Microsoft Azure への管理クラスタの展開の準備

このトピックでは、Tanzu Kubernetes Grid を実行するために Microsoft Azure を準備する方法について説明します。

Azure VMware Solution (AVS) に Tanzu Kubernetes Grid をインストールする場合は、vSphere 環境にインストールします。環境の準備については、「VMware Cloud 環境への管理クラスタの展開の準備」にある「Microsoft Azure での Azure VMware Solution の準備」を参照してください。管理クラスタの展開については、「vSphere への管理クラスタの展開の準備」を参照してください。

このページの最後にある準備チェックリストを使用すると、Tanzu Kubernetes Grid 管理クラスタを Azure に展開する準備ができていることを確認できます。

重要
Tanzu Kubernetes Grid v2.4.x は、Azure でのスタンドアローン TKG 管理クラスタの作成をサポートする TKG の最後のバージョンです。Azure でスタンドアローン TKG 管理クラスタを作成する機能は、Tanzu Kubernetes Grid v2.5 リリースで削除されます。

以降、VMware では、Azure で新しい TKG 管理クラスタを作成する代わりに、Tanzu Mission Control を使用してネイティブの Azure AKS クラスタを作成することをお勧めします。Tanzu Mission Control を使用してネイティブの Azure AKS クラスタを作成する方法については、Tanzu Mission Control ドキュメントの「Azure AKS クラスタのライフサイクルの管理」を参照してください。

詳細については、『VMware Tanzu Kubernetes Grid v2.4 Release Notes』の「AWS および Azure での TKG 管理クラスタとワークロードクラスタの廃止」を参照してください。

一般的な要件

Tanzu CLI がローカルにインストールされている。「スタンドアローン管理クラスタで使用する Tanzu CLI と Kubernetes CLI のインストール」を参照してください。

次を備えた Microsoft Azure アカウント：

サービスプリンシパルを作成し、Owner ロールを割り当てるために必要な権限。
ロールの詳細については、「Azure 組み込みロール」を参照してください。
クラスタにとって十分な仮想マシンコア (vCPU) の割り当て。標準の Azure アカウントには、リージョンあたり 10 個の vCPU の割り当てがあります。vCPU の要件は、prod または dev プランのどちらを使用するかによって異なります。プランの詳細については、ワークロードクラスタのプランに関する説明を参照してください。
Tanzu Kubernetes Grid クラスタには、ノードあたり 2 つの vCPU が必要です。これは、次のように解釈されます。
管理クラスタ：
- dev プラン：4 個の vCPU（メイン 1、ワーカー 1）
- prod プラン：8 個の vCPU（メイン 3、ワーカー 1）
各ワークロードクラスタ：
- dev プラン：4 個の vCPU（メイン 1、ワーカー 1）
- prod プラン：12 個の vCPU（メイン 3、ワーカー 3）

たとえば、単一の管理クラスタがあり、すべてのクラスタが同じプランであるとします。

計画	ワークロードクラスタ	ワークロード用の vCPU	管理用の vCPU	合計 vCPU
Dev	1	4	4	8
Dev	5	20	4	24
Prod	1	12	8	20
Prod	5	60	8	68

クラスタにとって十分なパブリック IP アドレスの割り当て（パブリック IP アドレス - 標準、パブリック IP アドレス - 基本、静的パブリック IP アドレスの割り当てを含む）。標準の Azure アカウントには、リージョンあたり 10 個のパブリック IP アドレスの割り当てがあります。すべての Tanzu Kubernetes Grid クラスタには、制御プレーンノードとワーカーノードの数に関係なく、2 つのパブリック IP アドレスが必要です。タイプが LoadBalancer の Kubernetes サービスオブジェクトの場合は、それぞれにパブリック IP アドレスが 1 つ必要です。

