Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Checkpoints
Create a private cluster
/ 10
Create a VM instance
/ 10
Authorize your external address range
/ 20
Delete the Kubernetes cluster
/ 20
Create a subnetwork and secondary ranges in us-central1 region
/ 10
Create a private cluster that uses your subnetwork
/ 10
Authorize your external address range for private cluster in custom subnetwork
/ 20
Create a private cluster
/ 10
Create a VM instance
/ 10
Authorize your external address range
/ 20
Delete the Kubernetes cluster
/ 20
Create a subnetwork and secondary ranges in us-central1 region
/ 10
Create a private cluster that uses your subnetwork
/ 10
Authorize your external address range for private cluster in custom subnetwork
/ 20
This lab may incorporate AI tools to support your learning.
GSP178
總覽
在 Kubernetes Engine 設定私人叢集，即可確保主要執行個體無法透過公開網際網路存取。私人叢集中的節點沒有公開 IP 位址，只有私人 IP 位址，因此工作負載會在隔離環境執行。節點和主要執行個體會以虛擬私有雲對接來通訊。
使用 Kubernetes Engine API 時，位址範圍會顯示為無類別跨網域路由 (CIDR) 區塊。
在本實驗室，您將瞭解如何建立私人 Kubernetes 叢集。
學習內容
- 建立私人 Kubernetes 叢集。
事前準備
- 學員應具備建立及啟動 Kubernetes 叢集的經驗，而且熟悉 CIDR 範圍格式的 IP 位址。
設定和需求
瞭解以下事項後，再點選「Start Lab」按鈕
請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。
您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。
為了順利完成這個實驗室，請先確認：
- 可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。
- 是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。
如何開始實驗室及登入 Google Cloud 控制台
-
按一下「Start Lab」按鈕。如果實驗室會產生費用，請在開啟的對話方塊中選取付款方式。右側的「Lab setup and access」面板會顯示下列項目：
- 「Open Google Cloud console」按鈕
- 此實驗室所需的臨時憑證 (使用者名稱和密碼)
- 完成此實驗室所需的其他資訊 (如有)
請注意，實驗室計時器位於頁面頂端附近，會顯示剩餘時間。
-
按一下「Open Google Cloud console」。如果使用 Chrome 瀏覽器，也可以按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。
接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。
提示：您可以在不同的視窗並排開啟分頁。
注意：頁面顯示「選擇帳戶」對話方塊時，請點選「使用其他帳戶」。 -
如有必要，請將下方的 Username 貼到「登入」對話方塊。
{{{user_0.username | "Username"}}} 您也可以在「Lab setup and access」面板找到「Username」。
-
點選「下一步」。
-
複製下方的 Password，並貼到「歡迎使用」對話方塊。
{{{user_0.password | "Password"}}} 您也可以在「Lab setup and access」面板找到「Password」。
-
點選「下一步」。
重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。 注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。 -
繼續點按後續頁面：
- 接受條款及細則。
- 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
- 請勿申請免費試用。
Google Cloud 控制台稍後會在這個分頁開啟。
啟動 Cloud Shell
Cloud Shell 是搭載多項開發工具的虛擬機器，提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作。Cloud Shell 提供指令列存取權，方便您使用 Google Cloud 資源。
-
點按 Google Cloud 控制台頂端的「啟用 Cloud Shell」圖示
。
-
系統顯示視窗時，請按照下列步驟操作：
- 繼續操作 Cloud Shell 視窗。
- 授權 Cloud Shell 使用您的憑證發出 Google Cloud API 呼叫。
連線建立完成即代表已通過驗證，而且專案已設為您的 Project_ID：
gcloud 是 Google Cloud 的指令列工具，已預先安裝於 Cloud Shell，並支援 Tab 鍵自動完成功能。
- (選用) 您可以執行下列指令來列出使用中的帳戶：
- 點按「授權」。
輸出內容：
- (選用) 您可以使用下列指令來列出專案 ID：
輸出內容：
gcloud 的完整說明，請前往 Google Cloud 參閱 gcloud CLI 總覽指南。
工作 1：設定區域和可用區
- 設定本實驗室的專案區域：
- 建立區域的變數：
