Container Service for Kubernetes:ACK マネージドクラスターのパラメーター

• Pro Edition：SLA を保証し、エンタープライズ向けの本番環境およびテスト環境に適しています。

• Basic Edition: クォータあり（各アカウントが作成できるクラスターは最大 2 つ）で、個人での学習およびテストのみを目的としています。

リージョンは、クラスターのリソース（ECS インスタンスやクラウドディスクなど）が配置される場所です。ご利用の所在地およびリソースのデプロイ先に近いリージョンを選択すると、ネットワーク遅延が低減されます。

最新の 3 つのマイナーバージョンのみがサポートされています。利用可能な最新バージョンのご使用を推奨します。ACK のバージョンサポートの詳細については、「ACK バージョンサポートの概要」をご参照ください。

コントロールプレーンおよびノードプールを定期的に更新するために、自動アップグレードを有効化します。

アップグレードポリシーおよび手順については、「クラスターの自動アップグレード」をご参照ください。

ACK では、自動クラスターのアップグレードや OS の CVE 脆弱性修正などの自動 O&M タスクを、定義されたメンテナンスウィンドウ内でのみ実行します。

Flannel のみで必須です。

Pod IP を割り当てるための IP アドレスプールです。この CIDR ブロックは、VPC または VPC 内の既存の ACK クラスター CIDR ブロックと重複してはならず、サービス CIDR ブロック とも重複してはなりません。

Flannel のみで必須です。

単一ノード上で許可される最大 Pod 数を定義します。

Terway プラグインを使用する場合のみ必須です。

Service CIDR とも呼ばれるこの CIDR ブロックは、内部クラスターサービスに IP アドレスを割り当てるための IP アドレスプールです。この CIDR ブロックは、VPC または VPC 内の既存のクラスター CIDR ブロックと重複してはならず、コンテナー CIDR ブロック とも重複してはなりません。

共有 VPC を使用する場合は、このオプションを選択しないでください。

ノードがパブリックネットワークにアクセスする必要がある場合（パブリックイメージのプルや外部サービスへのアクセスなど）に、このオプションを選択します。ACK は、クラスターのリソースにパブリックネットワークアクセスを可能にするために、NAT Gateway および SNAT ルールを自動的に構成します。

• VPC に NAT Gateway がない場合：ACK が NAT Gateway を自動的に作成し、新しい EIP を購入して、クラスターの vSwitch 用に SNAT ルールを構成します。

• VPC に既に NAT Gateway がある場合：ACK が追加の EIP の購入または SNAT ルールの構成を判断します。利用可能な EIP がない場合は、新しい EIP を購入します。VPC レベルの SNAT ルールが存在しない場合は、クラスターの vSwitch 用に SNAT ルールを構成します。

このオプションを選択しない場合、クラスター作成後に NAT Gateway および SNAT ルールを手動で構成できます。詳細については、「パブリック NAT Gateway」をご参照ください。

クラウドリソースおよび課金情報：NAT Gateway、EIP

誤ってコンソールまたは OpenAPI 経由でクラスターを削除することを防ぐため、有効化することを推奨します。

権限管理およびコスト配分を容易にするために、クラスターを選択した リソースグループ に割り当てます。

リソースは 1 つのリソースグループにのみ所属できます。

タイムゾーンは、クラスターで使用されるタイムゾーンです。デフォルトではブラウザで設定されたタイムゾーンになります。

デフォルトでは、API Server 証明書の SAN（Subject Alternative Name）フィールドには、クラスターのローカルドメイン、プライベート IP、パブリック EIP などのフィールドが含まれます。プロキシサーバー、カスタムドメイン、または特殊なネットワーク環境を介してクラスターにアクセスする場合は、これらのアクセスアドレスを SAN フィールドに追加します。

