Container Service for Kubernetes:Create an ACK dedicated cluster

Insira um nome personalizado para o cluster.

Este recurso está disponível apenas para o Kubernetes 1.22 ou superior e suporta apenas o Terway. Não pode ser usado com o recurso elastic Remote Direct Memory Access (eRDMA)

O cluster suporta os protocolos IPv4 e IPv6. No entanto, a comunicação entre os nós de trabalho e o plano de controle ainda usa endereços IPv4. Certifique-se de que:

• A VPC do cluster suporte pilha dupla IPv6.

• Ao usar o Terway no modo ENI compartilhado, o tipo de instância do nó deve ter suporte a IPv6 e possuir a mesma quantidade de endereços IPv4 e IPv6.

A VPC do cluster. Para alta disponibilidade, selecione duas ou mais zonas diferentes.

• Criação automática: O ACK cria um vSwitch correspondente em cada zona selecionada.

• Usar existente: Selecione um vSwitch para especificar a zona do cluster. Crie um novo vSwitch ou use um existente.

Recomendamos o uso de blocos CIDR privados padrão para a VPC do cluster, como 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. Se tiver requisitos especiais, acesse o Quota Center para solicitar a permissão de use a public CIDR block to create a cluster.

Recursos de cloud e faturamento: VPC

Ao usar uma VPC existente, opte por Select Existing Security Group

Este grupo de segurança é aplicado ao plano de controle do cluster, ao pool de nós padrão e a quaisquer pools de nós que não tenham um grupo de segurança personalizado especificado.

Em comparação com os grupos de segurança básicos, os grupos de segurança avançados podem conter mais endereços IP privados, mas não suportam conectividade intragrupo. Para mais informações, consulte Security group classification.

• Criação automática: Todo o tráfego de saída é permitido por padrão. O tráfego de entrada é permitido com base na configuração recomendada. Se modificar as regras posteriormente, certifique-se de que o bloco CIDR 100.64.0.0/10 seja permitido para o tráfego de entrada.

  Este bloco CIDR é usado para acessar outros serviços da Alibaba Cloud para operações como download de imagens e consulta de informações básicas do ECS.

• Usar existente: O ACK não configura regras de acesso adicionais para o grupo de segurança por padrão; gerencie as regras do grupo de segurança para evitar problemas de acesso. Para mais informações, consulte Configure cluster security groups.

O plugin de rede é a base para a comunicação de rede entre pods em um cluster.

Para uma comparação detalhada dos dois plugins, consulte Comparison of Terway and Flannel.

• Flannel: Um plugin de rede leve e de código aberto. No ACK, ele usa um modo nativo de VPC profundamente integrado com a VPC da Alibaba Cloud. Ele gerencia diretamente as tabelas de rotas da VPC para permitir a comunicação entre pods.

  • Cenários: Simples de configurar e consome poucos recursos. Adequado para cenários com um pequeno número de nós (limitado pelas cotas da tabela de rotas da VPC), em que a configuração de rede simplificada é necessária e o controle personalizado sobre a rede de contêineres não é necessário.

• Terway: Um plugin de rede de alto desempenho desenvolvido pela Alibaba Cloud. Ele usa interfaces de rede elásticas (ENIs) para permitir a comunicação entre pods.

  • Cenários: Fornece recursos como aceleração de rede baseada em eBPF, NetworkPolicy, e vSwitches e grupos de segurança no nível do pod. Adequado para computação de alto desempenho (HPC), jogos e cenários de microsserviços que têm altos requisitos de escala de nós, desempenho de rede e segurança.

  • Limite de quantidade de pods: Cada pod ocupa um endereço IP secundário de uma ENI. O número de IPs que podem ser atribuídos a uma única ENI é limitado pelo tipo de instância. Portanto, o número de pods que podem ser executados em um nó é limitado pelas cotas de ENI e de IP secundário do nó.

    Ao usar uma VPC compartilhada, há suporte apenas para o Terway.

  O Terway também fornece os seguintes recursos.

  Para mais informações, consulte Use the Terway network plugin.

  • DataPath V2

    Configurável apenas na criação do cluster

    Ative o modo de aceleração DataPath V2. O Terway usa a tecnologia eBPF para otimizar os caminhos de encaminhamento de tráfego, fornecendo menor latência e maior throughput para aplicações intensivas em rede.

    Este recurso é suportado apenas no Alibaba Cloud Linux 3 (todas as versões), ContainerOS e Ubuntu com versão de kernel Linux 5.10 ou superior. Para mais informações, consulte Network acceleration.

