Container Service for Kubernetes:ACK 専用クラスターの作成

クラスターのカスタム名。

IPv4/IPv6 デュアルスタックを有効にすると、デュアルスタッククラスターが作成されます。

クラスターの VPC を構成します。[ゾーン] を指定して VPC を自動的に作成できます。VPC リストから既存の VPC を選択することもできます。

[VPC] が [既存を使用] に設定されている場合、[既存のセキュリティグループを選択] オプションを選択できます。

[基本セキュリティグループの作成]、[高度なセキュリティグループの作成]、または [既存のセキュリティグループの選択] を選択できます。

• デフォルトでは、自動的に作成されたセキュリティグループはすべてのアウトバウンドトラフィックを許可します。ビジネス目的でセキュリティグループを変更する場合、100.64.0.0/10 CIDR ブロックからのインバウンドトラフィックが許可されていることを確認してください。この CIDR ブロックは、他の Alibaba Cloud サービスにアクセスしてイメージをプルしたり、基本的な ECS 情報をクエリしたりするために使用されます。

• 既存のセキュリティグループを選択した場合、システムはセキュリティグループルールを自動的に構成しません。これにより、クラスター内のノードにアクセスする際にエラーが発生する可能性があります。セキュリティグループルールを手動で構成する必要があります。詳細については、「クラスターのセキュリティグループを構成する」をご参照ください。

Flannel と Terway がサポートされています。Terway と Flannel の比較の詳細については、「Terway と Flannel の比較」をご参照ください。

• Flannel は、コミュニティによって提供されるオープンソースのネットワークプラグインです。Flannel は ACK で Alibaba Cloud の VPC (Virtual Private Cloud) を使用します。パケットは VPC ルートテーブルに基づいて転送されます。Flannel は、より小さなノード、簡素化されたネットワーク構成を必要とし、コンテナネットワークに対するカスタム制御の要件がないシナリオに適しています。

• Terway は Alibaba Cloud が開発したネットワークプラグインです。このプラグインは、ENI (Elastic Network Interface) に基づいてネットワークを構築します。Terway は、eBPF (extended Berkeley Packet Filter) を使用してネットワークトラフィックを高速化することをサポートします。Terway は、ネットワークポリシーと Pod レベルのスイッチおよびセキュリティグループもサポートします。Terway は、高性能コンピューティング、ゲーム、および大規模なノード、高いネットワークパフォーマンスとセキュリティを必要とするマイクロサービスなどのシナリオに適しています。

  重要

  • Terway を選択した場合、ENI のセカンダリ IP アドレスが各 Pod に割り当てられます。ENI は複数の IP アドレスを割り当てることができます (インスタンスの仕様によります)。ノードにデプロイできる Pod の数は、ノードにアタッチされている ENI の数と、これらの ENI が提供するセカンダリ IP アドレスの最大数によって決まります。

  • クラスターに共有 VPC を選択した場合、ネットワークプラグインとして Terway を選択する必要があります。

  • Flannel を選択した場合、ALB Ingress は NodePort および LoadBalancer Service へのリクエスト転送のみをサポートし、ClusterIP Service はサポートしません。

  ネットワークプラグインパラメーターを Terway に設定すると、次のパラメーターを構成できます。

  • DataPathV2

    DataPath V2 加速モードは、クラスターを作成するときにのみ有効にできます。包括的な ENI モードで Terway の DataPath V2 加速モードを有効にすると、Terway は異なるトラフィック転送パスを採用してネットワーク通信を高速化します。詳細については、「ネットワークアクセラレーション」をご参照ください。

    説明

    • Kubernetes 1.34 以降のクラスターを作成し、DataPath V2 を選択した場合、kube-proxy は Terway ノードで実行されなくなります。

      • このモードはデフォルトで portmap をサポートします。portmap プラグインを構成する必要はありません。詳細については、「カスタム CNI チェーンの構成」をご参照ください。

    • DataPath V2 は、次のオペレーティングシステムイメージでのみサポートされ、Linux カーネル 5.10 以降が必要です。

      • Alibaba Cloud Linux 3 (すべてのバージョン)

