Создание кластера Managed Service for Kubernetes

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

Чтобы создать кластер:

1. Укажите параметры кластера Managed Service for Kubernetes в команде создания (в примере приведены не все параметры):

   yc managed-kubernetes cluster create \
     --name test-k8s \
     --network-name default \
     --zone ru-central1-a \
     --subnet-name default-a \
     --public-ip \
     --release-channel regular \
     --version 1.27 \
     --cluster-ipv4-range 10.1.0.0/16 \
     --service-ipv4-range 10.2.0.0/16 \
     --security-group-ids enpe5sdn7vs5********,enpj6c5ifh75******** \
     --service-account-name default-sa \
     --node-service-account-name default-sa \
     --daily-maintenance-window start=22:00,duration=10h
   

   Где:

   • --name — имя кластера Managed Service for Kubernetes.

   • --network-name — имя сети.

     Примечание

     При выборе облачной сети из другого каталога, назначьте сервисному аккаунту для ресурсов следующие роли в этом каталоге:

     • vpc.privateAdmin
     • vpc.user
     • vpc.bridgeAdmin

     Для использования публичного IP-адреса дополнительно назначьте роль vpc.publicAdmin.

   • --zone — зона доступности.

   • --subnet-name — имя подсети.

   • --public-ip — флаг, который указывает, если кластеру Managed Service for Kubernetes требуется публичный IP-адрес.

   • --release-channel — релизный канал.

   • --version — версия Kubernetes. Укажите версию, доступную для выбранного релизного канала.

   • --cluster-ipv4-range — диапазон IP-адресов, из которого будут выделяться IP-адреса для подов.

   • --service-ipv4-range — диапазон IP-адресов, из которого будут выделяться IP-адреса для сервисов.

   • --security-group-ids — список идентификаторов групп безопасности кластера Managed Service for Kubernetes.

     Важно

     От настройки групп безопасности зависит работоспособность и доступность кластера, а также запущенных в нем сервисов.

   • --service-account-id — уникальный идентификатор сервисного аккаунта для ресурсов. От его имени будут создаваться ресурсы, необходимые кластеру Managed Service for Kubernetes.

   • --node-service-account-id — уникальный идентификатор сервисного аккаунта для узлов. От его имени узлы будут скачивать из реестра необходимые Docker-образы.

   • --daily-maintenance-window — настройки окна обновлений.

   Результат:

   done (5m47s)
   id: cathn0s6qobf********
   folder_id: b1g66jflru0e********
   ...
     service_account_id: aje3932acd0c********
     node_service_account_id: aje3932acd0c********
     release_channel: REGULAR
   

2. Чтобы включить контроллер сетевых политик Calico, передайте в команде создания кластера Managed Service for Kubernetes флаг --enable-network-policy:

   yc managed-kubernetes cluster create \
   ...
     --enable-network-policy
   

3. Чтобы использовать ключ шифрования Yandex Key Management Service для защиты конфиденциальной информации, передайте в команде создания кластера Managed Service for Kubernetes его имя или идентификатор:

   yc managed-kubernetes cluster create \
   ...
     --kms-key-name <имя_ключа_шифрования> \
     --kms-key-id <идентификатор_ключа_шифрования>
   

   Важно

   Эту настройку невозможно изменить после создания кластера.

4. Чтобы включить отправку логов в Yandex Cloud Logging, передайте настройки отправки в команде создания кластера Managed Service for Kubernetes в параметре --master-logging:

   yc managed-kubernetes cluster create \
   ...
     --master-logging enabled=<отправка_логов>,`
       `log-group-id=<идентификатор_лог-группы>,`
       `folder-id=<идентификатор_каталога>,`
       `kube-apiserver-enabled=<отправка_логов_kube-apiserver>,`
       `cluster-autoscaler-enabled=<отправка_логов_cluster-autoscaler>,`
       `events-enabled=<отправка_событий_Kubernetes>`
       `audit-enabled=<отправка_событий_аудита>
   

   Где:

   • enabled — флаг отправки логов: true или false.
   • log-group-id — идентификатор лог-группы, в которую нужно отправлять логи.
   • folder-id — идентификатор каталога, в который нужно отправлять логи. Логи будут отправляться в лог-группу каталога по умолчанию.
   • kube-apiserver-enabled — флаг отправки логов kube-apiserver: true или false.
   • cluster-autoscaler-enabled — флаг отправки логов cluster-autoscaler: true или false.
   • events-enabled — флаг отправки событий Kubernetes: true или false.
   • audit-enabled — флаг отправки событий аудита: true или false.

   Если отправка логов включена, но не указаны ни log-group-id, ни folder-id, логи будут отправляться в каталог, где находится кластер Managed Service for Kubernetes, в лог-группу по умолчанию. Указывать одновременно log-group-id и folder-id нельзя.

Terraform позволяет быстро создать облачную инфраструктуру в Yandex Cloud и управлять ею с помощью файлов конфигураций. В файлах конфигураций хранится описание инфраструктуры на языке HCL (HashiCorp Configuration Language). При изменении файлов конфигураций Terraform автоматически определяет, какая часть вашей конфигурации уже развернута, что следует добавить или удалить.

Terraform распространяется под лицензией Business Source License, а провайдер Yandex Cloud для Terraform — под лицензией MPL-2.0.

Подробную информацию о ресурсах провайдера смотрите в документации на сайте Terraform или в зеркале.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

Чтобы создать кластер Managed Service for Kubernetes:

1. Опишите в конфигурационном файле параметры ресурсов, которые необходимо создать:

   • Кластер Managed Service for Kubernetes — описание кластера.

