Kubernetes-Cluster erstellen

Ein minimaler Cluster mit einer (1) Zone und einem (1) Arbeitsknoten ist für dieses Tutorial ausreichend.

Bei der Erstellung des folgenden Kubernetes-Clusters:

1. Setzen Sie Clustername auf my-us-cluster.

2. Positionieren Sie den Cluster in Nordamerika und Dallas.

3. Öffnen Sie die Kubernetes clusters und klicken Sie auf Create cluster.

4. Erstellen Sie einen Cluster auf der Infrastruktur Ihrer Wahl.

   • Die folgenden Schritte sind auszuführen, wenn Sie VPC für Kubernetes in der VPC-Infrastruktur auswählen. Sie müssen eine VPC und ein Teilnetz erstellen, bevor Sie den Kubernetes-Cluster erstellen. Weitere Details finden Sie in der Dokumentation VPC-Cluster erstellen.

     1. Klicken Sie auf VPC erstellen.
     2. Wählen Sie im Abschnitt Standort eine Geografie und eine Region aus, z. B. North America und Dallas.
     3. Geben Sie einen Namen für Ihre VPC ein, wählen Sie eine Ressourcengruppe und fügen Sie optional Tags hinzu, um Ihre Ressourcen zu organisieren.
     4. Wählen Sie SSH zulassen und Ping zulassen in der Standardsicherheitsgruppe ab.
     5. Deaktivieren Sie die Option Subnetz in jeder Zone erstellen.
     6. Klicken Sie auf Erstellen.
     7. Wählen Sie unter Workerzonen und Teilnetze die beiden Zonen ab, für die das Teilnetz nicht erstellt wurde.
     8. Setzen Sie die Arbeiterknoten pro Zone auf 1 und klicken Sie auf Variante ändern, um die gewünschte Variante der Arbeiterknoten zu erkunden und zu wechseln.
     9. Aktivieren Sie unter Ingress das Ingress-Management geheimer Schlüssel und wählen Sie Ihre vorhandene Instanz von Secrets Manager aus.
     10. Geben Sie einen Clusternamen ein und wählen Sie dieselbe Ressourcengruppe aus, die Sie für die VPC verwendet haben.
     11. Protokollierung oder Überwachung sind in diesem Lernprogramm nicht erforderlich. Inaktivieren Sie diese Optionen und klicken Sie auf Create.
     12. Wenn Sie warten, bis der Cluster aktiv wird, hängen Sie ein öffentliches Gateway an die VPC an. Navigieren Sie zu Virtual Private Clouds.
     13. Klicken Sie auf den Namen der VPC, die vom Cluster verwendet wird, und blättern Sie abwärts zum Abschnitt mit den Teilnetzen.
     14. Klicken Sie auf den Namen des zuvor erstellten Teilnetzes und im Abschnitt Public Gateway auf Abgehängt, um den Status in Zugeordnet zu ändern.

   • Die folgenden Schritte werden ausgeführt, wenn Sie Classic für Kubernetes in der Classic-Infrastruktur auswählen. Weitere Details finden Sie in der Dokumentation zum Erstellen eines klassischen Standardclusters.

     1. Wählen Sie im Abschnitt Standort eine Geografie, Verfügbarkeit mit mehreren Zonen und Metro aus, z. B. North America und Dallas.
     2. Wählen Sie unter Workerzonen und VLANs alle Zonen mit Ausnahme einer ab.
     3. Setzen Sie die Arbeiterknoten pro Zone auf 1 und klicken Sie auf Variante ändern, um die gewünschte Variante der Arbeiterknoten zu erkunden und zu wechseln.
     4. Wählen Sie unter Master-Serviceendpunkt die Option Private und öffentliche Endpunkte aus.
     5. Aktivieren Sie unter Ingress das Ingress-Management geheimer Schlüssel und wählen Sie Ihre vorhandene Instanz von Secrets Manager aus.
     6. Geben Sie einen Clusternamen ein und wählen Sie die Ressourcengruppe aus, unter der diese Ressourcen erstellt werden.
     7. Protokollierung oder Überwachung sind in diesem Lernprogramm nicht erforderlich. Inaktivieren Sie diese Optionen und klicken Sie auf Create.

Während der Cluster für den Einsatz vorbereitet wird, bereiten Sie die Anwendung vor.

Anwendung im Kubernetes-Cluster bereitstellen

Der Cluster ist nun bereit. Sie können seinen Status in der Kubernetes Service-Konsole überprüfen.