      • ContainerOS

      • Ubuntu

    • この機能を有効にすると、Terway ポリシーコンテナは各ワーカーノードで追加の 0.5 CPU コアと 512 MB のメモリを消費することが予想されます。この消費量はクラスターサイズとともに増加します。Terway のデフォルト構成では、ポリシーコンテナの CPU 制限は 1 コアで、メモリ制限はありません。

    • DataPath V2 モードでは、コンテナネットワークの接続追跡 (conntrack) 情報が eBPF マップに保存されます。Linux のネイティブ conntrack メカニズムと同様に、eBPF conntrack は LRU (Least Recently Used) アルゴリズムを使用します。マップが容量制限に達すると、最も古い接続レコードが自動的にエビクションされ、新しい接続が保存されます。接続数が制限を超えないように、サービス規模に応じて関連パラメーターを構成する必要があります。詳細については、「Terway モードでの conntrack 構成の最適化」をご参照ください。

  • NetworkPolicy のサポート

    このオプションを選択すると、クラスターはネイティブの Kubernetes NetworkPolicy をサポートします。

    説明

    • Terway v1.9.2 以降、新しいクラスターの NetworkPolicy は eBPF によって実装され、データプレーンで DataPathv2 機能が有効になります。

    • コンソールで NetworkPolicy を管理する機能はパブリックプレビュー中です。この機能を使用するには、クォータセンターコンソールでリクエストを送信する必要があります。

  • ENI トランキングのサポート

    Terway Trunk ENI 機能を使用すると、各 Pod に静的 IP アドレス、個別の vSwitch、および個別のセキュリティグループを指定できます。これにより、ユーザートラフィックの管理と分離、ネットワークポリシーの構成、および IP アドレスのきめ細かな管理が可能になります。詳細については、「Pod の静的 IP アドレス、個別の vSwitch、および個別のセキュリティグループを構成する」をご参照ください。

    説明

    • ACK マネージドクラスターはリクエストを送信せずにトランク ENI オプションを使用できます。ACK 専用クラスターでトランク ENI を有効にする場合は、クォータセンターコンソールでリクエストを送信する必要があります。

    • Kubernetes 1.31 以降では、新しい ACK マネージドクラスターに対してトランク ENI 機能が自動的に有効になります。このオプションを手動で選択する必要はありません。

IPv4/IPv6 デュアルスタックを有効にした場合にのみ、このパラメーターを構成します。

Service 用に IPv6 CIDR ブロックを構成します。アドレス範囲 fc00::/7 内のユニークローカルユニキャストアドレス (ULA) 空間を指定する必要があります。プレフィックスは 112 ビットから 120 ビットの長さでなければなりません。Service CIDR ブロックと同じ数の利用可能な IP アドレスを持つ IPv6 CIDR ブロックを指定することを推奨します。

クラスターの CIDR ブロックを計画する方法の詳細については、「ACK マネージドクラスターのネットワーク計画」をご参照ください。

iptables と IPVS がサポートされています。

• iptables は、成熟し安定した kube-proxy モードです。このモードでは、Kubernetes Service のサービス検出とロードバランシングが iptables ルールを使用して構成されます。このモードのパフォーマンスは Kubernetes クラスターのサイズに依存します。このモードは、少数の Service を管理する Kubernetes クラスターに適しています。

• IPVS は、高性能な kube-proxy モードです。このモードでは、Kubernetes Service のサービス検出とロードバランシングが Linux の IPVS モジュールによって構成されます。このモードは、多数の Service を管理するクラスターに適しています。高性能なロードバランシングが必要なシナリオでこのモードを使用することを推奨します。

Kubernetes のバージョンに基づいて [コンテナランタイム] を指定します。コンテナランタイムの選択方法の詳細については、「containerd、Sandboxed-Container、Docker の比較」をご参照ください。

