连接到虚拟机

Google Distributed Cloud (GDC) air-gapped appliance 使用基于密钥的 SSH 身份验证建立与虚拟机实例的连接。默认情况下，系统不会为具有操作系统的虚拟机上的本地用户配置密码。

准备工作

在连接到虚拟机之前，您必须满足以下前提条件：

  • 在虚拟机所在的项目中设置 ProjectNetworkPolicy (PNP) 自定义资源。
    • 通过在项目中设置 PNP，您可以在项目或组织外部访问虚拟机。
    • 如需诊断您是否没有 PNP，请咨询您的基础架构运维人员 (IO)。
  • 登录集群的访问权限。按照 登录 中的 CLI 步骤登录集群。

    • 如需使用 gdcloud 命令行界面 (CLI) 命令，请确保您已下载、安装、 并配置 gdcloud CLI。 GDC air-gapped appliance 的所有命令都使用 gdcloud 或 kubectl CLI，并且需要操作系统环境。

    获取 kubeconfig 文件路径

    如需针对 Management API 服务器运行命令，请确保您拥有以下资源：

    1. 找到 Management API 服务器名称，或咨询您的平台管理员 (PA) 服务器名称是什么。

    2. 如果您没有 Management API 服务器的 kubeconfig 文件，请登录并生成该文件。

    3. 使用该路径替换这些说明中的 MANAGEMENT_API_SERVER{"</var>"}}。

    请求权限和访问权限

    如需执行本页列出的任务，您必须具有 Project VirtualMachine Admin 角色。按照相应步骤验证或让您的 Project IAM 管理员在虚拟机所在项目的命名空间中为您分配 Project VirtualMachine Admin (project-vm-admin) 角色。

    对于使用 GDC 控制台或 gdcloud CLI 的虚拟机操作，请让您的 Project IAM 管理员为您分配 Project VirtualMachine Admin 角色和 Project Viewer (project-viewer) 角色。

    建立虚拟机连接

    本部分介绍如何建立与具有特定操作系统的虚拟机的连接。

    连接到虚拟机

    如需建立与具有特定操作系统的虚拟机的连接，请使用 GDC 控制台、gdcloud CLI 或 Virtual Machine Manager API。

    控制台

    1. 在导航菜单中，点击虚拟机 > 实例 。

    2. 在虚拟机列表中，找到要连接的正在运行的虚拟机所在的行。在连接 列中，点击 SSH 。

    3. 系统会打开 SSH 浏览器终端。在 shell 中输入任何命令，或点击 FTP 以浏览文件结构并上传文件。

    gdcloud

    通过运行 gdcloud compute ssh 命令 使用 SSH 连接到虚拟机

    gdcloud compute ssh VM_NAME --project=PROJECT_ID

    替换以下变量：

    • VM_NAME：虚拟机的名称。
    • PROJECT_ID：包含 虚拟机的项目的 ID。

    如果您已为 CLI 设置默认属性，则可以在此命令中省略 --project 标志。例如：

    gdcloud compute ssh VM_NAME

    API

    连接到虚拟机：

    • 打开终端。
    • 创建 SSH 密钥对。
    • 上传公钥和用户名，并指定存留时间 (TTL) 值。

    GDC 会检索 SSH 密钥和用户名，并使用该用户名创建一个用户账号。在虚拟机上，GDC 会将公钥存储在虚拟机上用户的 ~/.ssh/authorized_keys 文件中。

    如需从命令行连接到虚拟机，请完成以下步骤：

    1. 创建 SSH 密钥对和用户名。

      在操作系统工作站上，使用 ssh-keygen 实用程序创建新的 SSH 密钥对。以下代码示例会创建一个 RSA （Rivest–Shamir–Adleman）密钥对：

      ssh-keygen -t rsa -f ~/.ssh/KEY_FILENAME -C USERNAME -b 2048

      使用以下定义替换变量。

      变量定义
      KEY_FILENAME SSH 密钥文件的名称。例如，如果文件名为 my-ssh-key，则系统会生成一个名为 my-ssh-key 的私钥文件和一个名为 my-ssh-key.pub 的公钥文件。
      USERNAME 您在虚拟机上的用户名，例如 testuser 或 testuser_gmail_com。

      ssh-keygen 实用程序会将您的私钥文件保存在 ~/.ssh/KEY_FILENAME 路径中，并将公钥文件保存在 ~/.ssh/KEY_FILENAME.pub 路径中。

