Persyaratan vSphere

Google Distributed Cloud berjalan di infrastruktur Anda dalam lingkungan vSphere. Dokumen ini menjelaskan persyaratan untuk lingkungan vSphere Anda.

Halaman ini ditujukan bagi Admin dan arsitek yang menentukan solusi IT dan arsitektur sistem sesuai dengan strategi perusahaan, serta membuat dan mengelola kebijakan terkait izin pengguna. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten, lihat Peran dan tugas pengguna GKE umum. Google Cloud

Kompatibilitas versi

Persyaratan vSphere bervariasi sesuai dengan versi Google Distributed Cloud yang Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat matriks kompatibilitas versi untuk versi yang didukung sepenuhnya.

Versi yang didukung

vSphere adalah software virtualisasi server VMware. vSphere mencakup ESXi dan vCenter Server.

Google Distributed Cloud mendukung versi ESXi dan vCenter Server berikut

  • Update 2 7.0 dan update versi 7.0 yang lebih baru
  • Update 8.0 dan yang lebih baru dari versi 8.0

Sebaiknya gunakan 8.0, atau 7.0 Update 3, atau update versi 7.0 yang lebih baru.

Jika Anda ingin membuat snapshot volume CSI, Anda harus memiliki salah satu versi berikut:

  • 7.0 Update 3 atau update versi 7.0 yang lebih baru
  • 8.0 atau update versi 8.0 yang lebih baru

Persyaratan lisensi

Anda memerlukan salah satu lisensi berikut:

Persyaratan hardware

Google Distributed Cloud berjalan di serangkaian host fisik yang menjalankan hypervisor ESXi VMware. Untuk mempelajari persyaratan hardware untuk ESXi, lihat Persyaratan Hardware ESXi.

Untuk lingkungan produksi, sebaiknya lakukan hal berikut:

Jika Anda menyetel antiAffinityGroups.enabled ke true, Google Distributed Cloud akan membuat aturan anti-afinitas DRS untuk node cluster Anda, sehingga node tersebut tersebar di setidaknya tiga host ESXi fisik. Meskipun aturan DRS mewajibkan node cluster tersebar di tiga host ESXi, sebaiknya Anda memiliki setidaknya empat host ESXi yang tersedia. Tindakan ini melindungi Anda dari kehilangan bidang kontrol cluster. Misalnya, Anda hanya memiliki tiga host ESXi, dan node bidang kontrol cluster admin Anda berada di host ESXi yang gagal. Aturan DRS akan mencegah node bidang kontrol ditempatkan di salah satu dari dua host ESXi yang tersisa.

Untuk evaluasi dan bukti konsep, Anda dapat menyetel antiAffinityGroups.enabled ke false, dan hanya menggunakan satu host ESXi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan infrastruktur minimal.

Hak istimewa akun pengguna vCenter

Untuk menyiapkan lingkungan vSphere, administrator organisasi dapat memilih untuk menggunakan akun pengguna vCenter yang memiliki peran Administrator Server vCenter. Peran ini memberikan akses penuh ke semua objek vSphere.

Setelah lingkungan vSphere disiapkan, administrator cluster dapat membuat cluster admin dan cluster pengguna. Administrator cluster tidak memerlukan semua hak istimewa yang diberikan oleh peran Administrator Server vCenter.

Saat administrator atau developer membuat cluster, mereka akan memberikan akun pengguna vCenter dalam file konfigurasi kredensial. Sebaiknya akun pengguna vCenter yang tercantum dalam file konfigurasi kredensial diberi satu atau beberapa peran khusus yang memiliki hak istimewa minimum yang diperlukan untuk pembuatan dan pengelolaan cluster.

Ada dua pendekatan berbeda yang dapat dilakukan administrator organisasi:

  • Buat beberapa peran dengan tingkat hak istimewa yang berbeda-beda. Kemudian, buat izin yang menetapkan peran terbatas tersebut kepada pengguna atau grup pada setiap objek vSphere.

  • Buat satu peran yang memiliki semua hak istimewa yang diperlukan. Kemudian, buat izin global yang menetapkan peran tersebut kepada pengguna atau grup tertentu di semua objek dalam hierarki vSphere Anda.

Sebaiknya gunakan pendekatan pertama, karena membatasi akses dan meningkatkan keamanan lingkungan vCenter Server Anda. Untuk mengetahui informasi selengkapnya, lihat Menggunakan Peran untuk Menetapkan Hak Istimewa dan Praktik Terbaik untuk Peran dan Izin

Untuk mengetahui informasi tentang cara menggunakan pendekatan kedua, lihat Membuat satu izin global.

