Container Service for Kubernetes:ACK 専用クラスターの作成

クラスターのカスタム名を入力します。

この機能は、Kubernetes 1.22 以降でのみ利用可能で、Terway のみをサポートしています。 elastic Remote Direct Memory Access (eRDMA) 機能

クラスターは IPv4 と IPv6 の両方のプロトコルをサポートします。ただし、ワーカーノードとコントロールプレーン間の通信は引き続き IPv4 アドレスを使用します。以下の点を確認してください：

• クラスターの VPC が IPv6 デュアルスタックをサポートしていること。

• 共有 ENI モードで Terway を使用する場合、ノードのインスタンスタイプは IPv6 をサポートし、サポートされる IPv4 と IPv6 のアドレス数が同じである必要があります。

クラスター用の VPC です。高可用性を確保するため、2 つ以上の異なるゾーンを選択してください。

• 自動作成：ACK は選択された各ゾーンに対応する vSwitch を作成します。

• 既存のものを使用：vSwitch を選択してクラスターのゾーンを指定します。新しい vSwitch を作成するか、既存のものを使用できます。

クラスター VPC には、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 などの標準プライベート CIDR ブロックの使用を推奨します。特別な要件がある場合は、[クォータセンター] にアクセスし、[パブリック CIDR ブロックを使用してクラスターを作成する] 権限を申請してください。

クラウドリソースと課金：VPC

既存の VPC を使用する場合、既存のセキュリティグループの選択

このセキュリティグループは、クラスターのコントロールプレーン、デフォルトのノードプール、およびカスタムセキュリティグループが指定されていないノードプールに適用されます。

基本セキュリティグループと比較して、高度セキュリティグループはより多くのプライベート IP アドレスを含めることができますが、グループ内接続はサポートしていません。詳細については、「セキュリティグループの分類」をご参照ください。

• 自動作成：デフォルトですべてのアウトバウンドトラフィックが許可されます。インバウンドトラフィックは推奨構成に基づいて許可されます。後でルールを変更する場合は、インバウンドトラフィックに対して 100.64.0.0/10 CIDR ブロックが許可されていることを確認してください。

  この CIDR ブロックは、イメージのプルや基本的な ECS 情報のクエリなど、他の Alibaba Cloud サービスにアクセスするために使用されます。

• 既存のものを使用：ACK はデフォルトでセキュリティグループに追加のアクセスルールを設定しません。アクセス問題を避けるために、セキュリティグループルールを自分で管理する必要があります。詳細については、「クラスターセキュリティグループの設定」をご参照ください。

ネットワークプラグインは、クラスター内の Pod 間のネットワーク通信の基盤です。

2 つのプラグインの詳細な比較については、「Terway と Flannel の比較」をご参照ください。

• Flannel：軽量なオープンソースのネットワークプラグインです。ACK では、Alibaba Cloud VPC と深く統合された VPC ネイティブモードを使用します。VPC ルートテーブルを直接管理して、Pod 間の通信を可能にします。

  • シナリオ：設定が簡単で、リソース消費が少ないです。ノード数が少ない (VPC ルートテーブルのクォータによる制限) シナリオ、簡素化されたネットワーク設定が必要な場合、およびコンテナネットワークのカスタム制御が不要な場合に適しています。

• Terway：Alibaba Cloud が開発した高性能なネットワークプラグインです。Elastic Network Interface (ENI) を使用して Pod 間の通信を可能にします。

  • シナリオ：eBPF ベースのネットワーク高速化、NetworkPolicy、Pod レベルの vSwitch およびセキュリティグループなどの機能を提供します。ノード規模、ネットワークパフォーマンス、セキュリティに対する高い要件を持つハイパフォーマンスコンピューティング (HPC)、ゲーム、マイクロサービスシナリオに適しています。

  • Pod 数量制限：各 Pod は ENI のセカンダリ IP アドレスを占有します。単一の ENI に割り当て可能な IP の数は、インスタンスタイプによって制限されます。したがって、ノードで実行できる Pod の数は、ノードの ENI およびセカンダリ IP クォータによって制限されます。

    共有 VPC を使用する場合、Terway のみがサポートされます。

  Terway は以下の機能も提供します。

  詳細については、「Terway ネットワークプラグインの使用」をご参照ください。

  • DataPath V2

    クラスター作成時にのみ設定可能

    DataPath V2 高速化モードを有効にします。Terway は eBPF 技術を使用してトラフィック転送パスを最適化し、ネットワーク集約型アプリケーションに低遅延と高スループットを提供します。

    この機能は、Alibaba Cloud Linux 3 (全バージョン)、ContainerOS、および Linux カーネルバージョン 5.10 以降の Ubuntu でのみサポートされています。詳細については、「ネットワーク高速化」をご参照ください。