1. Stellen Sie Zugriff auf Ihren Cluster her, indem Sie die auf der Registerkarte 'Zugriff' Ihres Clusters beschriebene Vorgehensweise anwenden. Ähnlich wie Folgendes:

   MYCLUSTER=my-us-cluster
   ibmcloud ks cluster config --cluster $MYCLUSTER
   

2. Erstellen Sie die Implementierung mit einem vordefinierten Image der Anwendung. Der Anwendungsquellcode befindet sich in diesem GitHub-Repository.

   kubectl create deploy hello-world-deployment --image=icr.io/solution-tutorials/tutorial-scalable-webapp-kubernetes
   

   Beispielausgabe: deployment "hello-world-deployment" created.

3. Machen Sie die Anwendung im Cluster zugänglich, indem Sie einen Service erstellen:

   kubectl expose deployment/hello-world-deployment --type=ClusterIP --port=80 --name=hello-world-service --target-port=3000
   

   Es wird eine Nachricht wie service "hello-world-service" exposed zurückgegeben. Zum Anzeigen der Services:

   kubectl get services
   

4. Führen Sie die Anwendung im Cluster mit zwei Replikaten aus:

   kubectl scale deployment hello-world-deployment --replicas=2
   

5. Mit folgendem Befehl können Sie den Status der Bereitstellung prüfen:

   kubectl get pods
   

Ingress-Unterdomäne abrufen, die dem Cluster zugeordnet ist

Wenn ein Kubernetes-Cluster erstellt wird, wird ihm eine Ingress-Subdomäne (z. B., my-us-cluster.us-south.containers.appdomain.cloud ) und eine öffentliche Application Load Balancer-IP-Adresse zugewiesen.

1. Rufen Sie die Ingress-Unterdomäne des Clusters ab:

   ibmcloud ks cluster get --cluster $MYCLUSTER
   

   Suchen Sie den Wert für Ingress Subdomain.
2. Notieren Sie diese Informationen für einen späteren Schritt.

In diesem Lernprogramm wird die Ingress-Unterdomäne verwendet, um die globale Lastausgleichsfunktion zu konfigurieren. Sie könnten die Ingress-Unterdomäne auch durch die öffentliche Lastausgleichsfunktion für Anwendungen (ALB = Application Load Balancer) des Clusters ersetzen. Eine <IngressSubdomain> sieht etwa so aus my-us-cluster-e7f2ca73139645ddf61a8702003a483a-0000.us-south.containers.appdomain.cloud

Ingress für Ihre DNS-Unterdomäne konfigurieren

Es wird ein eigener DNS-Domainname benötigt und eine globale Load Balancer-Subdomain wird in der folgenden Aufgabe erstellt: <glb_name>.<your_domain_name>. Beispiel: hello-world-service.example.com <glb_name> = hello-world-service und <your_domain_name> = example.com

1. Erstellen Sie die Datei "glb-ingress.yaml" und ersetzen Sie die Platzhalter durch die entsprechenden Werte:

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
    name: <glb-name>
    annotations:
      spec.ingressClassName: "public-iks-k8s-nginx"
   spec:
    rules:
    - host: <glb-name>.<your_domain_name>
      http:
        paths:
        - path: /
          pathType: Prefix
          backend:
            service:
              name: hello-world-service
              port:
                number: 80
   

2. Fügen Sie die Ingress-Instanz hinzu:

   kubectl apply -f glb-ingress.yaml
   

   Es kann einige Minuten dauern, bis Ingress verfügbar wird, wie durch einen Wert in der Spalte ADDRESS (Adresse) im Befehl angegeben:

   kubectl get ingress
   

3. Testen Sie jetzt, indem Sie den curl-Host-HTTP-Header mit Ihrem DNS-Unterdomänennamen konfigurieren, um den Standardwert von <IngressSubdomain> zu überschreiben:

   curl --header 'Host: <glb_name>.<your_domain_name>' <IngressSubdomain>/hostname
   

   Der Befehl curl würde etwa so aussehen: curl --header 'Host: hello-world-service.ibmom.com' my-us-cluster-e7f2ca73139645ddf61a8702003a483a-0000.us-south.containers.appdomain.cloud/hostname

Angepasste Domäne bei IBM Cloud Internet Services registrieren

Der erste Schritt besteht darin, eine Instanz von CIS zu erstellen und Ihre angepasste Domäne auf CIS-Namensserver zu verweisen.

1. Wenn Sie keine eigene Domäne besitzen, können Sie eine bei einer Registrierungsstelle kaufen.

2. Navigieren Sie zu IBM Cloud Internet Services im Katalog IBM Cloud.

3. Wählen Sie einen Plan aus, legen Sie den Servicenamen und die Ressourcengruppe fest und klicken Sie auf Erstellen, um eine Instanz des Service zu erstellen.

