TMC Self-Managed 提升跨多云环境安全性

作为云原生技术栈的关键技术之一，Kubernetes 被企业用户广泛试用并开始支撑实际业务应用运行，实现技术先进性带来的生产力提升。但与此同时，随着 Kubernetes 技术的不断广泛与深化使用，企业用户也开始面临诸多技术上的挑战，诸如在不同的基础架构环境中（私有数据中心、公有云或边缘计算）统一管理的复杂度高，跨不同环境将 Kubernetes 作为一项标准服务交付到不同团队极具挑战性，不同环境和团队的运维方式不一致会导致安全性和合规性风险等等。

面对如此诸多挑战，VMware 推出了面向多云 / 混合云环境的 Kubernetes 资源统一管理的产品解决方案，VMware Tanzu Mission Control（简称 TMC）。这是一个集中式的管理平台，可跨多云环境和多集群进行一致的运维管理和安全保护。它为运维人员提供了单一控制点，使开发人员能够根据需要独立地推进业务向前发展，同时确保跨不同环境实现一致的管理和运维，以提升安全性和监管效果。

长久以来，TMC 只能以提供 SaaS 服务的方式供客户订阅使用。但是在很多情况下，尤其是一些对网络隔离性要求极高的用户，不允许将私有的 Kubernetes 集群开放给公网，导致这些用户无法使用 TMC 解决方案。所以，VMware 针对这种场景正式发布了 TMC 自管理版本（TMC Self-managed，TMC-SM) ，它将 TMC 作为本地部署的方式推向市场，使原先无法使用 TMC SaaS 服务的用户能够尝试使用该 Kubernetes 管理平台，或者原有 SaaS 用户在一些特殊情况下（比如断网）能够作为管理平台的高可用性备份。

本文将主要介绍 TMC-SM 的高层次架构以及部署步骤，让读者快速掌握和了解 TMC-SM 的功能。

高层次架构

TMC-SM 部署全部基于云原生，所以需要一个遵循 CNCF 规范的 Kubernetes 集群。TMC-SM 的高层次架构用一张图来表示如下：

在这里插入图片描述

其中：

灰色的部分需要用户自己提供，主要包括：基础架构的 CNI 组件，CSI 组件以及外部负载均衡器（LB）；遵循 OIDC 标准的身份管理服务；私有镜像仓库；证书管理器和相关 secrets 等。
紫色的部分是自带的支撑服务组件，主要包括 Ingress 控制器 - Contour，登录服务 - Pinniped，S 3 存储服务 - Minio，消息服务 - Kafka 以及 SQL 服务 - Postgres 等。
黄色的部分是集群代理，需要被管辖的集群都必须安装。
绿色的部分是 TMC-SM 服务本体，所有的与用户交互的功能，例如集群生命周期管理，健康观测，数据保护，集群一致性检查，审计等等都在此处实现。TMC-SM 不仅包含交互式 Web 界面，而且还提供命令行工具 TMC CLI 来进行操作，以便集成进一些自动化流程中。

部署准备

在部署之前，我们需要做一些准备工作，主要清单如下：

一个遵循 CNCF 标准的 Kubernetes 集群，Api 版本 1.23.X，至少 1 个 Master 节点和 3 个 Worker 节点，每个节点的配置在 4 核 / 8 G 内存 / 40 G 本地磁盘以上。本文使用了 vSphere with Tanzu 7u3L 作为 Kubernetes 集群来源。
外部负载均衡器。本文使用 NSX-ALB 作为外部负载均衡器。
创建 DNS 记录。假设部署的子域名是，分配到的负载均衡器虚拟 IP 为 < load-balancer-ip>，那么需要创建的 DNS 记录清单如下：
遵循 OIDC 标准的身份管理服务。此项可以集成现有客户环境的身份服务，或者自建。因为仅做示范之用，本文使用了 OKTA 的 SaaS 服务作为身份管理服务:

前往

在这里插入图片描述

注册开发者账户，然后创建新的 app integration：

在这里插入图片描述

注意设置参数：

1)Grant Type:

a.Client Credentials

b.Authorization Code

c.Refresh Token

d.Resource Owner Password (optional)

2)Sign-in Redirect URI: https://pinniped-supervisor./provider/pinniped/callback
3)创建新的组 tmc:admin 并把自己的 ID 加入该组。然后把 tmc:admin 加入存取 app 的权限。
4)创建 custom claim mapping。增加名字为 groups 的新 claim，正则表达式 regex 可以是 tmc.* 或者 (tmc:admin|tmc:member) 或者仅仅是 .* 以保证 tmc:admin 和 tmc:member 组都能被选中。