Anthos Config Management

以下のようなyamlベースのマニュフェストでGoogle Cloudリソースを管理できる。IaC的なイメージ。
従来のTerraformによる環境構築ではHCLでの定義とkubernetes環境のyaml定義が混在し管理が煩雑であったものをどちらもk8sライクなyamlベースで管理できるようにしたもの。(Kubernetes Resource Model (KRM) といわれるらしい。)
また、ポリシーを定義できることでガードレールとしての機能もある。

# test.yaml
  
# テスト用プロジェクト
apiVersion: resourcemanager.cnrm.cloud.google.com/v1beta1
kind: Project
metadata:
  annotations:
    cnrm.cloud.google.com/auto-create-network: "false"
  name: cc-test-prj
  namespace: config-control
spec:
  # name (プロジェクト名、ディスプレイ表示) と resourceID (プロジェクトID) は一致させる
  name: cc-test-prj
  resourceID: cc-test-prj
  folderRef:
    # フォルダID
    external: "1111111111111"
  billingAccountRef:
    # 請求先アカウントID
    external: "222222-222222-222222"
---
# テスト用 Storage バケット
apiVersion: storage.cnrm.cloud.google.com/v1beta1
kind: StorageBucket
metadata:
  annotations:
    cnrm.cloud.google.com/project-id: cc-test-prj
    cnrm.cloud.google.com/state-into-spec: absent
  name: cc-test-prj-demo-bucket
  namespace: config-control
spec:
  storageClass: STANDARD
  location: asia-northeast1
  uniformBucketLevelAccess: true
---

▲ 以下より転載

以下の3部構成。

Policy Controller
- セキュリティやコンプライアンスに沿ったポリシーを事前定義する
- ポリシーに合致しないAPIリクエストをブロックできる

Config Sync
- Gitリポジトリに格納されている構成をKubernetesクラスタに継続的に反映、調整する
- 各種Gitプラットフォームのパイプライン機能と組み合わせることで、CI/CDが可能になる

Config Controller
- Google Cloud, Anthosのリソースのプロビジョニングとオーケストレーションを行う
- yaml形式のファイル(kubernetesマニフェスト)によるリソース管理ができる

実体はk8sクラスタが構築され、上記のコンポーネントが立ち上がる。
- そのため料金は Anthos Config Managementの費用と K8sクラスタのノードの費用がかかる。
このk8sクラスやそのVPCなど幾つかはコンソールやTerraform、gcloudコマンドなりで作成しておく必要あり。

Config Controller

Config Connector のホスト型バージョン
- 内部的にはConfig Connector と呼ばれる Kubernetes アドオンを利用。
- 公式だと元からConfig Connectorと記載されてる。
Workload Identityでサービスアカウント連携されてリソースを操作できる。

Config Controller インスタンスを作成する

インスタンスを作成するといってるけど実体はクラスタを起動していてその中でPodを起動してるという意味と解釈。それってインスタンスを起動っていうの？

具体的には Config Connector は CRD と controller を提供してくれます。CRD は Google Cloud のリソースを表現するためのもので、Google Cloud のリソースを作成したい場合はそのリソースに対応する Custom Resource をクラスタに apply します。すると、cnrm-system ネームスペースに存在する controller が先ほど apply した Custom Resource を元に実際のリソースを作成してくれます。

CRDって何？ → あまりヒットしない。一旦パス TODO

Config Controller には Policy Controller と Config Sync も含まれています。

公式に謎記述。　→ Anthos Config Managementってもう言わない？ TODO

Config Sync

構成ファイルをGit連携する。
- しない場合はConfig Controllerに直接kubectlする。applyとかdeleteとか、クラスタいじるのと同じ感覚でGoogle Cloud リソースを作成削除できる。
Config Controller クラスタ(?)は限定公開クラスタとして作成されるのでGitHubなど外部アクセスのためにはCloud NATを作成する必要あり。

Policy Controller

Open Policy Agent (OPA) Gatekeeper ベースのサービス。ポリシーを設定してポリシーに準拠しない変更をもたらす API リクエストをブロック。

制約テンプレート(ConstraintTemplate)を定義したyamlを利用。デフォルトで用意もある。
- Rego (Native Query Language)で記述。
組織ポリシー(Organization policies)よりも柔軟にポリシーを作成可能。
- 拡張したカスタム制約テンプレートの作成
- 組織ポリシー自体もCOnfig Controllerで管理可能なため誤った無効化などのオペミス防止にも。

今だと組織ポリシーも作成可能じゃなかったっけ？ → TODO

Terraformとの違い

K8sの仕組みにより管理するため、Reconciliation Loopに従いリソースの状態を維持。= ドリフトが起きない。
Configuration as Data (CaD) vs Infrastructure as Code (IaC) ？
- おそらく、実体であるリソースを削除してもそれを検知して元の状態に戻してくれる仕組みが搭載されてるってことを言いたいものと認識。

参考

Kept1994 11日前

→ Config Controllerこの記述は誤りと予想。
以下参照するに、 Config Controller=Config Connecterではなくこれまで自前構築が必要だったものをマネージドサービス化したものがConfig Controllerということで他2つのコンポーネントも含んだものになると考える。

Kept1994 11日前

事例？メルカリ

Anthos Config Management

Config Controller

Config Sync

Policy Controller

Terraformとの違い

参考

Cloud Deploy

Access Context Manager

アクセスレベル

Cloud Run

Cloud Functions

Eventarc

Cloud Foundation Toolkit & Cloud Foundation Fabric

Packer

Loggingのコスト削減

Cloud Monitoring

Metrics Explorer

Binary Authorization / Container Analysis (Artifact Registory)

SLO

SLI

Cloud Logging

Cloud Run

Cloud Operation Suite Kubernetes Engine Monitoring

Network Service

Looker Studio (旧Data Studio)

ログビュー

Web Security Scanner (旧Cloud Security Scanner)

Artifact Resistory

Network Connectivity Center

Cloud Profiler

gcloud auth login

gcloud auth application-default login

Workflows

Terraform