後から有効化するには、「クラスター API Server 証明書の SAN のカスタマイズ」をご参照ください。

従来のモードでは、Pod のアイデンティティ認証情報は永続的に有効であり、複数の Pod 間で共有されるため、セキュリティリスクがあります。有効化すると、各 Pod は、有効期限および権限制限を設定可能な独自の一時的なアイデンティティ認証情報を取得します。

後から有効化するには、「ServiceAccount トークンボリュームプロジェクションの使用」をご参照ください。

Pro Edition クラスターでのみサポートされます。

Alibaba Cloud KMS で作成されたキーを使用して、シークレットキーをプロフェッショナルクラスで暗号化し、データセキュリティを強化します。

後から有効化するには、「Alibaba Cloud KMS を使用した静止中のシークレットの暗号化」をご参照ください。

クラウドリソースおよび課金情報：KMS

クラスターが OIDC プロバイダーを作成します。その ServiceAccount から一時的な OIDC トークンを使用して、アプリケーションの Pod が Alibaba Cloud RAM サービスを呼び出し、指定された RAM ロールを偽装することができます。これにより、クラウドリソースへの一時的な承認を安全に取得し、Pod レベルでの最小権限の権限管理を実現します。

後から有効化するには、「RRSA を使用した Pod レベルの権限分離のための ServiceAccount RAM 権限の構成」をご参照ください。

カスタムのノードプール名を入力します。

ACK の 自動 O&M 機能 を使用するために、マネージドノードプールを有効化します。

ビジネスが基盤となるノードの変更に敏感であり、ノードの再起動やアプリケーション Pod の移行を許容できない場合、有効化しないことを推奨します。

後から有効化するには、ノードプールの編集 が可能です。

ACK はノードのステータスを自動的に監視し、ノードが異常になった場合に自己修復タスクを実行します。ノードに障害が発生した場合はノードを再起動します を選択すると、ノードの自己修復にはノードのドレインおよびディスクの交換が含まれる場合があります。トリガー条件および関連イベントについては、「ノードの自己修復の有効化」をご参照ください。

ノードプール OS の CVE 脆弱性の修正 をサポートし、脆弱性修正レベルを設定できます。

クラウドリソースおよび課金情報：セキュリティセンター

ACK では、マネージドノードプールに対する自動 O&M 操作を、定義されたメンテナンスウィンドウ内でのみ実行します。

スケールアウト時に、構成された ECS インスタンスファミリー からノードが割り当てられます。スケールアウトの成功率を向上させるため、複数のゾーンにわたって複数のインスタンスタイプを選択して、利用不可または在庫不足を回避してください。スケールアウト時に使用される具体的なインスタンスタイプは、構成された スケーリングポリシー によって決定されます。

ビジネスの安定性および正確なリソーススケジューリングを確保するため、GPU および非 GPU のインスタンスタイプを同一のノードプールに混在させないでください。

スケールアウトのためのインスタンスタイプを構成する方法は、以下の 2 通りです。

• 特定のタイプ：vCPU、メモリ、ファミリー、アーキテクチャなどの次元に基づいて、正確なインスタンスタイプを指定します。

• 汎用構成：属性（vCPU、メモリなど）に基づいて、使用または除外するインスタンスタイプを選択して、スケールアウトの成功率をさらに向上させます。詳細については、「指定されたインスタンス属性を使用したノードプールの構成」をご参照ください。

構成については、コンソールの弾力性強度の推奨事項を参照するか、作成後に「ノードプールの弾力性強度の表示」をご参照ください。

ACK でサポートされていないインスタンスタイプおよびノード構成の推奨事項については、「ECS インスタンスタイプの構成推奨事項」をご参照ください。

クラウドリソースおよび課金情報：ECS インスタンス、GPU インスタンス

ノードプールが維持すべきノードの総数です。クラスターのコンポーネントが正常に動作するためには、少なくとも 2 つのノードを構成することを推奨します。ノードプールのスケールインまたはスケールアウトを行うには、期待ノード数を調整します。詳細については、「ノードプールのスケーリング」をご参照ください。

