Обзор
Группа узлов в кластере Managed Kubernetes — группа виртуальных машин Compute с одинаковой конфигурацией, на которых запускаются контейнеры с приложениями и обрабатывается рабочая нагрузка. В кластере Managed Kubernetes также доступно создание группы узлов с GPU.
Создать группу узлов можно с помощью веб-консоли, MWS CLI, Terraform или API-запроса. При создании задается конфигурация виртуальных машин, которые будут использоваться в качестве узлов. В одном кластере может быть несколько групп узлов с разными конфигурациями. Пользователь управляет группой как единым ресурсом.
Для группы также можно настроить автоматическое масштабирование — изменение числа узлов по запросам подов, размещенных на узлах этой группы. Если эта опция включена, при увеличении нагрузки в группу будут добавляться дополнительные узлы, а при снижении — удаляться.
После создания параметры группы можно изменить, при этом она удаляется и создается заново.
Узлы работают на операционной системе Ubuntu Linux. Для запуска контейнеров (container runtime) используется среда containerd.
Зоны доступности
Заголовок раздела «Зоны доступности»Разные группы узлов одного кластера могут размещаться в разных зонах доступности. Узлы одной группы размещаются в одной зоне доступности.
Группы узлов с GPU можно разместить только в зоне доступности ru-central1-a.
Управление доступом
Заголовок раздела «Управление доступом»Доступ к группам узлов регламентируется ролями IAM на уровне проекта.
При создании группы узлов нужно выбрать сервисный аккаунт. Для него будет автоматически выпущен токен, с помощью которого системные и клиентские поды будут выполнять запросы к репозиториям Artifact Registry. Этот токен будет доступен через сервис метаданных, в том числе из подов, запущенных на узлах кластера.
Пользователи с доступом к поду, узлу или кластеру смогут использовать этот токен для авторизации. Чтобы ограничить доступ и избежать уязвимости вашей системы:
- используйте отдельный сервисный аккаунт для группы узлов;
- не используйте этот сервисный аккаунт в других сервисах;
- выдайте сервисному аккаунту только роль
registry.puller.