  • NetworkPolicy のサポート

    この機能はパブリックプレビュー中です。クォータセンターコンソール

    ネイティブの Kubernetes NetworkPolicy をサポートし、Pod 間の「ファイアウォール」として機能します。きめ細かなアクセス制御ルールを定義して、クラスターのセキュリティを強化できます。

  • Trunk ENI のサポート

    Pod に独立した IP、vSwitch、およびセキュリティグループを設定できます。これは、特定の Pod に固定 IP や独立したネットワークポリシー管理が必要な特殊なビジネスシナリオに適しています。詳細については、「Pod に固定 IP アドレス、独立した仮想スイッチ、およびセキュリティグループを設定する」をご参照ください。

IPv6 デュアルスタックが有効になっている必要があります

サービス CIDR ブロックに IPv6 アドレス範囲を設定します。 ユニークローカルアドレス (ULA) (fc00::/7 範囲内) を使用する必要があります。 アドレスプレフィックス長は /112 から /120 の間である必要があります。 使用可能なアドレス数は、サービス CIDR ブロック と一致させることを推奨します。

kube-proxy のプロキシモードを選択します。これは、クラスターサービスがバックエンド Pod にリクエストをどのように分散するかを決定します。

• iptables：トラフィック転送に Linux のファイアウォールルールを使用します。安定していますが、パフォーマンスに制限があります。サービス数が増加すると、ファイアウォールルールの数が増え、リクエスト処理が遅くなります。サービス数が少ないクラスターに適しています。

• IPVS：高性能なトラフィック分散ソリューションです。ハッシュテーブルを使用してターゲット Pod を迅速に特定するため、多くのサービスリクエストを処理する際の遅延が低くなります。大規模な本番クラスターや、高いネットワークパフォーマンス要件を持つシナリオに適しています。

  Kubernetes 1.35 以降、kube-proxy の ipvs モードは非推奨とマークされ、将来のバージョンで削除される予定です。

• nftables：iptables の現代的な代替であり、より効率的なルールモデルを提供します。ほぼ O(1) のルールマッピング検索により、データプレーンの遅延がクラスターサイズに依存しなくなります。コントロールプレーンの更新は増分同期を使用し、ルール変更の効率を最適化します。Linux カーネルネットワークフレームワークの主流の開発方向として、kube-proxy コミュニティによって推奨されるモードです。中規模から大規模のクラスター、または iptables よりも優れたパフォーマンスと保守性を必要とするシナリオに適しています。

  nftables サービス転送モードを使用する場合、クラスター内のノードの Linux カーネルバージョンは 5.13 以降である必要があります。そうでない場合、ノードの追加に失敗します。

選択方法については、「containerd、サンドボックスコンテナ、Docker ランタイムの比較」をご参照ください。

• containerd (推奨)：コミュニティ標準であり、バージョン 1.20 以降をサポートします。

• サンドボックスコンテナ：軽量な仮想化技術に基づいて強力に分離された環境を提供します。使用手順と制限については、「サンドボックスコンテナノードプールの作成と管理」をご参照ください。

• Docker (提供終了)：バージョン 1.22 以前のみをサポートします。作成はサポートされなくなりました。

ノードプールによってスケールアウトされるノードのデフォルトの課金方法です。

• 従量課金：オンデマンドで有効化およびリリースできます。

• サブスクリプション：期間 と Auto Renewal の設定が必要です。

• プリエンプティブルインスタンス: 現在、保護期間付きのスポットインスタンスのみをサポートしています。また、現在のインスタンス仕様の料金上限を設定する必要があります。

  指定されたインスタンスタイプのリアルタイム価格が単一インスタンスの最大入札額より低い場合、インスタンスは正常に作成されます。保護期間 (1 時間) 後、システムは 5 分ごとにインスタンスタイプのリアルタイム価格と在庫を確認します。市場価格が入札額より高い場合や在庫が不足している場合、スポットインスタンスはリリースされます。使用の推奨事項については、「スポットインスタンスノードプールのベストプラクティス」をご参照ください。

ノードプールの均一性を確保するため、従量課金 または サブスクリプション のノードプールを プリエンプティブルインスタンス のノードプールに変更することはできず、その逆も同様です。

ノードを作成する際、ACK は選択されたセキュリティベースラインポリシーを適用します。

• 無効化: ECS インスタンスに対してセキュリティ強化は実行されません。

• 等級保護に基づく強化: Alibaba Cloud は、等級保護コンプライアンス要件を満たす Alibaba Cloud Linux MLPS 2.0 レベル 3 エディションイメージ用のベースラインチェック基準とスキャンツールを提供します。ネイティブイメージの互換性とパフォーマンスを確保しながら、MLPS 2.0 コンプライアンスに適合するように調整されており、GB/T 22239-2019 情報セキュリティ技術 - サイバーセキュリティ等級保護制度の基本要件を満たしています。詳細については、「ACK MLPS 2.0 セキュリティ強化の使用手順」をご参照ください。