ノードを作成する必要がない場合は、0 を入力し、後で手動で調整するか、「既存のノードを追加」してください。

ノードプールがスケーリング中にインスタンスを選択する方法を構成します。

• 優先度に基づくポリシー：クラスターで構成された vSwitch の優先度に基づいてスケーリングします（上から下への順序で優先度が低下します）。優先度の高いゾーンでインスタンスを作成できない場合、次に優先度の高い vSwitch が自動的に使用されます。

• コスト最適化ポリシー：vCPU 単価が低い順にスケーリングします。

  ノードプールで プリエンプティブルインスタンス を使用する場合、スポットインスタンスが優先されます。従量課金インスタンスの割合 (%) を構成して、在庫やその他の理由でスポットインスタンスを作成できない場合に、従量課金インスタンスを自動的に補完できます。

• 分散バランスポリシー：複数のゾーンにわたって ECS インスタンスを均等に分散しますが、マルチゾーンシナリオでのみ適用されます。在庫不足によりゾーン間の分散が不均衡になった場合、再バランスできます。

課金方法としてスポットインスタンスを選択している必要があります。

有効化すると、価格または在庫の理由で十分なスポットインスタンスを作成できない場合、ACK が従量課金インスタンスの作成を自動的に試みて補完します。

クラウドリソースおよび課金情報：ECS インスタンス

課金方法としてスポットインスタンスを選択している必要があります。

ACK が自動的に作成した ECS インスタンスに、クラウドリソース識別子としてタグを追加します。各 ECS インスタンスには最大 20 個のタグを設定できます。この上限を引き上げるには、クォータプラットフォーム にて申請してください。ACK および ESS が一部のタグを使用するため、インスタンスごとに指定できるカスタムタグは最大 17 個です。

新しく追加されたノードは、クラスターに登録される際にデフォルトでスケジュール不可に設定されます。ノードリストで手動で ノードのスケジューリングステータス を調整してください。

この設定は、Kubernetes バージョン 1.34 より前のクラスターにのみ適用されます。詳細については、「Kubernetes 1.34 バージョンに関する注意事項」をご参照ください。

containerd ランタイムバージョン 1.6.34 以降でのみサポートされます。

新しく追加されたノードは、コンテナーイメージがオンデマンドロードをサポートしているかどうかを自動的に検出します。サポートされている場合、コンテナーはデフォルトでオンデマンドロードを使用してより高速に起動し、アプリケーションの起動時間を短縮します。詳細については、「オンデマンドロードを使用したコンテナー起動の高速化」をご参照ください。

ノード名は、プレフィックス、ノードの IP アドレス、およびサフィックスで構成されます。有効化すると、ノード名、ECS インスタンス名、および ECS インスタンスのホスト名がそれに応じて変更されます。

例：ノードの IP アドレスが 192.XX.YY.55、プレフィックスが aliyun.com、サフィックスが test の場合。

• Linux ノード：ノード名、ECS インスタンス名、および ECS インスタンスのホスト名はすべて aliyun.com192.XX.YY.55test になります。

• Windows ノード：ホスト名は IP アドレスに固定され、IP アドレス内の . が - に置き換えられ、プレフィックスおよびサフィックスは含まれません。

  したがって、ECS インスタンスのホスト名は 192-XX-YY-55 となり、ノード名および ECS インスタンス名は aliyun.com192.XX.YY.55test になります。

ACK マネージドクラスター

新しいノードプールを作成する場合にのみ指定可能です。

ノードプールレベルで Worker RAM ロールを指定して、すべてのノードで単一の Worker RAM ロールを共有することによるセキュリティリスクを軽減します。

• デフォルトのロール：クラスター用に作成されたデフォルトの Worker RAM ロールを使用します。

• Custom：指定されたロールを Worker RAM ロールとして使用します。空欄の場合は、デフォルトロールが使用されます。詳細については、「カスタム Worker RAM ロールの使用」をご参照ください。