  • NetworkPolicy Support

    Este recurso está em preview público. Envie uma solicitação no Quota Center console

    Suporta o NetworkPolicy nativo do Kubernetes para atuar como um "firewall" entre pods. Defina regras de controle de acesso refinadas para aumentar a segurança do cluster.

  • Support for ENI Trunking

    Permite configurar IPs, vSwitches e grupos de segurança independentes para pods. Isso é adequado para cenários de negócios especiais que exigem IPs fixos ou gerenciamento independente de políticas de rede para pods específicos. Para mais informações, consulte Configure a fixed IP address, an independent virtual switch, and a security group for a pod.

Requer que o IPv6 Dual-Stack esteja ativado

Configure um intervalo de endereços IPv6 para o bloco CIDR do serviço. Use um Unique Local Address (ULA) (dentro do intervalo fc00::/7). O comprimento do prefixo do endereço deve estar entre /112 e /120. Recomendamos que o número de endereços disponíveis seja consistente com o Service CIDR.

Selecione o modo de proxy do kube-proxy, que determina como os serviços do cluster distribuem solicitações para os pods de backend.

• iptables: Usa regras de firewall do Linux para encaminhamento de tráfego. É estável, mas tem desempenho limitado. À medida que o número de serviços aumenta, o número de regras de firewall cresce, retardando o processamento de solicitações. Adequado para clusters com um pequeno número de serviços.

• IPVS: Uma solução de distribuição de tráfego de alto desempenho. Usa uma tabela hash para localizar rapidamente os pods de destino, resultando em menor latência ao lidar com muitas solicitações de serviço. Adequado para clusters de produção em grande escala ou cenários com altos requisitos de desempenho de rede.

  A partir do Kubernetes 1.35, o modo ipvs do kube-proxy está marcado como obsoleto e planeja-se sua remoção em uma versão futura.

• nftables: Um substituto moderno para o iptables que fornece um modelo de regra mais eficiente. Sua busca de mapeamento de regras quase O(1) torna a latência do plano de dados independente do tamanho do cluster. As atualizações do plano de controle usam sincronização incremental, otimizando a eficiência das alterações de regras. Como é a principal direção de desenvolvimento do framework de rede do kernel Linux, é o modo recomendado pela comunidade do kube-proxy. Adequado para clusters de médio a grande porte ou cenários que exigem melhor desempenho e manutenibilidade do que o iptables.

  Ao usar o modo de encaminhamento de serviço nftables, a versão do kernel Linux dos nós no cluster deve ser 5.13 ou superior. Caso contrário, os nós não poderão ser adicionados.

Para informações sobre como escolher, consulte Comparison of containerd, sandboxed containers, and Docker runtimes.

• containerd (Recomendado): O padrão da comunidade, com suporte à versão 1.20 e posteriores.

• Sandboxed Container: Fornece um ambiente fortemente isolado com base em tecnologia de virtualização leve. Para procedimentos de uso e limites, consulte Create and manage a sandboxed container node pool.

• Docker (Descontinuado): Suporta apenas a versão 1.22 e anteriores. A criação não é mais suportada.

O método de faturamento padrão para nós adicionados ao pool de nós.

• Pay-As-You-Go: Pode ser criado e liberado sob demanda.

• Subscription: Requer a configuração do Duration e Auto Renewal.

• Preemptible Instance: Atualmente, suporta apenas instâncias spot com um período de proteção. Configure também o Instance Price Cap.

  Quando o preço em tempo real do tipo de instância especificado for menor que o lance máximo para uma única instância, a instância será criada com sucesso. Após o período de proteção (1 hora), o sistema verifica o preço em tempo real e o estoque do tipo de instância a cada 5 minutos. Se o preço de mercado for maior que o seu lance ou o estoque for insuficiente, a instância spot será liberada. Para recomendações de uso, consulte Best practices for spot instance node pools.

Para garantir a uniformidade do pool de nós, não modifique um pool de nós Pay-As-You-Go ou Subscription para um pool de nós Preemptible Instance, ou vice-versa.

Ao criar um nó, o ACK aplica a política de linha de base de segurança selecionada.

• Disable: Nenhuma proteção de segurança é executada na instância ECS.

• MLPS Security Hardening: A Alibaba Cloud fornece padrões de verificação de linha de base e ferramentas de varredura para a imagem da edição Alibaba Cloud Linux MLPS 2.0 Level 3 que atendem aos requisitos de conformidade de proteção classificada. Ao garantir a compatibilidade e o desempenho nativos da imagem, ela foi adaptada para a conformidade com o MLPS 2.0, atendendo aos requisitos da GB/T 22239-2019 Information Security Technology - Basic Requirements for Classified Protection of Cybersecurity. Para mais informações, consulte Instructions for using ACK MLPS 2.0 security hardening.