• containerd (推奨): すべての Kubernetes バージョンをサポートします。

• Sandboxed-Container: Kubernetes 1.31 以前をサポートします。

• Docker (非推奨): Kubernetes 1.22 以前をサポートします。

ノードプールで ECS インスタンスがスケーリングされるときに使用されるデフォルトの課金方法。[従量課金]、[サブスクリプション]、または [スポットインスタンス] を選択できます。

• [サブスクリプション] 課金方法を選択した場合、[期間] パラメーターを構成し、[自動更新] を有効にするかどうかを選択する必要があります。

• [スポットインスタンス]: 現在、保護期間付きの [スポットインスタンス] のみがサポートされています。また、[インスタンスあたりの最大価格] を構成する必要があります。

  選択したインスタンスタイプのリアルタイム市場価格がこのパラメーターの値より低い場合、このインスタンスタイプのスポットインスタンスが作成されます。保護期間 (1 時間) が終了すると、システムは 5 分ごとにインスタンスタイプのスポット価格とリソースの可用性をチェックします。リアルタイム市場価格が入札価格を超えた場合、またはリソース在庫が不足している場合、スポットインスタンスは解放されます。詳細については、「スポットインスタンスベースのノードプールのベストプラクティス」をご参照ください。

ノードプール内のすべてのノードが同じ課金方法を使用するようにするため、ACK はノードプールの課金方法を [従量課金] または [サブスクリプション] から [スポットインスタンス] へ、または [スポットインスタンス] から [従量課金] または [サブスクリプション] へ変更することを許可しません。

クラスターのセキュリティ強化を有効にします。このパラメーターはクラスター作成後に変更できません。

• [無効]: ECS インスタンスのセキュリティ強化を無効にします。

• [MLPS セキュリティ強化]: Alibaba Cloud は、Alibaba Cloud Linux 2 イメージと Alibaba Cloud Linux 3 イメージが MLPS 2.0 のレベル 3 基準に準拠しているかを確認するためのベースラインとベースラインチェック機能を提供します。MLPS セキュリティ強化は、OS イメージの互換性とパフォーマンスを損なうことなく、GB/T 22239-2019 情報セキュリティ技術 - サイバーセキュリティの分類保護のためのベースラインの要件を満たすために OS イメージのセキュリティを強化します。詳細については、「MLPS に基づく ACK セキュリティ強化」をご参照ください。

  重要

  MLPS セキュリティ強化を有効にすると、root ユーザーの SSH によるリモートログインが禁止されます。ECS コンソールから VNC (Virtual Network Computing) を使用して OS にログインし、SSH によるログインが許可される一般ユーザーを作成できます。詳細については、「VNC を使用してインスタンスに接続する」をご参照ください。

• [OS セキュリティ強化]: システムイメージが Alibaba Cloud Linux 2 または Alibaba Cloud Linux 3 イメージである場合にのみ、Alibaba Cloud OS セキュリティ強化を有効にできます。

ESSD AutoPL、ESSD、ESSD Entry、標準 SSD、および Ultra Disk がサポートされています。選択できるシステムディスクの種類は、選択したインスタンスファミリーによって異なります。ドロップダウンリストに表示されないディスクタイプは、選択したインスタンスタイプではサポートされていません。

[より多くのシステムディスクタイプを構成] を選択して、[システムディスク] とは異なるディスクタイプを構成し、スケールアウトの成功率を向上させることができます。インスタンスが作成される際、システムは指定されたディスクタイプの順序に基づいて最初に一致するディスクタイプを選択してインスタンスを作成します。

ESSD AutoPL、ESSD、ESSD Entry、および旧世代のディスク (標準 SSD および Ultra Disk) がサポートされています。選択できるデータディスクの種類は、選択したインスタンスファミリーによって異なります。ドロップダウンリストに表示されないディスクタイプは、選択したインスタンスタイプではサポートされていません。

• データディスクの種類を指定する際に、すべてのディスクタイプで [暗号化] を選択できます。デフォルトでは、[デフォルトサービス CMK] がデータディスクの暗号化に使用されます。KMS で BYOK を使用して生成された既存の CMK を使用することもできます。