4. Wenn die Serviceinstanz bereitgestellt wurde, klicken Sie auf Domäne hinzufügen.

5. Geben Sie Ihren Domänennamen ein und klicken Sie auf Weiter.

6. Die Konfiguration Ihrer DNS-Datensätze in ein optionaler Schritt und kann bei diesem Lernprogramm übersprungen werden. Klicken Sie auf Weiter.

7. Wenn die Namensserver zugeordnet sind, konfigurieren Sie Ihren Registrator oder Domänennamenprovider so, dass die aufgelisteten Namensserver verwendet werden.

8. An diesem Punkt können Sie auf Abbrechen klicken, um zur Hauptseite zurückzukehren. Nachdem Sie Ihren Registrator oder den DNS-Provider konfiguriert haben, kann es bis zu 24 Stunden lang dauern, bis die Änderungen wirksam werden.

   Wenn sich der Domänenstatus auf der Übersichtsseite von Anstehend in Aktiv ändert, können Sie mit dem Befehl dig <your_domain_name> ns überprüfen, ob die neuen Namensserver wirksam wurden.

Statusprüfung für globale Lastausgleichsfunktion konfigurieren

Statusprüfungen überwachen Antworten auf HTTP/HTTPS-Anforderungen von Ursprungspools in festgelegten Intervallen. Sie werden mit Ursprungspools verwendet, um festzustellen, ob die Pools noch ordnungsgemäß ausgeführt werden.

1. Wählen Sie im IBM Cloud Internet Services Dashboard über das Navigationsmenü die Option Zuverlässigkeit > Globale Load Balancer.

2. Wählen Sie die Registerkarte Statusprüfungen aus und klicken Sie auf Erstellen.

   1. Legen Sie für Name die Angabe hello-world-service fest.
   2. Legen Sie für Überwachungstyp die Angabe HTTP.
   3. Legen Sie für Port die Angabe 80 fest.
   4. Legen Sie für Pfad die Angabe / fest.
   5. Fügen Sie unter Anforderungsheader konfigurieren (optional) den Headernamen: Host und den Wert: <glb_name>.<your_domain_name> hinzu.
   6. Klicken Sie auf Erstellen.

   Wenn Sie Ihre eigenen Anwendungen erstellen, können Sie einen dedizierten Statusendpunkt wie /heathz definieren, an dem Sie den Anwendungsstatus melden.

Ursprungspools definieren

Ein Pool ist eine Gruppe von Ursprungsservern, an die der Datenverkehr intelligent weitergeleitet wird, wenn sie an eine globale Lastausgleichsfunktion angeschlossen ist. Bei Clustern in Großbritannien und den Vereinigten Staaten können Sie standortbasierte Pools definieren und CIS so konfigurieren, dass Benutzer abhängig vom Standort der Benutzeranforderung an den nächstgelegenen Cluster weitergeleitet werden.

Globale Lastausgleichsfunktion erstellen

Wenn die ursprünglichen Pools definiert sind, können Sie die Konfiguration der Lastausgleichsfunktion abschließen.

1. Wählen Sie die Registerkarte Lastausgleichsfunktionen aus und klicken Sie auf Erstellen.

2. Geben Sie einen Namen, <glb_name>, unter Name für die globale Lastausgleichsfunktion ein. Dieser Name ist, unabhängig von der Position, auch Teil Ihrer universellen Anwendungs-URL (http://<glb_name>.<your_domain_name>).

3. Klicken Sie unter Georouten auf Route hinzufügen.

   1. Wählen Sie Standard aus der Dropdown-Liste Region.
   2. Wählen Sie den Pool US.
   3. Klicken Sie auf Hinzufügen.

   Wiederholen Sie den Prozess, um Folgendes zu erstellen:

   Liste der zu erstellenden geografischen Routen

   Bereich	Ursprungspool
   Standard	USA
   Westeuropa	Vereinigtes Königreich
   Osteuropa	Vereinigtes Königreich
   Nordostasien	Vereinigtes Königreich
   Südostasien	Vereinigtes Königreich
   Westliches Nordamerika	USA
   Östliches Nordamerika	USA

   Mit dieser Konfiguration werden die Benutzer in Europa und Asien an den Cluster in London, Benutzer in den USA an den Cluster in Dallas weitergeleitet. Wenn eine Anfrage keiner der festgelegten Routen entspricht, wird sie an den/die Pool(s) in der Standardregion weitergeleitet.

4. Klicken Sie auf Erstellen

In diesem Stadium haben Sie erfolgreich einen Global Load Balancer mit Kubernetes Clustern über viele Standorte hinweg konfiguriert. Sie können auf die GLB-URL http://<glb_name>.<your_domain_name>/hostname zugreifen, um Ihre Anwendung anzuzeigen. Basierend auf Ihrem Standort werden Sie an den am nächsten gelegenen Cluster weitergeleitet (oder an einen Cluster aus dem Standardpool, wenn CIS Ihre IP-Adresse keinem bestimmten Standort zuordnen konnte).

