Elastic Container Instance:VNode の追加 (手動)

前提条件

• Kubernetes クラスターのバージョンが 1.16 から 1.30 であること。

• Kubernetes クラスターがオンプレミスデータセンターにデプロイされている場合は、データセンターネットワークが Express Connect、Smart Access Gateway (SAG)、または VPN Gateway を介して Alibaba Cloud ネットワークに接続されていることを確認してください。詳細については、次のトピックをご参照ください。

  • Express Connect

  • Smart Access Gateway (SAG)

  • VPN Gateway

事前準備

VNode を作成する前に、必要なパラメーターを収集し、必要な権限を確認してください。次の表に、必要なパラメーターを示します。

VNode を作成する際には、必要な権限を設定する必要があります。これらには、ネイティブの Kubernetes ノードで使用される標準権限と、次の表で説明する VNode 固有の追加権限が含まれます。

クラスターの設定

VNode は kubeconfig ファイルを使用してクラスターに接続します。したがって、VNode を作成する前に、VNode 用の証明書 (kubeconfig) を発行する必要があります。

1. クラスターに接続します。

2. 設定スクリプトをダウンロードして実行します。TLS ブートストラップまたは ServiceAccount を選択して kubeconfig ファイルを生成します。

   TLS ブートストラップ

   セキュリティを強化するため、TLS ブートストラップを推奨します。このメソッドは、vnode-approver コンポーネントを自動的にデプロイします。このコンポーネントは、VNode によって送信された CSR に署名し、GitHub でオープンソースとして公開されています。詳細については、「vnode-approver」をご参照ください。

   curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- bootstrap

   ServiceAccount

   このメソッドは証明書のローテーションをサポートしていません。トークンの有効期間が長いか、無期限であることを確認してください。これにより、証明書の有効期限切れによって VNode が利用できなくなるのを防ぎます。

   curl -fsSL https://eci-docs.oss-cn-beijing.aliyuncs.com/vnode/vnode-deploy.sh | bash -s -- common

3. kubeconfig ファイルを確認します。

   生成された kubeconfig ファイルの名前は vnode-config です。次のコマンドを実行してファイルを表示します。

   cat vnode-config

   ファイルを確認する際は、次の点を確認してください。

   • VNode が作成される VPC がサーバーアドレスに到達できることを確認してください (たとえば、同じ VPC 内にあるか、ネットワークで接続されている)。

     • サーバーアドレスが IP アドレスの場合、VNode の VPC からアクセス可能である必要があります。

     • サーバーアドレスがドメイン名の場合、Alibaba Cloud VPC 内で解決可能であり、結果の IP アドレスが VNode の VPC からアクセス可能である必要があります。

   • certificate-authority-data パラメーターが空の場合、~/.kube/config ファイルの対応するフィールドがファイルパスを使用しているかどうかを確認してください。

   TLS ブートストラップ

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ******.****************

   ServiceAccount

   apiVersion: v1
   kind: Config
   current-context: kubernetes-admin@kubernetes
   contexts:
   - name: kubernetes-admin@kubernetes
     context:
       cluster: kubernetes-admin@kubernetes
       user: vnode
       namespace: kube-system
   clusters:
   - name: kubernetes-admin@kubernetes
     cluster:
       certificate-authority-data: "*****************************************=="
       server: https://10.16.XX.XX:6443
   users:
   - name: vnode
     user:
       token: ***********************************************

VNode の作成

DaemonSet の VNode へのスケジューリングの防止

VNode は仮想ノードであり、DaemonSet を実行できません。VNode を作成した後、kube-proxy DaemonSet に nodeAffinity を追加して、DaemonSet が VNode にスケジューリングされるのを防ぐ必要があります。

1. DaemonSet の設定を編集します。

   kubectl -n kube-system edit ds kube-proxy

2. nodeAffinity を設定します。

   次の YAML を spec.template.spec に追加します。

   affinity:
     nodeAffinity:
       requiredDuringSchedulingIgnoredDuringExecution:
         nodeSelectorTerms:
         - matchExpressions:
           - key: type
             operator: NotIn
             values:
             - virtual-kubelet

Pod の VNode へのスケジューリング

VNode を作成した後、次のメソッドを使用して、VNode 上で ECI インスタンスとして実行するように Pod をスケジューリングできます。

• 手動スケジューリング

  nodeSelector と Toleration を設定するか、nodeName を指定することで、Pod を VNode に手動でスケジューリングできます。詳細については、「Pod を VNode にスケジューリングする」をご参照ください。

• 自動スケジューリング

  eci-profile コンポーネントをデプロイした後、カスタムセレクターを設定して、一致する Pod を VNode に自動的にスケジューリングできます。詳細については、「eci-profile を使用して Pod を VNode にスケジューリングする」をご参照ください。