kubernetes - Google Cloud Build 部署到 GKE 私有(private)集群

Question

我正在运行带有“私有(private)集群”选项的 Google Kubernetes Engine。
我还定义了“授权主网络”以能够远程访问环境——这很好用。
现在我想使用 Google Cloud Build 设置某种 CI/CD 管道 -
成功构建新的 docker 镜像后，这个新镜像应该会自动部署到 GKE。
当我第一次启动新管道时，部署到 GKE 失败 - 错误消息类似于:“无法连接到服务器:dial tcp xxx.xxx.xxx.xxx:443: i/o timeout”。
由于我怀疑“授权主网络”选项是连接超时的根本原因，因此我已将 0.0.0.0/0 添加到允许的网络并再次启动 Cloud Build 作业 - 这次一切顺利，之后创建了 docker 镜像，并将其部署到 GKE。好的。

剩下的唯一问题是我真的不想让整个互联网都能够访问我的 Kubernetes 主服务器——这是个坏主意，不是吗？

是否有更优雅的解决方案可以通过使用允许的主网络并能够通过云构建进行部署来缩小访问范围？

Answer 1

在这个谷歌文档之后，我让 cloudbuild 与我的私有(private) GKE 集群一起工作:
https://cloud.google.com/architecture/accessing-private-gke-clusters-with-cloud-build-private-pools
这允许我使用 cloudbuild 和 terraform 来管理 GKE 集群，并启用对控制平面的授权网络访问。我考虑尝试维护一个荒谬的白名单，但这最终会破坏使用授权网络访问控制的目的。
我会注意到，cloudbuild 私有(private)池通常比非私有(private)池慢。这是由于私有(private)池的无服务器特性。到目前为止，我还没有经历过其他人提到的速率限制。