Kubernetes 1.28 以降を実行するクラスターでのみサポートされます。

ECS インスタンスのメタデータアクセスモードを構成します。ECS インスタンス内では、メタデータサービスにアクセスして、インスタンス ID、VPC 情報、NIC 情報、およびその他のインスタンスプロパティを含むインスタンスメタデータを取得できます。詳細については、「インスタンスメタデータ」をご参照ください。

• 一般モードと強化モード：通常モードおよび強化モードの両方を使用してメタデータサービスにアクセスできます。

• 強化モードのみ：強化モードのみを使用してメタデータサービスにアクセスできます。詳細については、「強化モードのみを使用した ECS インスタンスメタデータへのアクセス」をご参照ください。

ノードがクラスターに参加する前に、指定されたインスタンス事前ユーザ User-Data スクリプト を実行します。

例：事前ユーザデータが touch /tmp/pre-script の場合、ノード上のスクリプト実行順序は次のようになります。

#!/bin/bash
# 入力されたインスタンス事前ユーザデータがここで実行されます
touch /tmp/pre-script

# ACK ノード初期化スクリプトがここで実行されます

ノード初期化時のこの構成の実行ロジックについては、「ノード初期化プロセスの概要」をご参照ください。

ノードプール用に基本またはエンタープライズセキュリティグループを指定します。ACK はセキュリティグループに追加のアクセスルールを追加しません。アクセスの問題を回避するために、セキュリティグループルールを自ら管理する必要があります。詳細については、「クラスターのセキュリティグループの構成」をご参照ください。

各 ECS インスタンスには、参加できるセキュリティグループの数に制限があります。セキュリティグループクォータ に十分な余裕があることを確認してください。

RDS インスタンスのホワイトリストにノードの IP アドレスを追加します。

ECS コンソールで デプロイメントセットの作成 を行った後、ノードプールにこれを指定すると、スケールアウトされたノードが異なる物理サーバに分散され、高可用性が向上します。

デフォルトでは、デプロイメントセットは 20 × ゾーン数（vSwitch によって決定）までサポートし、ノードプール内の最大ノード数を制限します。デプロイメントセットに十分なクォータがあることを確認してください。

後から有効化するには、「ノードプールのデプロイメントセットに関するベストプラクティス」をご参照ください。

ノードを追加する際に使用されるリソースプール戦略です（インスタンス設定方法 が インスタンスタイプの指定 に設定されている場合のみサポートされます）。リソースプールには、エラスティックプロビジョニング またはキャパシティリザーブーション（即時効果キャパシティリザーブーション または スケジュール効果キャパシティリザーブーション）サービスを有効化した後に生成されるプライベートプール、およびパブリックプールが含まれ、ノード起動時の選択に使用されます。

• プライベートプール優先：指定されたプライベートプールの使用を優先します。プライベートプールが指定されていない場合、または指定されたプライベートプールに容量がない場合は、自動的にオープンタイプのプライベートプールに一致します。適格なプライベートプールが存在しない場合は、パブリックプールを使用してインスタンスを作成します。

• プライベートプールのみ：プライベートプール ID を指定する必要があります。指定されたプライベートプールに容量がない場合、ノード起動は失敗します。

• いいえ：リソースプール戦略を使用しません。

この設定項目は非推奨です。リソースプールポリシー を使用してプライベートプールを指定してください。

選択されたゾーンおよびインスタンスタイプで利用可能な プライベートプール リソース。タイプは以下のとおりです。

• オープン：インスタンスは自動的にオープンタイプのプライベートキャパシティプールに一致します。適格なプライベートプールが存在しない場合は、パブリックプールリソースを使用して起動します。

• いいえ：インスタンスはプライベートプールの容量を使用せず、パブリックプールリソースを直接使用して起動します。

• 指定：プライベートプール ID を選択して、インスタンスがそのプライベートプールの容量のみを使用して起動するように制限する必要があります。プライベートプールが利用できない場合、インスタンスの起動は失敗します。

