クラスターの準備—ArcGIS Enterprise on Kubernetes

ArcGIS Enterprise on Kubernetes をデプロイする前に、クラスターを準備するための下記のガイダンスをご参照ください。

名前空間

ArcGIS Enterprise on Kubernetes は、独自の専用名前空間が必要です。名前空間は、デプロイメントスクリプトの実行前に作成しておく必要があります。 1 つのクラスターで複数の ArcGIS Enterprise on Kubernetes のデプロイメントを実行するには、デプロイメントごとに一意の名前空間が必要です。

リソースクォータ

ArcGIS Enterprise on Kubernetes のポッドには、CPU とメモリへの要求と制限が定義されています。名前空間に ResourceQuota オブジェクトがある場合は、クォータはすべてのポッドの要求と制限の合計より高い必要があります。これらの値は、下で説明するように、選択したアーキテクチャプロファイルによって異なります。

注意:

11.1 へのアップグレードを実行している場合は、まず名前空間のリソースクォータ値を 11.1 の要件に更新する必要があります。

次に示す推奨値は、各アーキテクチャプロファイルの最小要件です。自分の組織のスケーラビリティ要件に対応するには、これらの値の増加が必要になる場合があることを考慮してください。

高い可用性プロファイル:

spec: 
    hard: 
      limits.cpu: "230" 
      limits.memory: 394Gi 
      requests.cpu: "36" 
      requests.memory: 188Gi

標準の可用性プロファイル:

spec: 
    hard: 
      limits.cpu: "198" 
      limits.memory: 326Gi 
      requests.cpu: "32" 
      requests.memory: 130Gi

開発プロファイル:

spec: 
    hard: 
      limits.cpu: "144" 
      limits.memory: 226Gi 
      requests.cpu: "20" 
      requests.memory: 86Gi

名前空間のネットワーク要件

Kubernetes の NetworkPolicies を使用する場合、中断されないポッド間通信とポッドからサービスへの通信が ArcGIS Enterprise の名前空間で許可されていることを確認します。

さらに、名前空間内のポッドが Kubernetes API サーバーにアクセスできることを確認します。 API サーバーには、デフォルトの名前空間内にある Kubernetes という名前のサービスを通じてアクセス可能です。 ArcGIS Enterprise ポッドでは完全修飾ドメイン名 (FQDN) kubernetes.default.svc.cluster.local を使用して API サーバーのクエリを実行します。

注意:

クラスターのデフォルトドメインは cluter.local です。

ポッドセキュリティポリシー

注意:

PodSecurityPolicy は Kubernetes v1.25 で削除されました。

ArcGIS Enterprise on Kubernetes は Elasticsearch をデプロイして ArcGIS Enterprise 組織のさまざまな機能をサポートします。デフォルトでは、Elasticsearch は mmapfs ディレクトリを使用して必要なインデックスを格納します。オペレーティングシステムのデフォルトのマップ数の制限は、デプロイメントには不十分です。 Elasticsearch は、vm.max_map_count のデフォルト値として 262144 を推奨します。デフォルト値を変更するには、各ノードで上位 (ルート) 権限が必要です。

Kubernetes クラスターにポッドセキュリティポリシーが含まれており、コンテナーを権限付きまたは権限なしとして実行できるかどうかに応じて、次のアクションが必要です。

