Konfigurasi PrivateLink untuk Akses Jalur Sewa - Container Service for Kubernetes

Topik ini menjelaskan cara menggunakan PrivateLink untuk membangun koneksi pribadi yang aman dan efisien dari node ACK Edge Anda ke layanan cloud seperti Container Service for Kubernetes (ACK) dan Container Registry (ACR). Solusi ini mengatasi masalah seperti konflik alamat IP dan kurangnya IP tetap untuk lapisan kontrol.

Latar Belakang

Saat menghubungkan kluster ACK Edge ke cloud melalui koneksi khusus, node tepi di pusat data lokal Anda perlu mengakses berbagai layanan cloud. Hal ini sering menimbulkan dua tantangan utama:

Konflik Alamat IP: Banyak layanan cloud menggunakan alamat IP dalam rentang 100.64.0.0/10. Jika pusat data lokal Anda menggunakan rentang IP yang sama, konflik alamat akan terjadi, mengganggu lalu lintas jaringan.
Tidak Ada IP Tetap untuk Lapisan Kontrol: Lapisan kontrol kluster ACK yang dikelola tidak memiliki alamat IP tetap, sehingga sulit untuk mengonfigurasi aturan firewall untuk akses langsung.

PrivateLink memecahkan masalah ini dengan memungkinkan Anda membuat titik akhir pribadi di dalam virtual private cloud (VPC) Anda. Titik akhir ini memberikan akses yang aman dan stabil ke layanan cloud tanpa mengeksposnya ke Internet publik atau memerlukan pengaturan rute jaringan yang kompleks.

Semua layanan cloud yang relevan dengan ACK Edge mendukung PrivateLink. Topik ini menjelaskan cara mengonfigurasi PrivateLink untuk ACR dan ACK. Untuk layanan lainnya, lihat tabel berikut:

Layanan Cloud	Kasus Penggunaan	Dokumentasi
ACR	Node tepi perlu menarik gambar komponen sistem dari ACR.	Buat titik akhir untuk ACR
Kluster ACK Edge	Node tepi perlu terhubung ke lapisan kontrol ACK.	Buat titik akhir untuk lapisan kontrol kluster ACK
Object Storage Service (OSS)	Node tepi mengunduh dependensi dari OSS selama penyiapan. ACR bergantung pada OSS untuk penyimpanan gambar.	Akses OSS menggunakan PrivateLink
Simple Log Service (SLS)	Jika komponen logging diinstal, node perlu mengakses lapisan kontrol SLS. Anda dapat menggunakan PrivateLink untuk mengakses SLS secara aman.	Akses Simple Log Service menggunakan PrivateLink

Prasyarat

Anda memiliki kluster ACK Edge yang terhubung ke pusat data lokal Anda melalui koneksi jalur sewa. Untuk detail penagihan, lihat Penagihan PrivateLink.

Catatan

Fitur PrivateLink untuk ACK dan ACR hanya tersedia untuk pengguna yang masuk daftar putih. Untuk mengaktifkan fitur ini, ajukan tiket. Setelah permintaan Anda disetujui, layanan titik akhir untuk ACK dan ACR akan terlihat saat Anda membuat titik akhir.

Prosedur

Buat titik akhir untuk ACR

Ikuti langkah-langkah berikut untuk membuat titik akhir untuk gambar komponen sistem. Setelah dibuat, Anda dapat memperoleh nama domain dan alamat IP untuk zona yang sesuai.

Catatan

Titik akhir yang Anda konfigurasikan di bagian ini tidak memproksi permintaan ke OSS. Untuk menggunakan PrivateLink untuk mengakses sumber daya OSS, lihat Akses OSS Menggunakan PrivateLink.

Masuk ke Konsol Titik Akhir.
Di bilah navigasi atas, pilih wilayah tempat layanan titik akhir diterapkan.
Catatan
Wilayah yang dipilih harus sesuai dengan kluster ACK Edge. Topik ini menggunakan China (Hangzhou) sebagai contoh.
Di halaman Endpoints, klik tab Interface Endpoint, lalu klik Create Endpoint.

Di halaman Create Endpoint, konfigurasikan parameter berikut dan klik OK.

