Container Service for Kubernetes:Connect to clusters

1. Configurer le mode réseau et les listes de contrôle d'accès réseau pour l'accès à un cluster ACK

Établissez une connexion au serveur d'API d'un cluster ACK via Internet ou un réseau interne, puis configurez les listes de contrôle d'accès (ACL) réseau associées.

• Connexion via un réseau interne : lors de la création d'un cluster ACK, le service provisionne automatiquement une instance Classic Load Balancer (CLB) interne dotée d'un point de terminaison privé pour le serveur d'API. Les ressources hébergées dans le même VPC peuvent communiquer entre elles sans restriction.

• Connexion via Internet : associez une adresse IP élastique (EIP) à l'instance CLB interne créée pour le serveur d'API afin d'autoriser l'accès public au cluster. Consultez la rubrique Contrôler l'accès public au serveur d'API d'un cluster.

Pour protéger le serveur d'API d'un cluster ACK contre les accès non autorisés, nous vous recommandons de configurer des ACL réseau sur le port d'écoute 6443 de l'instance CLB dédiée. Vous pouvez définir ces ACL sous forme de listes blanches ou noires pour restreindre les connexions entrantes. Pour plus de détails, reportez-vous à la section Configurer des ACL réseau pour le serveur d'API d'un cluster ACK.

2. Gérer les fichiers kubeconfig

Avant de vous connecter à un cluster, procurez-vous le fichier kubeconfig. Ce dernier contient les informations d'identification nécessaires à l'authentification, que la connexion s'effectue via Internet ou en réseau interne. ACK génère des fichiers kubeconfig adaptés aux comptes Alibaba Cloud, aux utilisateurs RAM (Resource Access Management) ou aux rôles RAM. Par mesure de sécurité, privilégiez l'utilisation de fichiers kubeconfig temporaires et définissez rigoureusement leur durée de validité. Consultez la documentation relative à la gestion des fichiers kubeconfig.

3. Sélectionner les méthodes de connexion au cluster

Choisissez la méthode de connexion la plus appropriée en fonction de plusieurs critères, notamment la disponibilité d'un accès Internet pour le cluster concerné.

Avant qu'un utilisateur RAM ne se connecte à un cluster ACK, attribuez-lui les autorisations d'opération sur le cluster, en plus des autorisations système requises pour Container Service. Reportez-vous à la section Autorisation .

• Connectez-vous à la console Container Service.

  Lors de l'utilisation d'un compte RAM pour accéder à la console, assurez-vous d'avoir configuré les autorisations nécessaires sur les services cloud concernés. Consultez les Permissions requises pour la console ACK .

• Utilisez kubectl, ou bien les outils web Workbench et CloudShell mis à disposition par Alibaba Cloud.

  Outil	Description	Installation locale①	Accès via un réseau interne	Accès via Internet	Références
  kubectl	Outil en ligne de commande officiel de Kubernetes.	Requise①	Prise en charge	Prise en charge	Obtenir le fichier kubeconfig d'un cluster et utiliser kubectl pour s'y connecter
  Workbench	Outil web permettant de se connecter aux instances ECS sans installer de logiciel tiers.	Non requise	Prise en charge	Prise en charge	Utiliser kubectl via Workbench ou Cloud Shell pour se connecter aux clusters ACK
  CloudShell	Shell web qui déploie une machine virtuelle Linux préconfigurée avec divers langages de programmation et outils en ligne de commande.	Non requise	Non pris en charge	Prise en charge

  ① : Workbench et CloudShell s'exécutent directement dans un navigateur. Bien que kubectl nécessite une installation locale, il est déjà préinstallé sur les nœuds de travail ACK.

Références

Si les applications déployées dans un cluster ACK doivent atteindre des ressources externes via Internet (par exemple, pour extraire des images ou mettre à jour des bibliothèques de dépendances), consultez la procédure permettant d'Activer l'accès Internet pour un cluster ACK existant.