- 建立可用區的變數：
詳情請參閱區域和可用區說明文件。
gcloud，各個工作階段都會保留這些設定。但在 Cloud Shell，每次啟動新工作階段或重新連線時，都必須重新設定。工作 2：建立私人叢集
- 建立私人叢集時，您必須為執行 Kubernetes 主要執行個體元件的 VM 指定
/28CIDR 範圍，然後啟用 IP 別名。
接下來，您要建立 private-cluster 叢集，並為主要執行個體指定 172.16.0.16/28 CIDR 範圍。啟用 IP 別名後，Kubernetes Engine 就會自動為您建立子網路。
請使用 --private-cluster、--master-ipv4-cidr 和 --enable-ip-alias 標記建立私人叢集。
- 執行下列指令來建立叢集：
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功建立私人叢集。
工作 3：查看子網路和次要位址範圍
- 列出預設網路的子網路：
-
從輸出內容找出自動為叢集建立的子網路名稱，例如
gke-private-cluster-subnet-xxxxxxxx。請儲存叢集名稱，後續步驟會用到。 -
接著執行下列指令，取得自動建立子網路的資訊，並將
[SUBNET_NAME]改成您的子網路：
輸出內容會顯示 GKE 私人叢集名稱的主要位址範圍和次要範圍：
在輸出內容中，您可以看到一個用於 Pod 的次要範圍，以及另一個用於 Service 的次要範圍。
請注意，privateIPGoogleAccess 已設為 true，這樣只具備私人 IP 位址的叢集主機就能與 Google API 和 Service 通訊。
工作 4：啟用主要執行個體授權網路
此時，只有以下範圍的 IP 位址可存取主要執行個體：
- 子網路的主要範圍，也就是用於節點的範圍。
- 用於 Pod 的子網路次要範圍。
請務必授權指定的位址範圍，才能提供主要執行個體的額外存取權。
建立 VM 執行個體
- 建立來源執行個體，用來檢查 Kubernetes 叢集的連線能力：
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功建立 VM 執行個體。
- 執行下列指令，取得
source-instance的<External_IP>：
輸出內容範例：
-
複製並儲存
<nat_IP>位址，供後續步驟使用。 -
執行下列指令來授權外部位址範圍，將
[MY_EXTERNAL_RANGE]改成先前輸出內容的外部位址 CIDR 範圍 (您的 CIDR 範圍為natIP/32)。只要將 CIDR 範圍設為natIP/32，即可將一個特定 IP 位址加入許可清單：
[MY_EXTERNAL_RANGE] 改成您網路的外部地址 CIDR 範圍。
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功授權外部位址範圍。
您已能透過外部位址範圍存取主要執行個體，接著要安裝 kubectl，用來取得叢集資訊。舉例來說，您可使用 kubectl 確認節點沒有外部 IP 位址。
- 執行下列指令，使用 SSH 連至
source-instance：
-
按下
Y鍵即可繼續操作。接著按下 Enter 鍵，略過通關密語問題。 -
在 SSH 殼層安裝 Cloud SDK 的
kubectl元件：
- 執行下列指令，從 SSH 殼層設定 Kubernetes 叢集的存取權：
ZONE 變數匯出。如果尚未匯出，請執行下列指令：export ZONE=。
- 確認叢集節點沒有外部 IP 位址。
輸出內容會顯示節點有內部 IP 位址，但沒有外部位址：
- 您也可以執行另一個指令，確認節點沒有外部 IP 位址：
輸出內容會顯示 EXTERNAL-IP 的空白資料欄：
- 輸入下列指令來關閉 SSH 殼層：
工作 5：清除所用資源
- 刪除 Kubernetes 叢集：
- 按下
Y鍵即可繼續操作。
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功刪除 Kubernetes 叢集。
工作 6：建立使用自訂子網路的私人叢集
上一節，Kubernetes Engine 已自動為您建立子網路。在本節中，您將自行建立子網路和私人叢集。 您的子網路有一個主要位址範圍，以及兩個次要位址範圍。
- 建立子網路和次要範圍：
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功在
- 建立使用子網路的私人叢集：
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功建立使用子網路的私人叢集。
- 擷取來源執行個體的外部位址範圍：
輸出內容範例：
-
複製並儲存
<nat_IP>位址，供後續步驟使用。 -
執行下列指令來授權外部位址範圍，將
[MY_EXTERNAL_RANGE]改成先前輸出內容的外部位址 CIDR 範圍 (您的 CIDR 範圍為natIP/32)。只要將 CIDR 範圍設為natIP/32，即可將一個特定 IP 位址加入許可清單：
測試已完成的工作
點選「Check my progress」，確認工作已完成。如果看到評估分數，代表您成功為自訂子網路的私人叢集授權外部位址範圍。
- 執行下列指令，使用 SSH 連至
source-instance：
- 執行下列指令，從 SSH 殼層設定 Kubernetes 叢集的存取權：
ZONE 變數匯出。如果尚未匯出，請執行下列指令：export ZONE=。
- 確認叢集節點沒有外部 IP 位址。
輸出內容會顯示節點有內部 IP 位址，但沒有外部位址：
此時，只有以下範圍的 IP 位址可存取主要執行個體：
- 子網路的主要範圍，也就是用於節點的範圍，本例為
10.0.4.0/22。 - 用於 Pod 的子網路次要範圍，本例為
10.4.0.0/14。
恭喜！
您已學會如何建立私人 Kubernetes 叢集。
後續行動/瞭解詳情
Google Cloud 教育訓練與認證
協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。
使用手冊上次更新日期：2025 年 10 月 22 日
實驗室上次測試日期：2025 年 10 月 22 日
Copyright 2026 Google LLC 保留所有權利。Google 和 Google 標誌是 Google LLC 的商標，其他公司和產品名稱則有可能是其關聯公司的商標。