   • Сеть — описание облачной сети, в которой будет расположен кластер Managed Service for Kubernetes. Если подходящая сеть у вас уже есть, описывать ее повторно не нужно.

     Примечание

     При выборе облачной сети из другого каталога, назначьте сервисному аккаунту для ресурсов следующие роли в этом каталоге:

     • vpc.privateAdmin
     • vpc.user
     • vpc.bridgeAdmin

     Для использования публичного IP-адреса дополнительно назначьте роль vpc.publicAdmin.

   • Подсети — описание подсетей, к которым будут подключены хосты кластера Managed Service for Kubernetes. Если подходящие подсети у вас уже есть, описывать их повторно не нужно.

   • Сервисный аккаунт для кластера Managed Service for Kubernetes и узлов и настройки роли для этого аккаунта. При необходимости создайте отдельные сервисные аккаунты для кластера Managed Service for Kubernetes и узлов. Если у вас уже есть подходящий сервисный аккаунт, описывать его повторно не нужно.

   Пример структуры конфигурационного файла:

   resource "yandex_kubernetes_cluster" "<имя_кластера_Managed_Service_for_Kubernetes>" {
    network_id = yandex_vpc_network.<имя_сети>.id
    master {
      master_location {
        zone      = yandex_vpc_subnet.<имя_подсети>.zone
        subnet_id = yandex_vpc_subnet.<имя_подсети>.id
      }
    }
    service_account_id      = yandex_iam_service_account.<имя_сервисного_аккаунта>.id
    node_service_account_id = yandex_iam_service_account.<имя_сервисного_аккаунта>.id
      depends_on = [
        yandex_resourcemanager_folder_iam_member.editor,
        yandex_resourcemanager_folder_iam_member.images-puller
      ]
   }
   
   resource "yandex_vpc_network" "<имя_сети>" { name = "<имя_сети>" }
   
   resource "yandex_vpc_subnet" "<имя_подсети>" {
    v4_cidr_blocks = ["<диапазон_адресов_подсети>"]
    zone           = "<зона_доступности>"
    network_id     = yandex_vpc_network.<имя_сети>.id
   }
   
   resource "yandex_iam_service_account" "<имя_сервисного_аккаунта>" {
    name        = "<имя_сервисного_аккаунта>"
    description = "<описание_сервисного_аккаунта>"
   }
   
   resource "yandex_resourcemanager_folder_iam_member" "editor" {
    # Сервисному аккаунту назначается роль "editor".
    folder_id = "<идентификатор_каталога>"
    role      = "editor"
    member    = "serviceAccount:${yandex_iam_service_account.<имя_сервисного_аккаунта>.id}"
   }
   
   resource "yandex_resourcemanager_folder_iam_member" "images-puller" {
    # Сервисному аккаунту назначается роль "container-registry.images.puller".
    folder_id = "<идентификатор_каталога>"
    role      = "container-registry.images.puller"
    member    = "serviceAccount:${yandex_iam_service_account.<имя_сервисного_аккаунта>.id}"
   }
   

   Чтобы включить отправку логов в Yandex Cloud Logging, добавьте к описанию кластера Managed Service for Kubernetes блок master_logging:

   resource "yandex_kubernetes_cluster" "<имя_кластера>" {
    ...
    master {
      ...
      master_logging {
        enabled                    = <отправка_логов>
        log_group_id               = "<идентификатор_лог-группы>"
        folder_id                  = "<идентификатор_каталога>"
        kube_apiserver_enabled     = <отправка_логов_kube-apiserver>
        cluster_autoscaler_enabled = <отправка_логов_cluster-autoscaler>
        events_enabled             = <отправка_событий_Kubernetes>
        audit_enabled              = <отправка_событий_аудита>
      }
    }
   }
   

   Где:

   • enabled — флаг отправки логов: true или false.
   • log_group_id — идентификатор лог-группы, в которую нужно отправлять логи.
   • folder_id — идентификатор каталога, в который нужно отправлять логи. Логи будут отправляться в лог-группу каталога по умолчанию.
   • kube_apiserver_enabled — флаг отправки логов kube-apiserver: true или false.
   • cluster_autoscaler_enabled — флаг отправки логов cluster-autoscaler: true или false.
   • events_enabled — флаг отправки событий Kubernetes: true или false.
   • audit_enabled — флаг отправки событий аудита: true или false.

   Если отправка логов включена, но не указаны ни log_group_id, ни folder_id, логи будут отправляться в каталог, где находится кластер Managed Service for Kubernetes, в лог-группу по умолчанию. Указывать одновременно log_group_id и folder_id нельзя.

   Подробнее см. в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в каталог, в котором создан конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет. Это проверочный этап: ресурсы не будут созданы.

3. Создайте кластер Managed Service for Kubernetes.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

   После этого в указанном каталоге будут созданы все требуемые ресурсы, а в терминале отобразятся IP-адреса виртуальных машин. Проверить появление ресурсов и их настройки можно в консоли управления.

Чтобы создать кластер Managed Service for Kubernetes, воспользуйтесь методом create для ресурса Cluster.

Чтобы использовать для защиты секретов ключ шифрования Yandex Key Management Service, передайте его идентификатор в параметре kmsProvider.keyId.

Чтобы включить отправку логов в Yandex Cloud Logging, передайте настройки отправки в параметре masterSpec.masterLogging.