• コンテナイメージの高速化や大規模言語モデル (LLM) の高速読み込みが必要なシナリオでは、スナップショットを使用してデータディスクを作成することもできます。これにより、システムの応答速度が向上し、処理能力が強化されます。

• ノード作成中、最後のデータディスクは自動的にフォーマットされます。システムはこのディスクに /var/lib/container をマウントし、/var/lib/kubelet と /var/lib/containerd を /var/lib/container にマウントします。カスタムマウントポイントを変更するには、データディスクの初期化構成を変更します。コンテナランタイムディレクトリとして選択できるデータディスクは 1 つだけです。使用方法については、「ACK ノードプールでデータディスクをカスタムディレクトリにマウントできますか？」をご参照ください。

より多くのデータディスクタイプを構成 を選択して、[データディスク] とは異なるディスクタイプを構成し、スケールアウトの成功率を向上させることができます。インスタンスが作成される際、システムは指定されたディスクタイプの順序に基づいて最初に一致するディスクタイプを選択してインスタンスを作成します。

ノードに Taint を追加します。[Taint] は [キー]、[値]、および [効果] で構成されます。Taint キーにはプレフィックスを付けることができます。プレフィックス付きの Taint キーを指定する場合は、プレフィックスとキーの残りの部分の間にスラッシュ (/) を追加します。詳細については、「Taint と Toleration」をご参照ください。Taint には以下の制限が適用されます:

• [キー]: キーは 1 ～ 63 文字の長さで、文字、数字、ハイフン (-)、アンダースコア (_)、およびピリオド (.) を含めることができます。キーは文字または数字で始まり、終わる必要があります。[a-z0-9A-Z]

  プレフィックス付きのキーを指定する場合、プレフィックスは DNS サブドメイン名でなければなりません。サブドメイン名はピリオド (.) で区切られた DNS ラベルで構成され、253 文字を超えることはできません。スラッシュ (/) で終わる必要があります。DNS サブドメイン名の詳細については、「DNS サブドメイン名」をご参照ください。

• [値]: 値は 63 文字を超えることはできず、文字、数字、ハイフン (-)、アンダースコア (_)、およびピリオド (.) を含めることができます。値は文字または数字で始まり、終わる必要があります。値を空にすることもできます。[a-z0-9A-Z]

• Taint には以下の [効果] を指定できます: NoSchedule、NoExecute、および PreferNoSchedule。

  • [NoSchedule]: ノードに [効果] が [NoSchedule] の Taint がある場合、システムは Pod をそのノードにスケジュールしません。

  • [NoExecute]: この Taint を許容しない Pod は、この Taint がノードに追加された後にエビクションされます。この Taint を許容する Pod は、この Taint がノードに追加された後もエビクションされません。

  • [PreferNoSchedule]: システムは、Pod が許容しない Taint を持つノードへの Pod のスケジューリングを避けようとします。

ノードは、クラスターに追加された後、ユーザーデータスクリプトを自動的に実行します。ユーザーデータスクリプトの詳細については、「ユーザーデータスクリプト」をご参照ください。

たとえば、echo "hello world" と入力すると、ノードは次のスクリプトを実行します:

#!/bin/bash
[ノード初期化スクリプト]
echo "hello world"

CloudMonitor をインストールした後、CloudMonitor コンソールでノードの監視情報を表示できます。

このパラメーターは新しく追加されたノードにのみ有効で、既存のノードには有効ではありません。既存の ECS ノードに CloudMonitor エージェントをインストールする場合は、CloudMonitor コンソールに移動してください。

各ノードに IPv4 アドレスを割り当てるかどうかを指定します。チェックボックスをオフにすると、パブリック IP アドレスは割り当てられません。チェックボックスをオンにした場合は、[帯域幅課金方法] と [ピーク帯域幅] パラメーターを構成する必要があります。

このパラメーターは新しく追加されたノードにのみ有効で、既存のノードには有効ではありません。既存のノードがインターネットにアクセスできるようにするには、EIP を作成し、その EIP をノードに関連付ける必要があります。詳細については、「EIP を ECS インスタンスに関連付ける」をご参照ください。