TCP について、ローカルブートストラップマシンと、管理クラスタのコンポーネント情報 (BoM) ファイルにリストされているイメージリポジトリとの間でトラフィックがポート 443 を介して許可されている。*
- BoM ファイルは ~/.config/tanzu/tkg/bom/ にあり、その名前には Tanzu Kubernetes Grid バージョンが含まれています。たとえば、tkg-bom-v2.3.1+vmware.1 .yaml などです。
- すべての imageRepository 値に対して DNS ルックアップを実行して、CNAME を検索します。
（オプション）新しいキーペアを作成する、またはダウンロードパッケージのサムプリントを検証するための OpenSSL がローカルにインストールされている。「OpenSSL」を参照してください。
（オプション）次を備えた仮想ネットワーク (VNet)：
- 管理クラスタの制御プレーンノードのサブネット
- 制御プレーンサブネット上にあり、SSH および Kubernetes API サーバ接続を有効にする次の受信セキュリティルールを持つ、クラスタの VNet リソースグループ内のネットワークセキュリティグループ (NSG)：
  - すべての送信元と宛先に対してポート 22 経由の TCP を許可
  - すべての送信元と宛先に対してポート 6443 経由の TCP を許可（ポート 6443 は、作成するクラスタ内の仮想マシンで Kubernetes API が公開される場所）管理クラスタまたはワークロードクラスタについてこのポートを変更するには、クラスタの展開時に CLUSTER_API_SERVER_PORT 変数を設定します。
- 管理クラスタワーカーノードのサブネット
- クラスタの VNet リソースグループにあり、クラスタのワーカーノードサブネット上にある、管理クラスタワーカーノードの NSG
既存の VNet を使用しない場合は、インストールプロセスによって新しい VNet が作成されます。
ローカルにインストールされた Azure CLI。Microsoft Azure ドキュメントの「Azure CLI をインストールする方法」を参照してください。
LoadBalancer タイプのサービスをクラスベースのワークロードクラスタに展開する場合は、「Azure 上のクラスベースのワークロードクラスタの LoadBalancer サービスで、ゲートウェイまたはフロントエンドの手動構成が必要となる」で説明されているように、NAT ゲートウェイまたはその他のフロントエンドを構成します。

* または、外部ネットワークアクセスなしでインストールする場合は、「インターネットが制限された環境の準備」を参照してください。

管理クラスタのサイズ設定の例

次の表は、Azure 上の管理クラスタのサイズ設定の例を示しています。このデータを指針として、管理クラスタの規模を、展開するワークロードクラスタ数を処理できるサイズに調整してください。「ワークロードクラスタ仮想マシンサイズ」列には、「管理可能な最大規模…」列の例で使用された仮想マシンのサイズが一覧表示されます。

管理クラスタのプラン	管理クラスタ仮想マシンサイズ	管理可能な最大規模…	ワークロードクラスタ仮想マシンサイズ
3 台の制御プレーンノードと 3 台のワーカーノード	制御プレーンノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）ワーカーノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）	例： 5 台のワークロードクラスタ（各クラスタに 3 台の制御プレーンと 200 台のワーカーノードを展開）、または 10 台のワークロードクラスタ（各クラスタに 3 台の制御プレーンと 50 台のワーカーノードを展開）	制御プレーンノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）ワーカーノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）
3 台の制御プレーンノードと 3 台のワーカーノード	制御プレーンノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）ワーカーノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）	例：1 台のワークロードクラスタ（3 台の制御プレーンと 250 台のワーカーノードを展開）	制御プレーンノード：`Standard_D4s_v3`（CPU：4、メモリ：16 GB。SSD：32 GB）ワーカーノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）
3 台の制御プレーンノードと 3 台のワーカーノード	制御プレーンノード：`Standard_D4s_v3`（CPU：4、メモリ：16 GB。SSD：32 GB）ワーカーノード：`Standard_D4s_v3`（CPU：4、メモリ：16 GB。SSD：32 GB）	例：199 台のワークロードクラスタ（それぞれに 3 台の制御プレーンと 3 台のワーカーノードを展開）	制御プレーンノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）ワーカーノード：`Standard_D2s_v3`（CPU：2、メモリ：8 GB。SSD：16 GB）

既存の VNet の Azure NSG の作成

Azure 上の Tanzu Kubernetes Grid 管理クラスタとワークロードクラスタでは、VNet とその VNet リソースグループに次の 2 つのネットワークセキュリティグループ (NSG) を定義する必要があります。

