Автопилот GKE, ручной балансировщик нагрузки и правила брандмауэра

У меня есть этот кластер автопилота GKE, и я пытаюсь настроить балансировщик нагрузки для его служб. Предупреждение: вместо определения Ingress для кластера, который создал бы LB и все связанные конфигурации, я должен вручную определить LB.

GKE создает все необходимые мне NEG, и я просто указываю существующий кластер на них как на серверные части, и все работает нормально.

Проблема: я не могу вручную создать правило брандмауэра, позволяющее сетям проверки работоспособности достигать модулей, потому что правило ожидает получить TAG в качестве своей цели, но автопилот GKE скрывает всю информацию ref. его узлы, например.теги создаются автоматически.

Это пример правила брандмауэра, созданного входным контроллером GKE:

Имя: gke-autopilot-gke-cluster-XXXXX-xxxxx-egress
Цель: gke-autopilot-gke-cluster-XXXXXX-node

Я мог бы создать правило брандмауэра, нацеленное на всю VPC/подсеть, но как добиться детализации узлов в кластере автопилота, если я не знаю TAG, который получат узлы?

Автоматически созданное правило брандмауэра можно просмотреть с помощью следующей команды:

список правил брандмауэра вычислений gcloud --filter="name=gke-autopilot" --format=json

Хотя приведенную ниже команду можно использовать для обновления правил брандмауэра и добавления нужных целевых тегов:

gcloud вычислить правила брандмауэра обновить имя-правила-брандмауэра \ --target-tags=имя-тега

Поскольку теги поддерживаются Google, установить их на каком-либо узле автопилота невозможно; вместо этого вы должны настроить свой кластер как стандартный.