NodeLocal DNSCache をインストールして、ノード上で DNS 解決結果をキャッシュし、DNS 解決のパフォーマンスおよび安定性を向上させ、クラスター内の内部サービス呼び出しを高速化します。

CSI ストレージプラグイン をベースに永続ストレージを実装し、Alibaba Cloud クラウドディスク、NAS、OSS、CPFS などのストレージボリュームをサポートします。

NAS および CNFS のデフォルト作成を選択すると、ACK は汎用 NAS ファイルシステムを自動的に作成し、Container Network File System (CNFS) を使用して管理します。

後から CNFS を作成するには、「CNFS を使用した NAS ファイルシステムの管理」をご参照ください。

クラウドリソースおよび課金情報：NAS

コンテナークラスター監視サービスを通じて、クラスターの健全性、リソース使用量、およびアプリケーションのパフォーマンスを監視し、異常が発生した際にアラートをトリガーします。

• ACK Cluster Monitoring Pro Edition：Grafana ダッシュボードを内蔵したマネージドコンテナー監視サービスを提供します。データはデフォルトで 90 日間保存されます。

  課金ルールについては、「コンテナー監視の課金」をご参照ください。カスタムメトリックのレポートまたは基本ストレージ期間の調整には追加料金が発生します。詳細については、「Prometheus インスタンスの課金」をご参照ください。

• Container Cluster Monitoring Basic Edition：無料のアンマネージドコンテナー監視サービスを提供し、基本的な監視ダッシュボードを内蔵しています。データはデフォルトで 7 日間保存されます。

  コンポーネントはデフォルトでシングルレプリカとなり、3 vCPU および 4 GB メモリを消費し、セルフメンテナンスが必要です。カスタムメトリックのレポートには追加料金が発生します。詳細については、「Prometheus インスタンスの課金」をご参照ください。

• 有効化しない：コンテナー監視サービスを無効化し、コンテナーサービスのステータス監視およびアラート作成を防止します。

後から有効化するには、「Alibaba Cloud Prometheus 監視の統合および構成」をご参照ください。

クラウドリソースおよび課金情報：Prometheus

クラスター、名前空間、ノードプール、およびワークロードのコストおよびリソース使用量を分析し、クラスターリソースの利用率を向上させ、コストを削減します。

後から有効化するには、「コストインサイト」をご参照ください。

既存の SLS プロジェクトを使用するか、新しいプロジェクトを作成して、クラスターのアプリケーションログを収集します。

また、クラスター API Server の監査機能を有効化して、Kubernetes API へのリクエストおよびその結果を収集します。

後から有効化するには、「ACK クラスターのコンテナーログの収集」および「クラスター API Server 監査機能の使用」をご参照ください。

• Ingress ダッシュボードの作成： SLS コンソールに Ingress ダッシュボードを作成して、Nginx Ingress のアクセスログを収集します。詳細については、「Nginx Ingress アクセスログの収集および分析」をご参照ください。

• node-problem-detector をインストールして Event Hub を作成： SLS コンソールに Event Hub を追加して、すべての Kubernetes イベントをリアルタイムで収集します。詳細については、「K8s Event Hub の作成および使用」をご参照ください。

クラウドリソースおよび課金情報：SLS

Container Service アラート管理 を有効化し、クラスターに異常が発生した際に SLS、Managed Service for Prometheus、および Cloud Monitor からのデータソースに基づいて、アラートグループにアラート通知を送信します。

SLS プロジェクトにコントロールプレーンコンポーネントのログを収集し、詳細なトラブルシューティングおよび根本原因分析を行います。

後から有効化するには、「ACK マネージドクラスターのコントロールプレーンコンポーネントログの収集」をご参照ください。

クラウドリソースおよび課金情報：SLS

IT 運用向け AI（AIOps）のクラスター点検機能 を有効化して、クラスター内のクォータ、リソース使用量、コンポーネントバージョンなどを定期的にスキャンし、構成がベストプラクティスに従っていることを保証し、潜在的なリスクを早期に明らかにします。