CLUSTER-NAME-controlplane-nsg という名前の、クラスタの制御プレーンサブネットに関連付けられている NSG
CLUSTER-NAME-node-nsg という名前の、クラスタのワーカーノードサブネットに関連付けられている NSG

ここで、CLUSTER-NAME はクラスタの名前です。

注意
上記の形式に従わない NSG 名を指定すると、展開が妨げられる可能性があります。

管理クラスタに既存の VNet を指定する場合は、上記の「一般的な要件」の説明に従ってこれらの NSG を作成する必要があります。管理クラスタの既存の VNet は、インストーラインターフェイスの [既存の VNet を選択 (Select an existing VNet)] を使用するか、構成ファイルの AZURE_VNET_NAME を使用して指定します。

クラスタに既存の VNet を指定しない場合、展開プロセスによって新しい VNet と必要な NSG が作成されます。

クラスタの VNet、リソースグループ、およびサブネットを構成する方法については、「構成ファイル変数リファレンス」の Microsoft Azure の表を参照してください。

Azure クライアントアプリケーションとしての Tanzu Kubernetes Grid の登録

Tanzu Kubernetes Grid は、Azure リソースを、サービスプリンシパルを介して Azure にアクセスする登録済みクライアントアプリケーションとして管理します。サービスプリンシパルを作成し、Azure リソースへのアクセスを構成するには、az ad sp create-for-rbac コマンドを使用します。

az login を実行して、Azure CLI にログインします。

サービスプリンシパルを作成し、Owner ロールを割り当てます。

az ad sp create-for-rbac --role "Owner" --name "APP-NAME" --scopes /subscriptions/SUBSCRIPTION-ID/resourceGroups/RESOURCE-GROUP
az role assignment create --assignee APP-ID --role "Owner"

ここで、

APP-NAME は、サービスプリンシパルを指定する任意の名前です
SUBSCRIPTION-ID および RESOURCE-GROUP は Azure サブスクリプション ID および VNet リソースグループです
APP-ID は、az ad sp create-for-rbac から返される appId 値です

たとえば、Owner ロールを作成して tkg という名前のサービスプリンシパルに割り当てる場合は、次のようになります。

$ az ad sp create-for-rbac --role "Owner" --name "tkg" --scopes /subscriptions/c789uce3-aaaa-bbbb-cccc-a51b6b0gb405/resourceGroups/myrg
Creating 'Owner' role assignment under scope '/subscriptions/c789uce3-aaaa-bbbb-cccc-a51b6b0gb405'
The output includes credentials that you must protect. Be sure that you do not include these credentials in your code or check the credentials into your source control. For more information, see https://aka.ms/azadsp-cli
'name' property in the output is deprecated and will be removed in the future. Use 'appId' instead.
{
 "appId": "c407cfd4-aaaa-bbbb-cccc-80af703eb0ed",
 "displayName": "tkg",
 "name": "c407cfd4-aaaa-bbbb-cccc-80af703eb0ed",
 "password": "R6yM_.aaaabbbbccccdddd111122223333",
 "tenant": "9c117323-aaaa-bbbb-cccc-9ee430723ba3"
}
$ az role assignment create --assignee c407cfd4-aaaa-bbbb-cccc-80af703eb0ed --role "Owner"

出力を記録します。この情報は、次の「基本イメージライセンスの同意」の手順およびそれ以降に、管理クラスタを展開する際に使用します。az ad sp create-for-rbac でサポートされているオプションの完全なリストについては、Azure ドキュメントの「az ad sp create-for-rbac」を参照してください。

基本イメージライセンスの同意

Azure で管理クラスタ仮想マシンを実行するには、ベースとする Kubernetes バージョンとマシン OS のライセンスに同意します。

--plan およびサブスクリプション ID を指定して、az vm image terms accept コマンドを実行します。

Tanzu Kubernetes Grid v2.3.1 では、Kubernetes バージョン 1.26.8 およびマシン OS の Ubuntu 20.04 に基づいて、デフォルトのクラスタイメージの --plan の値は k8s-1dot26dot8-ubuntu-2004 になります。次のコマンドを実行します。

az vm image terms accept --publisher vmware-inc --offer tkg-capi-2022-06-24 --plan k8s-1dot26dot8-ubuntu-2004 --subscription AZURE_SUBSCRIPTION_ID