  ただし、このモードでは、root ユーザーは SSH 経由でリモートログインできません。ECS コンソールでVNC 経由でインスタンスに接続し、SSH ログインをサポートする一般ユーザを作成できます。

• Alibaba Cloud OS の強化：Alibaba Cloud Linux 2 または Alibaba Cloud Linux 3 にのみ対応しています。

ビジネスニーズに基づいて、ESSD AutoPL、ESSD (エンタープライズ SSD)、ESSD Entry、および旧世代のクラウドディスク (標準 SSD および Ultra ディスク) を含むクラウドディスクタイプを選択します。容量と IOPS を設定します。

利用可能なシステムディスクタイプは、選択したインスタンスファミリーによって異なります。表示されていないディスクタイプはサポートされていません。

より多くのシステムディスクタイプの設定 を選択して、システムディスク とは異なるディスクタイプを設定することで、スケールアウトの成功率を向上させることができます。ノードを作成する際、 ACK は指定されたディスクタイプの順序で、最初に一致したタイプを選択します。

クラウドリソースと課金：ECS Elastic Block Storage

ビジネスニーズに基づいて、ESSD AutoPL、ESSD (エンタープライズ SSD)、ESSD Entry、および旧世代のクラウドディスク (標準 SSD および Ultra ディスク) を含むクラウドディスクタイプを選択します。容量と IOPS を設定します。

利用可能なデータディスクタイプは、選択したインスタンスファミリーによって異なります。表示されていないディスクタイプはサポートされていません。

• データディスクをアタッチする際、すべてのクラウドディスクタイプで暗号化がサポートされています。キーを選択すると、 Alibaba Cloud は暗号化にデフォルトのサービスキー (Default Service CMK) を使用します。 KMS で作成したカスタムキー (Bring-Your-Own-Key、または BYOK) を選択することもできます。

• ノード作成中、最後のデータディスクは自動的にフォーマットされ、/var/lib/container がマウントされます。/var/lib/kubelet と /var/lib/containerd は /var/lib/container にマウントされます。

  マウントディレクトリをカスタマイズするには、データディスクの初期化設定を調整します。コンテナランタイムのディレクトリとして最大 1 つのデータディスクを選択できます。詳細については、「ACK ノードプールのデータディスクのマウントディレクトリをカスタマイズできますか？

• コンテナイメージの高速化や大規模モデルの迅速な読み込みが必要なシナリオでは、スナップショットからデータディスクを作成して、システムの応答速度と処理能力を向上させることもできます。

さらにデータディスクタイプを設定する を選択すると、データディスク とは異なるディスクタイプを設定して、スケールアウトの成功率を向上させることができます。ノードを作成する際、ACK は指定されたディスクタイプの順序で最初に一致したタイプを選択します。

1 つの ECS インスタンスには最大 64 個のデータディスクをアタッチできます。具体的な制限はインスタンスタイプによって異なります。DescribeInstanceTypes 操作を呼び出して、対応するインスタンスタイプのクラウドディスク数量制限 (DiskQuantity) をクエリできます。

クラウドリソースと課金：ECS Elastic Block Storage

ノードにキーと値のTaintを追加します。有効な Taint キーは、オプションのプレフィックスと名前で構成されます。プレフィックスが存在する場合、スラッシュ (/) で名前と区切られます。

ノードがクラスターに参加した後、指定されたインスタンスユーザーデータスクリプトが実行されます。

たとえば、インスタンスユーザーデータとして touch /tmp/post-script を指定した場合、ノード上の結合されたスクリプトは次の順序で実行されます。

#!/bin/bash
# ACK ノード初期化スクリプトがここで実行されます

# 入力されたインスタンスユーザーデータがここで実行されます
touch /tmp/post-script

この設定がノード初期化中にどのように有効になるかについては、「ノード初期化プロセスの概要」をご参照ください。

クラスターの作成またはノードのスケールアウトが成功しても、インスタンスユーザーデータスクリプトが正常に実行されたことを保証するものではありません。ノードにログインし、grep cloud-init /var/log/messages を実行して実行ログを表示できます。

Cloud Monitor コンソールで、ノードとアプリケーションの実行状態を表示および監視できます。

この設定は、ノードプール内の新しいノードにのみ適用され、既存のノードには適用されません。

既存のノードで有効にするには、Cloud Monitor コンソールからインストールしてください。

クラウドリソースと課金：Cloud Monitor

ACK はノードに IPv4 パブリック IP アドレスを割り当てます。

この設定は、ノードプール内の新しいノードにのみ適用され、既存のノードには適用されません。既存のノードがパブリックネットワークにアクセスする必要がある場合は、EIP を設定してバインドする必要があります。詳細については、「EIP をクラウドリソースに関連付ける」をご参照ください。

クラウドリソースと課金：ECS パブリックネットワーク