Tabel berikut menunjukkan empat peran khusus yang dapat dibuat oleh administrator organisasi. Administrator kemudian dapat menggunakan peran khusus untuk menetapkan izin pada objek vSphere tertentu:

Peran khususHak IstimewaObjekSebarkan ke
objek turunan?
ClusterEditor System.Read
System.View
System.Anonymous
Host.Inventory.Modify cluster 		cluster Ya
SessionValidator System.Read
System.View
System.Anonymous
Sessions.Validate session
Cns.Searchable
Profile-driven storage.Profile-driven storage view 		Server vCenter Root Tidak
ReadOnly System.Read
System.View
System.Anonymous 		pusat data
jaringan 		Ya
Anthos Hak istimewa dalam peran Anthos datastore
resource pool
VM folder
network 		Ya

Hak istimewa dalam peran kustom Anthos

Membuat peran dan izin khusus

Administrator organisasi dapat menggunakan alat command line govc untuk membuat peran dan izin kustom.

Administrator organisasi harus memiliki akun vCenter Server yang memiliki hak istimewa yang memadai untuk membuat peran dan izin. Misalnya, akun yang memiliki peran Administrator akan sesuai.

Sebelum menjalankan govc, tetapkan beberapa variabel lingkungan:

  • Setel GOVC_URL ke URL instance vCenter Server Anda.

  • Tetapkan GOVC_USERNAME ke nama pengguna akun vCenter Server administrator organisasi.

  • Tetapkan GOVC_PASSWORD ke sandi akun vCenter Server administrator organisasi.

Contoh:

export GOVC_URL=vc-01.example
export GOVC_USERNAME=alice@vsphere.local
export GOVC_PASSWORD=8ODQYHo2Yl@

Membuat peran ubahsuaian

Buat peran khusus ClusterEditor, SessionValidator, dan ReadOnly:

govc role.create ClusterEditor System.Read System.View System.Anonymous Host.Inventory.EditCluster
govc role.create SessionValidator System.Read System.View System.Anonymous Sessions.ValidateSession Cns.Searchable StorageProfile.View
govc role.create ReadOnly System.Read System.View System.Anonymous

Buat izin yang memberikan peran ClusterEditor

Izin mengambil pasangan (pengguna, peran) dan mengaitkannya dengan objek. Saat menetapkan izin pada objek, Anda dapat menentukan apakah izin diteruskan ke objek turunan. Dengan govc, Anda dapat melakukannya dengan menetapkan flag --propagate ke true atau false. Defaultnya adalah false.

Buat izin yang memberikan peran ClusterEditor kepada pengguna pada objek cluster. Izin ini diterapkan ke semua objek turunan dari objek cluster:

govc permissions.set -principal ACCOUNT \
 -role ClusterEditor -propagate=true CLUSTER_PATH`

Ganti kode berikut:

  • ACCOUNT: akun pengguna vCenter Server yang diberi peran

  • CLUSTER_PATH: jalur cluster dalam hierarki objek vSphere

Misalnya, perintah berikut membuat izin yang mengaitkan pasangan (bob@vsphere.local, ClusterEditor dengan my-dc/host/my-cluster. Izin diteruskan ke semua objek turunan my-dc/host/my-cluster:

govc permissions.set -principal bob@vsphere.local \
    -role ClusterEditor -propagate=true my-dc/host/my-cluster

Membuat izin tambahan

Bagian ini memberikan contoh pembuatan izin tambahan. Ganti jalur objek contoh sesuai kebutuhan untuk lingkungan Anda.

Buat izin yang memberikan peran SessionValidator ke akun pada objek vCenter Server root. Izin ini tidak di-propagate ke objek turunan:

govc permissions.set -principal ACCOUNT \
    -role SessionValidator -propagate=false

Buat izin yang memberikan peran ReadOnly ke akun pada objek pusat data dan objek jaringan. Izin ini diteruskan ke objek turunan:

govc permissions.set -principal ACCOUNT \
    -role ReadOnly -propagate=true \
    /my-dc \
    /my-dc/network/my-net

Buat izin yang memberikan peran Anthos ke akun pada empat objek: datastore, folder VM, kumpulan resource, dan jaringan. Izin ini diwariskan ke objek turunan:

govc permissions.set -principal ACCOUNT -role Anthos -propagate=true \
    /my-dc/datastore/my-ds  \
    /my-dc/vm/my-folder \
    /my-dc/host/my-cluster/Resources/my-rp \
    /my-dc/network/my-net

Membuat satu izin global

Bagian ini memberikan alternatif untuk membuat beberapa peran dan beberapa izin. Sebaiknya jangan lakukan pendekatan ini karena memberikan serangkaian besar hak istimewa pada semua objek dalam hierarki vSphere Anda.

Jika Anda belum membuat peran khusus Anthos, buat sekarang.

Buat satu izin global:

govc permissions.set -principal ACCOUNT \
 -role Anthos -propagate=true

Ganti kode berikut:

Ganti ACCOUNT dengan akun pengguna vCenter Server yang diberi peran

Misalnya, perintah berikut membuat izin global yang memberikan peran Anthos kepada bob@vsphere.local. Izin diteruskan ke semua objek di hierarki vSphere Anda:

govc permissions.set -principal bob@vsphere.local -role Anthos -propagate=true

Masalah umum

Lihat Penginstal gagal saat membuat datadisk vSphere.

Langkah berikutnya

Persyaratan CPU, RAM, dan penyimpanan