ここで、AZURE_SUBSCRIPTION_ID は Azure サブスクリプション ID です。

クラスタを展開するとき、および Tanzu Kubernetes Grid を新しいバージョンにアップグレードするたびに、使用するすべての Kubernetes バージョンまたは OS について、この手順を繰り返して基本イメージライセンスに同意する必要があります。

SSH キーペアの作成（オプション）

管理クラスタは、Tanzu CLI を使用して、「ブートストラップマシン」と呼ばれるマシンから展開します。Azure に接続するには、ブートストラップマシンから SSH キーペアのパブリックキー部分を受け取る必要があります。ブートストラップマシンに SSH キーペアがない場合は、ssh-keygen などのツールを使用して生成できます。

ブートストラップマシンで、次の ssh-keygen コマンドを実行します。
```
ssh-keygen -t rsa -b 4096 -C "[email protected]"
```
「Enter file in which to save the key (/root/.ssh/id_rsa):」というプロンプトで、Enter キーを押してデフォルト設定を受け入れます。
キーペアのパスワードを入力し、再入力します。
マシンで実行されている SSH エージェントにプライベートキーを追加し、前の手順で作成したパスワードを入力します。
```
ssh-add ~/.ssh/id_rsa
```
テキストエディタでファイル .ssh/id_rsa.pub を開き、管理クラスタの展開時に簡単にコピーアンドペーストできるようにします。

準備チェックリスト

次のチェックリストを使用して、Tanzu Kubernetes Grid 管理クラスタを Azure に展開する準備ができていることを確認します。

Tanzu CLI がインストールされている
- tanzu version を実行します。Tanzu Kubernetes Grid v2.3 と互換性のある CLI バージョンのリストについては、「製品の互換性マトリックス」を参照してください。
Azure アカウント
- Azure Web ポータル (https://portal.azure.com) にログインします。
Azure CLI がインストールされている
- az version を実行します。出力には、Microsoft Azure のドキュメントの「Azure CLI をインストールする方法」に記載されている Azure CLI の現在のバージョンがリストされているはずです。
tkg アプリケーションが登録されている
- Azure ポータルで [Active Directory] > [アプリケーションの登録 (App Registrations)] > [所有するアプリケーション (Owned applications)] を選択し、tkg アプリケーションが、上記の「Azure クライアントアプリケーションとしての Tanzu Kubernetes Grid の登録」にあるように、最新のシークレットとともに構成済みとしてリストされていることを確認します。
- または、Azure CLI で az ad sp show --id. を実行します。
ベース仮想マシンイメージのライセンスに同意している
- az vm image terms show --publisher vmware-inc --offer tkg-capi-2022-06-24 --plan k8s-1dot26dot8-ubuntu-2004 を実行します。出力には、"accepted": true が含まれているはずです。

次の手順

本番環境では、クラスタの ID 管理を有効にすることを強くお勧めします。* 管理クラスタを展開する前に実行する準備手順の詳細については、「ID 管理の構成」の「ID プロバイダの詳細の取得」を参照してください。* Tanzu Kubernetes Grid での ID 管理とアクセス制御の概念については、「ID とアクセス管理について」を参照してください。

外部インターネット接続のある環境で Tanzu Kubernetes Grid を使用している場合は、ID 管理を設定した時点で、管理クラスタを Azure に展開する準備が整います。

インストーラインターフェイスを使用して管理クラスタを展開します。これは、最初の展開に推奨されるオプションです。
構成ファイルから管理クラスタを展開します。これは、より複雑ですが、構成の柔軟性が高い方法です。
クラスタを Azure だけでなく、vSphere や AWS に展開する場合は、「vSphere への管理クラスタの展開の準備」や「AWS への管理クラスタの展開の準備」を参照して、これらのプラットフォームに必要な設定を確認してください。