      用户 testuser 的公钥类似于以下示例：

      ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDAu5kKQCPF... testuser

    2. 将密钥上传到虚拟机，并使用密钥的公钥、用户名和存留时间 (TTL) 值创建 Kubernetes 资源。

      以下示例使用 access_request.yaml 文件向具有 KEY_FILENAME 私钥且 TTL 值为 10 分钟的虚拟机实例授予访问权限：

      apiVersion: virtualmachine.gdc.goog/v1
kind: VirtualMachineAccessRequest
metadata:
  namespace: VM_NAMESPACE
  name: AR_NAME
spec:
  ssh:
    key: |
      ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDAu5kKQCPF... cloudysanfrancisco
    ttl: 10m
  user: USERNAME
  vm: VM_NAME

      使用以下定义替换变量：

      变量定义
      VM_NAMESPACE 虚拟机的命名空间。
      AR_NAME 访问请求名称。
      USERNAME 您在虚拟机上的用户名，例如 testuser 或 testuser_gmail_com。
      VM_NAME 虚拟机实例的名称。

    3. 创建密钥：

      kubectl create -f access_request.yaml --kubeconfig MANAGEMENT_API_SERVER

    4. 查看访问请求的状态：

      kubectl get virtualmachineaccessrequests.virtualmachine.gdc.goog -n VM_NAMESPACE --kubeconfig MANAGEMENT_API_SERVER

      将 VM_NAMESPACE 替换为虚拟机的命名空间。

      configured 状态表示您可以连接到虚拟机。

    5. 连接到虚拟机：

      ssh -i PATH_TO_PRIVATE_KEY USERNAME@EXTERNAL_IP

      替换以下值：

      • PATH_TO_PRIVATE_KEY ：与您添加到虚拟机的公钥对应的 SSH 私钥文件的路径。
      • USERNAME ：您在创建 SSH 密钥时指定的用户名。例如，cloudysanfrancisco_example_com 或 cloudysanfrancisco。
      • EXTERNAL_IP：虚拟机的外部 入站流量 IP 地址 。

    问题排查

    本部分介绍如何在创建访问请求后排查连接到虚拟机实例时可能出现的问题。

    请按照以下步骤操作，以找出可能存在的问题：

    1. 验证虚拟机是否正在运行。在以下命令中，将可修改的变量替换为您的值：

      kubectl get virtualmachines.virtualmachine.gdc.goog VM_NAME -n VM_NAMESPACE --kubeconfig MANAGEMENT_API_SERVER

      如果虚拟机未运行，您将无法连接或配置新请求。

    2. 验证虚拟机是否已运行几分钟。如果虚拟机刚刚启动，则 SSH 访问所需的必要服务可能尚未运行。 通常，这些服务会在启动后五分钟内运行。

    3. 验证您是否未超出访问请求的 TTL 值。时间达到 TTL 值后，系统会移除密钥。

    4. 如果您的 VirtualMachineAccessRequest 显示 configured 状态，请验证以下要求：

      1. 您已在端口 22 上启用向虚拟机传入的数据传输。
      2. 您的机器会路由到虚拟机。例如，您可以使用
        curl -vso /dev/null --connect-timeout 5 EXTERNAL_IP:22 命令 检查路由。

    5. 如果您的 VirtualMachineAccessRequest 显示 failed 状态，请查看完整状态并查看错误消息，以了解导致请求失败的原因：

      kubectl describe virtualmachineaccessrequest.virtualmachine.gdc.goog AR_NAME -n VM_NAMESPACE --kubeconfig MANAGEMENT_API_SERVER

      将上述命令中的可修改变量替换为您自己的值。

    6. 如果 VirtualMachineAccessRequest 的状态为空，则客机环境可能未运行。