Verifique se a versão do SDK do Cloud é 243.0.0 ou posterior.
Opcional, mas recomendado: no painel de navegação, em Cluster, clique em Recursos e ative as Operações do Cloud para GKE para que as mensagens do gVisor sejam registradas.
No painel de navegação, em Pools de nós, expanda o novo pool de nós e clique em Nós.
Na lista suspensa Tipo de imagem, selecione Container-Optimized OS com Containerd (cos_containerd). Esse é o único tipo de imagem compatível com o GKE Sandbox.
Em Configuração da máquina, selecione uma Série e um Tipo de máquina.
Observação: o GKE Sandbox não é compatível com os tipos de máquina e2-micro, e2-small e e2-medium.
No painel de navegação, abaixo do nome do pool de nós que você está configurando, clique em Segurança e marque a caixa de seleção Ativar sandbox com o gVisor.
Continue configurando os pools de nós e de cluster como quiser.
O GKE Sandbox não pode ser ativado para o pool de nós padrão e não é possível criar outros pools de nós ao mesmo tempo que você cria um novo cluster usando o comando gcloud. Em vez disso, crie seu cluster normalmente. Embora seja opcional, é recomendável ativar o Cloud Operations para GKE para que as mensagens do gVisor sejam registradas.
Em seguida, use o comando gcloud container node-pools create e defina a sinalização -- sandbox como type=gvisor. O tipo de imagem do nó precisa ser cos_containerd para o GKE Sandbox.
Substitua as seguintes variáveis:
NODE_POOL_NAME: o nome do novo pool de nós.
NODE_VERSION: a versão a ser usada no pool de nós.
MACHINE_TYPE: o tipo de máquina a ser usado para os nós. O GKE Sandbox não é compatível com os tipos de máquina e2-micro, e2-small e e2-medium.
Antes de 1.18.4-gke.1300, a RuntimeClass do gvisor é instanciada durante a criação do nó. Antes de qualquer carga de trabalho ser programada no nó, verifique a existência da RuntimeClass do gvisor usando o comando a seguir:
Se você estiver executando uma versão anterior à 1.17.9-gke.1500 ou uma versão 1.18 anterior a 1.18.6-gke.600, também precisará esperar que gvisor.config.common-webhooks.networking.gke.io seja instanciado. Para verificar, use o comando a seguir:
É possível ativar o GKE Sandbox em um cluster atual adicionando um novo pool de nós e ativando o recurso para esse pool de nós.
Para criar um novo pool de nós com o GKE Sandbox ativado:
Configure a página Detalhes do pool de nós como quiser.
No painel de navegação, clique em Nós e defina as seguintes configurações:
No painel de navegação, clique em Segurança e marque a caixa de seleção Ativar sandbox com o gVisor.
O tipo de imagem do nó precisa ser cos_containerd para o GKE Sandbox.
Opcional: ativar operações do Cloud para o GKE
É opcional, mas recomendável, ativar as Operações do Cloud para o GKE no cluster para que as mensagens do gVisor sejam registradas. As operações do Cloud para o GKE são ativadas por padrão para novos clusters.
Use o Console do Google Cloud para ativar esses recursos em um cluster atual.
Em Recursos, no campo Operações do Cloud para o GKE, clique em edit Editar operações do Cloud para o GKE.
Marque a caixa de seleção Ativar operações do Cloud para o GKE.
Na lista suspensa, selecione Geração de registros e monitoramento do sistema e de cargas de trabalho.