Kubernetes クラスターにポッドセキュリティポリシーが含まれていないが、コンテナーを権限付きとして実行できる場合は、アクションは必要ありません。
権限付きで実行 - Kubernetes クラスターにポッドセキュリティが定義されており、コンテナーを権限付きとして実行できる場合は、Elasticsearch サービスアカウントがコンテナーを権限付きとして実行できるようにする必要があります。他のサービスアカウントは、コンテナーを権限付きとして実行する必要はありません。 ArcGIS Enterprise on Kubernetes は Elasticsearch を実行しているノードで権限付きの init コンテナーを実行できます。これにより、vm.max_map_count 値が変更されます。 ArcGIS Enterprise on Kubernetes デプロイメントスクリプトが名前空間の下にサービスアカウントを作成し、ポッド内のプロセスに対して API Server 認証を使用します。 Elasticsearch のポッドでは独自のサービスアカウントを使用しますが、これは他のワークロードとは共有されません。デフォルトの Elasticsearch サービスアカウントは arcgis-elastic-serviceaccount です。 RBAC ロールと RoleBindings を使用し、サービスアカウントにポッドセキュリティポリシーへのアクセス権を付与できます。 OpenShift の場合は、ユーザーセクションに以下を追加することで、このサービスアカウントに、権限付きのセキュリティコンテキスト制約へのアクセスを許可することができます。
```
“-system:serviceaccount: <Namespace>:arcgis-elastic-serviceaccount"
```
権限なしで実行 - Kubernetes クラスターにポッドセキュリティが定義されており、ElasticSearch サービスアカウントでコンテナーを権限付きで実行することを許可できない場合、ルートで次のコマンドを実行し、各ノードを手動で準備する必要があります。
```
sysctl -w vm.max_map_count=262144
```
PodSecurityPolicy リソースを作成した場合、ArcGIS Enterprise 名前空間で次のサービスアカウントを認証する必要があります。
- arcgis-admin-serviceaccount
- arcgis-elastic-serviceaccount
- arcgis-ingress-serviceaccount
- arcgis-prometheus-serviceaccount
- arcgis-queue-serviceaccount
- default
ArcGIS Enterprise on Kubernetes コンテナーは、ルート権限なしで実行できます。ただし、PodSecurityPolicy の fsGroup および supplementalGroups の制御面には、以下の例に示すように、RunAsAny か、値 117932853 を含む範囲が必要です。
```
supplementalGroups:
    rule: 'RunAsAny'
fsGroup:
    rule: 'RunAsAny'
```
```
supplementalGroups:
  rule: 'MustRunAs'
  ranges:
    # Forbid adding the root group.
    - min: 117932853
      max: 117932853

fsGroup:
  rule: 'MustRunAs'
  ranges:
    # Forbid adding the root group.
    - min: 117932853
      max: 117932853
```

注意:

クラスター内のポッドは、FSGroup および SupplementalGroup ID が 117932853 での実行を許可されている必要があります。

ポッドセキュリティ標準

ポッドセキュリティ標準は、ポッドがクラスター内でスケジュールされる前にそれらのポッドに対して一連のセキュリティ規則を管理者が適用できるようにする Kubernetes の機能です。デフォルトでは、権限付き、ベースライン、制限付きの 3 つのレベルを使用できます。これらの標準の警告および適用は名前空間単位で制御されます。

ベースラインまたは制限付きの適用レベルが設定された場合、これらのレベルのセキュリティ要件を満たさないポッドの実行は許可されません。各レベルの詳細については、下記をご参照ください。

権限付き - 権限付きは、幅広い権限への無制限アクセスを許可する無制限のポッドセキュリティ標準です。このレベルでは、構成を変更せずに ArcGIS Enterprise を実行できます。このレベルでは、クラスター内での既知の権限エスカレーションが可能になるため、このレベルでの実行は推奨されていません。
ベースライン - ベースラインは、より制限されたポッドセキュリティ標準であり、ポッドからホストファイルシステムへのアクセスを禁止し、他のボリュームおよびケーパビリティのタイプを制限します。ベースライン適用レベルでは、実行中のアプリケーションのコンテキスト外にある基本のワーカーノードを変更し、デプロイメントの前にデプロイメントプロパティファイル内の ALLOW_PRIVILEGED_CONTAINERS プロパティを false に設定することで ArcGIS Enterprise を実行できます。
ワーカーノードグループの弾力性を一致させるために、管理者はスクリプト化されたプロセスを使用して、新規にプロビジョニングされたノードごとに起動テンプレートを直接変更して vm.max_map_count 設定を 262144 まで上げる必要があります。
制限付き - 制限付きポッドセキュリティ標準では、ポッドのセキュリティに対して最も厳格な制限が提示され、大部分の securityContext が明示的に設定される必要があります。このリリースでは、ArcGIS Enterprise を制限付きレベルで実行することはできません。

詳細については、「Pod のセキュリティアドミッション」および「Pod セキュリティの標準」をご参照ください。

メトリクスサーバー

ArcGIS Enterprise on Kubernetes で水平ポッド自動スケーリングを利用するには、メトリクスサーバーが、実行中のノードごとに kubelet プロセスからポッドのリソース消費メトリクスをスクレイピングする必要があります。詳細については、「Kubernetes メトリクスサーバー」をご参照ください。

このトピックへのフィードバック

名前空間

リソース クォータ

注意:

名前空間のネットワーク要件

注意:

ポッド セキュリティ ポリシー

注意:

注意:

ポッド セキュリティ標準

メトリクス サーバー

このトピックの内容

リソースクォータ

ポッドセキュリティポリシー

ポッドセキュリティ標準

メトリクスサーバー