}
       ibmcloud sl vlan create -t [public|private] -d <zone> -r <compatible_router>
       ```
   4. Prendi nota degli ID delle VLAN compatibili.
   
   

4. Configura un pool di nodi lavoro con i nuovi metadati della rete VLAN per ogni zona. Puoi creare un nuovo pool di nodi di lavoro o modificarne uno esistente.

   • Creare un pool di worker: consultare la sezione relativa all'aggiunta di nodi worker tramite la creazione di un nuovo pool di worker.

   • Modifica un pool di nodi di lavoro esistente: imposta i metadati di rete del pool di nodi di lavoro per utilizzare la VLAN per ogni zona. I nodi di lavoro che sono stati già creati nel pool continuano a utilizzare le VLAN precedenti, ma i nuovi nodi di lavoro nel pool utilizzeranno i nuovi metadati della VLAN che hai impostato.

   • Esempio per aggiungere VLAN pubbliche e private, ad esempio se passi da solo privato a privato e pubblico:

       ibmcloud ks zone network-set --zone ZONE --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --private-vlan PRIVATE_VLAN_ID --public-vlan PUBLIC_VLAN_ID
       ```
   - Esempio per aggiungere solo una VLAN privata, ad esempio se passi da VLAN pubbliche e private a solo private quando hai un [account abilitato per VRF che utilizza gli endpoint del servizio](/docs/account?topic=account-vrf-service-endpoint):
   
   ```sh {: pre}
       ibmcloud ks zone network-set --zone ZONE --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --private-vlan PRIVATE_VLAN_ID --private-only
       ```
   

5. Aggiungi i nodi di lavoro al pool di nodi di lavoro ridimensionando il pool.

   ibmcloud ks worker-pool resize --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME --size-per-zone NUMBER_OF_WORKERS_PER_ZONE
   

   Se vuoi rimuovere i nodi di lavoro che utilizzano i metadati di rete precedenti, modifica il numero di nodi di lavoro per ogni zona per raddoppiare il numero precedente di nodi di lavoro per ogni zona. Più avanti in questi passi, puoi delimitare, svuotare e rimuovere i nodi di lavoro precedenti.

6. Nell'output, verifica che i nuovi nodi di lavoro siano creati con gli indirizzi IP pubblico e IP privato appropriati. Ad esempio, se modifichi il pool di nodi lavoro da una VLAN pubblica e privata a solo privata, i nuovi nodi di lavoro hanno solo un IP privato. Se modifichi il pool di nodi di lavoro da una VLAN solo privata a VLAN pubbliche e private, i nuovi nodi di lavoro hanno IP sia pubblici che privati.

   ibmcloud ks worker ls --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
   

7. Facoltativo: rimuovi i nodi di lavoro con i metadati di rete precedenti dal pool di nodi di lavoro.

   1. Nell'output del passo precedente, annota l'ID dei nodi di lavoro che vuoi rimuovere dal pool.
   2. Rimuovi il nodo di lavoro.

       ibmcloud ks worker rm --cluster CLUSTER_NAME_OR_ID --worker WORKER_NAME_OR_ID
       ```
   3. Verifica che il nodo di lavoro venga rimosso.
   ```sh {: pre}
       ibmcloud ks worker ls --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
       ```
   4. Ribilancia il pool di nodi di lavoro.
   ```sh {: pre}
       ibmcloud ks worker-pool rebalance --cluster CLUSTER_NAME_OR_ID --worker-pool POOL_NAME
       ```
   
   
   

8. Facoltativo: ripetere i passaggi da 2 a 7 per ogni gruppo di worker del cluster. Dopo aver completato questi passi, tutti i nodi di lavoro nel cluster sono configurati con le nuove VLAN.

9. Gli ALB predefiniti nel tuo cluster sono ancora associati alla vecchia VLAN perché i loro indirizzi IP provengono da una sottorete su tale VLAN. Poiché gli ALB non possono essere spostati da una VLAN all'altra, è possibile creare degli ALB sulle nuove VLAN e disabilitare quelli sulle vecchie VLAN.

10. Facoltativo: se non hai più bisogno delle sottoreti delle vecchie VLAN, puoi rimuoverle.