  No entanto, neste modo, o usuário root não pode fazer login remotamente via SSH. Conecte-se à instância via VNC no console ECS e crie um usuário comum que suporte login via SSH.

• OS Security Hardening: Suporta apenas o Alibaba Cloud Linux 2 ou Alibaba Cloud Linux 3.

escolha um tipo de disco de cloud com base nas suas necessidades de negócios, incluindo ESSD AutoPL, SSD corporativo (ESSD), ESSD Entry e discos de cloud de geração anterior (SSD padrão e ultra disk). Configure a capacidade e o IOPS.

Os tipos de disco de sistema disponíveis dependem da família de instâncias selecionada. Os tipos de disco que não são exibidos não são suportados.

Selecione More Disk Categories para configurar tipos de disco diferentes do System Disk e melhorar a taxa de sucesso de expansões. Ao criar um nó, o ACK seleciona o primeiro tipo correspondente na ordem especificada de tipos de disco.

Recursos de cloud e faturamento: ECS Elastic Block Storage

Selecione um tipo de disco de cloud com base nas suas necessidades de negócios, incluindo ESSD AutoPL, SSD corporativo (ESSD), ESSD Entry e discos de cloud de geração anterior (SSD padrão e ultra disk). Configure a capacidade e o IOPS.

Os tipos de disco de dados disponíveis dependem da família de instâncias selecionada. Os tipos de disco que não são exibidos não são suportados.

• Ao anexar um disco de dados, todos os tipos de disco de cloud suportam Encrypted. Ao selecionar uma chave, a Alibaba Cloud usa a chave de serviço padrão (Default Service CMK) para criptografia. Selecione uma chave personalizada (Bring-Your-Own-Key, ou BYOK) que criou no KMS, se preferir.

• Durante a criação do nó, o último disco de dados é formatado automaticamente, e o /var/lib/container é montado nele. O /var/lib/kubelet e o /var/lib/containerd são montados no /var/lib/container.

  Para personalizar o diretório de montagem, ajuste a configuração de inicialização do disco de dados. Selecione no máximo um disco de dados como o diretório para o runtime de contêiner. Para mais informações, consulte Can I customize the mount directory for data disks in an ACK node pool?

• Em cenários que exigem aceleração de imagem de contêiner ou carregamento rápido de modelos grandes, crie discos de dados a partir de snapshots para melhorar a velocidade de resposta do sistema e as capacidades de processamento.

Selecione Add Data Disk Type para configurar tipos de disco diferentes do Data Disk e melhorar a taxa de sucesso de expansões. Ao criar um nó, o ACK seleciona o primeiro tipo correspondente na ordem especificada de tipos de disco.

Uma instância ECS pode ter até 64 discos de dados anexados. O limite específico varia de acordo com o tipo de instância. Chame a operação DescribeInstanceTypes para consultar o limite de quantidade de discos de cloud (DiskQuantity) para o tipo de instância correspondente.

Recursos de cloud e faturamento: ECS Elastic Block Storage

Adicione taints de chave-valor ao nó. Uma chave de taint válida consiste em um prefixo opcional e um nome. Se um prefixo estiver presente, ele é separado do nome por uma barra (/).

Depois que um nó entra no cluster, o script de User-Data da instância especificado é executado.

Por exemplo, se especificar os dados do usuário da instância como touch /tmp/post-script, o script combinado no nó será executado na seguinte ordem.

#!/bin/bash
    # The ACK node initialization script is executed here

    # The input instance user data is executed here
    touch /tmp/post-script

Para informações sobre como esta configuração entra em vigor durante a inicialização do nó, consulte Node initialization process overview.

A criação bem-sucedida do cluster ou a expansão do nó não garante que o script de dados do usuário da instância foi executado com sucesso. Faça login no nó e execute grep cloud-init /var/log/messages para visualizar os logs de execução.

Visualize e monitore o status de execução de nós e aplicações no console do Cloud Monitor.

Esta configuração se aplica apenas a novos nós no pool de nós, não aos existentes.

Para ativá-lo para nós existentes, instale através do console do Cloud Monitor.

Recursos de cloud e faturamento: Cloud Monitor

O ACK atribui um endereço IP público IPv4 ao nó.

Esta configuração se aplica apenas a novos nós no pool de nós, não aos existentes. Se os nós existentes precisarem acessar a rede pública, configure e vincule um EIP. Para mais informações, consulte Associate an EIP with a cloud resource.

Recursos de cloud e faturamento: ECS public network