Web Application Firewall aktivieren

Web Application Firewall (WAF) schützt Ihre Webanwendung vor ISO Layer-7-Angriffen. In der Regel wird die Firewall mit gruppierten Regelsätzen kombiniert, die darauf abzielen, Schutz vor Schwachstellen in der Anwendung zu bieten, indem schädlicher Datenverkehr herausgefiltert wird.

1. Navigieren Sie im IBM Cloud Internet Services-Dashboard zu Sicherheit und klicken Sie dann auf WAF.
2. Stellen Sie sicher, dass die WAF mit der Einstellung Ein aktiviert ist.
3. Klicken Sie auf OWASP-Regelsatz. Auf dieser Seite können Sie den OWASP-Kernregelsatz überprüfen und die Regeln einzeln aktivieren oder inaktivieren. Wenn eine Regel aktiviert ist und eine eingehende Anforderung die Regel auslöst, wird die globale Bedrohungsquote erhöht. Die Einstellung für die Sensitivität legt fest, ob eine Aktion für die Anforderung ausgelöst wird.
   1. Übernehmen Sie die OWASP-Standardregelsätze.
   2. Legen Sie Sensitivität auf Low fest.
   3. Setzen Sie Aktion auf Simulate, um alle Ereignisse zu protokollieren.
4. Klicken Sie auf CIS-Regelsatz. Auf dieser Seite werden zusätzliche Regeln angezeigt, die auf der Grundlage allgemeiner Technologiestacks zum Hosten von Websites erstellt wurden.

Für eine gesicherte Verbindung mit HTTPS können Sie entweder ein Zertifikat von Let's Encrypt erhalten oder über IBM Cloud Secrets Manager.

Höhere Leistung und Schutz vor Denial-of-Service-Attacken

Eine verteilte Denial-of-Service-Attacke (DDoS) ist ein böswilliger Versuch, den normalen Datenverkehr eines Servers, Services oder Netzes zu unterbrechen, indem das Ziel oder seine umgebende Infrastruktur mit einer Flut an Internetdatenverkehr überlastet wird. CIS ist zum Schutz Ihrer Domäne vor DDoS ausgestattet.

1. Wählen Sie im CIS-Dashboard Zuverlässigkeit > Globale Lastausgleichsfunktion aus.

2. Suchen Sie die von Ihnen erstellte globale Lastausgleichsfunktion in der Tabelle mit den Lastausgleichsfunktionen.

3. Aktivieren Sie in der Spalte Proxy die Sicherheits- und Leistungsfunktionen:

   

Ihre globale Lastausgleichsfunktion ist jetzt geschützt. Ein unmittelbarer Vorteil ist, dass die Ursprungs-IP-Adressen Ihrer Cluster für die Clients nicht sichtbar sind. Wenn CIS eine Sicherheitsbedrohung für eine bevorstehende Anforderung erkennt, wird der Benutzer möglicherweise eine Anzeige wie diese sehen, bevor er an Ihre Anwendung umgeleitet wird:

Darüber hinaus können Sie jetzt steuern, welche Inhalte von CIS im Cache gespeichert werden und wie lange diese dort verbleiben. Rufen Sie Leistung > Caching auf, um die globale Cachingebene und das Ablaufdatum des Browsers zu definieren. Sie können die globalen Sicherheits- und Caching-Regeln mit Seitenregeln anpassen. Seitenregeln ermöglichen mithilfe bestimmter Domänenpfade eine differenzierte Konfiguration. Als Beispiel für Seitenregeln könnten Sie sich entscheiden, den gesamten Inhalt unter /assets für 3 Tage im Cache zu speichern:

Kubernetes-Clusterressourcen entfernen

1. Entfernen Sie Ingress, indem Sie den folgenden Befehl ausführen:

   kubectl delete -f glb-ingress.yaml
   

2. Entfernen Sie den Service, indem Sie den folgenden Befehl ausführen:

   kubectl delete service hello-world-service
   

3. Entfernen Sie die Bereitstellung, indem Sie den folgenden Befehl ausführen:

   kubectl delete deployment hello-world-deployment
   

4. Löschen Sie die Cluster, falls Sie diese speziell für dieses Lernprogramm erstellt haben.

CIS-Ressourcen entfernen

1. Entfernen Sie die globale Lastausgleichsfunktion.
2. Entfernen Sie die Ursprungspools.
3. Entfernen Sie die Statusprüfungen.
4. Aktualisieren Sie das DNS für Ihre angepasste Domäne.
5. Löschen Sie die Instanz CIS, wenn Sie sie speziell für dieses Tutorial erstellt haben.