Parameter	Deskripsi	Contoh
Endpoint Name	Masukkan nama untuk titik akhir antarmuka.	test1
Endpoint Type	Pilih Interface Endpoint.	Interface Endpoint
Endpoint Service	Konfigurasikan layanan titik akhir dengan salah satu cara berikut: Klik Other Endpoint Services, masukkan nama layanan titik akhir, dan klik Verify untuk memverifikasi layanan tersebut. Klik Select Service dan pilih ID layanan titik akhir.	Klik Select Service, pilih Endpoint Service ID dari daftar drop-down, lalu masukkan ID untuk mencari layanan tersebut. Catatan Untuk mendapatkan ID layanan titik akhir untuk ACR sistem, ajukan tiket.
VPC	Pilih VPC tempat Anda ingin membuat titik akhir antarmuka.	VPC kluster ACK Edge target Anda.
Security Groups	Pilih grup keamanan yang ingin Anda asosiasikan dengan antarmuka jaringan elastis (ENI) dari titik akhir. Grup keamanan digunakan untuk mengontrol transfer data dari VPC ke ENI titik akhir.	Grup keamanan yang terkait dengan ENI titik akhir target Anda.
Zone and vSwitch	Pilih zona layanan titik akhir dan pilih vSwitch di zona tersebut. Sistem secara otomatis membuat ENI titik akhir di vSwitch.	Zona: Hangzhou Zone G Hangzhou Zone K vSwitches: A vSwitch in Hangzhou Zone G A vSwitch in Hangzhou Zone K
Resource Group	Pilih kelompok sumber daya tempat titik akhir milik.	Kelompok sumber daya target.

Buat titik akhir untuk lapisan kontrol kluster ACK

Ikuti langkah-langkah berikut. Setelah titik akhir dibuat, Anda dapat mengambil nama domain dan alamat IP titik akhir untuk zona yang sesuai.

Di halaman Endpoints, klik tab Interface Endpoint, lalu klik Create Endpoint.

Di halaman Create Endpoint, konfigurasikan parameter berikut dan klik OK.

Parameter	Deskripsi	Contoh
Endpoint Name	Masukkan nama untuk titik akhir antarmuka.	test2
Endpoint Type	Pilih Interface Endpoint.	Interface Endpoint
Endpoint Service	Konfigurasikan layanan titik akhir dengan salah satu cara berikut: Klik Other Endpoint Services, masukkan nama layanan titik akhir, dan klik Verify untuk memverifikasi layanan tersebut. Klik Select Service dan pilih ID layanan titik akhir.	Klik Select Service, pilih Endpoint Service ID dari daftar drop-down, dan masukkan ID untuk mencari layanan tersebut. Catatan Untuk mendapatkan ID layanan titik akhir untuk lapisan kontrol kluster ACK Edge, ajukan tiket.
VPC	Pilih VPC tempat Anda ingin membuat titik akhir antarmuka.	VPC kluster ACK Edge target Anda.
Security Groups	Pilih grup keamanan yang ingin Anda asosiasikan dengan antarmuka jaringan elastis (ENI) dari titik akhir. Grup keamanan digunakan untuk mengontrol transfer data dari VPC ke ENI titik akhir.	Grup keamanan yang terkait dengan ENI titik akhir target Anda.
Zone and vSwitch	Pilih zona layanan titik akhir dan pilih vSwitch di zona tersebut. Sistem secara otomatis membuat ENI titik akhir di vSwitch.	Zona: Hangzhou Zone G Hangzhou Zone K vSwitch: A vSwitch in Hangzhou Zone G A vSwitch in Hangzhou Zone K
Resource Group	Pilih kelompok sumber daya tempat titik akhir milik.	Kelompok sumber daya target.

Konfigurasikan resolusi DNS

Setelah membuat titik akhir, Anda harus mengonfigurasi infrastruktur DNS lokal Anda untuk menyelesaikan nama host layanan cloud yang diperlukan ke alamat IP atau nama domain titik akhir baru Anda.

Untuk daftar nama domain yang perlu diakses oleh node tepi, lihat Lalu Lintas Keluar dari Node Tepi.

Jika Anda memiliki server DNS lokal, Anda dapat mengonfigurasi catatan nama kanonik (CNAME) untuk mengarahkan nama domain target ke domain yang disediakan oleh titik akhir. Sebagai alternatif, Anda dapat menggunakan PrivateZone untuk mengelola resolusi DNS untuk lingkungan hybrid cloud. Lihat Gunakan Server Lokal untuk Mengakses DNS Alibaba Cloud.