Contoh hybrid Apigee dengan Kubernetes

Halaman ini berlaku untuk Apigee dan Apigee hybrid.

Lihat Dokumentasi Apigee Edge.

Contoh ini menunjukkan cara menggunakan Adaptor Apigee untuk Envoy dengan deployment hybrid Apigee.

Prasyarat

Sebelum memulai:

Ringkasan

Contoh ini menjelaskan cara menggunakan Adaptor Apigee untuk Envoy dengan Apigee Hybrid. Dalam contoh ini, Anda akan men-deploy layanan HTTP sederhana di Kubernetes yang sama cluster tempat Apigee Hybrid di-deploy. Kemudian, Anda akan mengonfigurasi Adaptor Apigee untuk Envoy untuk mengelola panggilan API ke layanan ini dengan Apigee.

Gambar berikut menunjukkan arsitektur dasar untuk integrasi hybrid Apigee:

Tujuan tingkat tinggi
    Envoy Adapter yang terintegrasi ke dalam lingkungan hybrid Apigee, termasuk
    bidang pengelolaan, bidang runtime, dan layanan Google Cloud

Channel Proxy Envoy di-deploy dengan layanan HTTP target sebagai file bantuan Istio dalam mesh layanan Istio. File bantuan menangani traffic API ke dan dari layanan target, serta berkomunikasi dengan Layanan Jarak Jauh. {i>Remote Service<i} juga mengkomunikasikan dengan bidang pengelolaan hybrid untuk mengambil informasi proxy dan produk API.

Memeriksa konfigurasi gcloud

  1. Pastikan konfigurasi gcloud Anda sudah disetel ke project Google Cloud yang terkait dengan organisasi hybrid.

    Untuk menampilkan daftar setelan saat ini:

    gcloud config list

    Jika perlu, tetapkan project ID Google Cloud yang benar dengan perintah ini:

    gcloud config set project project-id
  2. Anda harus diautentikasi dengan Google Cloud SDK (gcloud) untuk project Google Cloud Anda:
    gcloud auth login

Menyediakan Apigee Hybrid

Pada langkah ini, Anda akan menggunakan Remote Service CLI untuk menyediakan hybrid dengan Proxy API remote-service. Perintah penyediaan juga menyiapkan sertifikat pada Apigee, dan membuat kredensial yang akan digunakan layanan jarak jauh untuk terhubung kembali dengan aman ke Apigee.

  1. Buka direktori $CLI_HOME:
    cd $CLI_HOME
  2. Jika Anda bukan pemilik project Google Cloud yang terkait dengan organisasi hybrid Apigee, pastikan akun pengguna Google Cloud Anda menyertakan peran Apigee Organization Admin, atau peran API Creator dan Deployer.

    Lihat Memberikan, mengubah, dan mencabut akses ke resource.

  3. Jalankan perintah ini untuk mendapatkan token akses:
    TOKEN=$(gcloud auth print-access-token);echo $TOKEN
  4. (Opsional) Secara default, adaptor akan mencari kredensial akun layanan default di Project cloud untuk mendapatkan izin guna mengirim data analisis ke Apigee. Jika Anda tidak ingin menggunakan bawaan kredensial akun layanan, Anda dapat membuat akun layanan dan mereferensikan kuncinya di penyediaan resource. Akun layanan harus memiliki peran apigee.analyticsAgent. Untuk mengetahui petunjuknya, lihat Membuat dan mengelola akun layanan.
  5. Buat variabel lingkungan berikut. Variabel-variabel ini akan digunakan sebagai parameter ke skrip penyediaan:
    export ORG=organization_name
    export ENV=environment_name
    export RUNTIME=host_alias_url
    export NAMESPACE=hybrid_runtime_namespace
    export AX_SERVICE_ACCOUNT=analytics_service_account  ## Optional

    Dengan keterangan:

    Variabel Deskripsi
    organization_name Nama organisasi Apigee untuk penginstalan hybrid Apigee Anda.
    environment_name Nama lingkungan di organisasi hybrid Apigee Anda.
    host_alias_url URL yang menyertakan hostAlias untuk host virtual yang ditentukan dalam konfigurasi hybrid Anda. URL harus diawali dengan https://. Contoh: https://apitest.apigee-hybrid-docs.net
    hybrid_runtime_namepace Namespace tempat runtime Hybrid komponen di-deploy. Catatan: Namespace default untuk deployment hybrid adalah apigee.
    analytics_service_account (Opsional) Jalur ke file JSON kunci akun layanan Google Cloud yang memiliki Peran Apigee Analytics Agent. Untuk deskripsi mendetail tentang , lihat Perintah Provisioning.
  6. Jalankan perintah berikut untuk menyediakan proxy layanan jarak jauh untuk Apigee Hybrid:

    Jika Anda tidak melakukan upgrade, gunakan perintah ini untuk menyediakan Apigee:

    ./apigee-remote-service-cli provision --organization $ORG --environment $ENV \
         --runtime $RUNTIME --namespace $NAMESPACE --analytics-sa $AX_SERVICE_ACCOUNT --token $TOKEN > config.yaml

    Jika Anda melakukan upgrade, gunakan perintah ini dengan flag --force-proxy-install untuk menyediakan Apigee:

    ./apigee-remote-service-cli provision --force-proxy-install --organization $ORG --environment $ENV \
         --runtime $RUNTIME --namespace $NAMESPACE --analytics-sa $AX_SERVICE_ACCOUNT --token $TOKEN > config.yaml
  7. Periksa isi file config.yaml. Ini akan terlihat seperti berikut:
    # Configuration for apigee-remote-service-envoy (platform: Google Cloud)
    # generated by apigee-remote-service-cli provision on 2020-11-20 02:49:28
    apiVersion: v1
    kind: ConfigMap
    metadata:
      name: apigee-remote-service-envoy
      namespace: apigee
    data:
      config.yaml: |
        tenant:
          remote_service_api: https://apitest.example.com/remote-service
          org_name: hybrid-gke
          env_name: test
        analytics:
          collection_interval: 10s
        auth:
          jwt_provider_key: https://apitest.example.com/remote-token/token
    ---
    apiVersion: v1
    kind: Secret
    metadata:
      name: hybrid-gke-new-test-policy-secret
      namespace: apigee
    type: Opaque
    data:
      remote-service.crt: eyJrZXlzIjpbeyJrdHkiOiJSU0EiLCJhbGci...
      remote-service.key: LS0tLS1CRUdJTiBSU0EgUFJJVkFURS...
      remote-service.properties: a2lkPTIwMjAtMDctMDZ...
    ---
    apiVersion: v1
    kind: Secret
    metadata:
      name: hybrid-gke-new-test-analytics-secret
      namespace: apigee
    type: Opaque
    data:
      client_secret.json: ewogICJ0eXBlIjogInNlcnZ...
    ---
    apiVersion: v1
    kind: ServiceAccount
    metadata:
      name: apigee-remote-service-envoy
      namespace: apigee
  8. Terapkan konfigurasi layanan (output file dengan perintah penyediaan) ke cluster:
    kubectl apply -f $CLI_HOME/config.yaml
  9. Verifikasi proxy dan sertifikat Anda. Berikut ini akan menampilkan JSON yang valid:
    curl -i $RUNTIME/remote-token/certs

    Output-nya akan terlihat seperti ini:

    {
        "keys": [
            {
                "alg": "RS256",
                "e": "AQAB",
                "kid": "2020-05-11T11:32:26-06:00",
                "kty": "RSA",
                "n": "0v-nbTQyAmtVZ-wZRP0ZPIbrVaX91YO9JZ9xCQPb4mOdOSS7yKfTDJGg0KM130sGVYBvR76alN8
                fhrrSDEG5VXG8YYMqPXarwRC7MRJWocCQ_ECYrjDD0_Q018M2HyXZYSd8fhAogi9mVUYsEmCKqJH53Dh1
                jqsHOQzBLKsX0iDO9hEZNFtjbX0UCbSxsUlmBCub7Uj2S-PahA6DEQOMhQjZM7bBMtkTMpFmaJ_RZTmow
                BHP57qMna17R8wHD4kUsO2u_-3HHs5PSj1NrEYoVU2dwLQw0GlkB__ZWeFgXTqot81vb-PmoM9YxwoZrm
                TcHdljugWy_s7xROPzTod0uw"
            }
        ]
    }

Membuat contoh file konfigurasi

Gunakan perintah apigee-remote-service-cli samples create untuk membuat contoh file konfigurasi.

Untuk contoh ini, Anda memerlukan file yang dihasilkan berikut:

  • httpbin.yaml - Konfigurasi deployment untuk layanan HTTP.
  • apigee-envoy-adapter.yaml - Konfigurasi deployment untuk Remote Service for Envoy.
  • envoyfilter-sidecar.yaml - Konfigurasi yang menginstal EnvoyFilter. ke namespace default.

Untuk membuat contoh:

  1. Buka direktori $CLI_HOME.
  2. Jalankan perintah ini untuk menghasilkan file:

    ./apigee-remote-service-cli samples create -c ./config.yaml --template istio-1.12

    File berikut adalah output direktori ./samples:

    ls samples
    apigee-envoy-adapter.yaml envoyfilter-sidecar.yaml httpbin.yaml request-authentication.yaml
    

Untuk mengetahui informasi selengkapnya, lihat Perintah contoh.

Men-deploy layanan pengujian ke cluster

Pada langkah ini, Anda akan men-deploy layanan pengujian permintaan/respons HTTP sederhana ke cluster yang sama tempat Apigee Hybrid di-deploy.

  1. Aktifkan injeksi Istio di namespace default cluster. Pada langkah selanjutnya, Anda akan men-deploy file bantuan Envoy ke cluster yang sama. Mengaktifkan injeksi Istio akan membuat kemungkinan deployment sidecar. Contoh ini menggunakan namespace default, dan semua petunjuk berikutnya menganggap itulah yang terjadi.

    Jika Anda menggunakan Istio open source:

    kubectl label namespace default istio-injection=enabled --overwrite

    Jika Anda menggunakan ASM:

    kubectl label namespace default istio-injection=enabled istio.io/rev=REVISION --overwrite
  2. Terapkan layanan httpbin sederhana ke cluster di namespace default:
    kubectl apply -f $CLI_HOME/samples/httpbin.yaml
  3. Sekarang, uji layanannya. Memulai layanan curl yang berjalan di cluster dan membuka terminal:
    kubectl run -it curl --image=curlimages/curl --restart=Never -- sh
  4. Uji layanan dengan memanggilnya dari dalam cluster:
    curl -i httpbin.default.svc.cluster.local/headers

    Jika berhasil, Anda akan melihat status 200, dan layanan menampilkan daftar header. Contoh:

    HTTP/1.1 200 OK
    server: envoy
    date: Tue, 12 May 2020 17:09:01 GMT
    content-type: application/json
    content-length: 328
    access-control-allow-origin: *
    access-control-allow-credentials: true
    x-envoy-upstream-service-time: 7
    
    {
      "headers": {
        "Accept": "*/*",
        "Content-Length": "0",
        "Host": "httpbin.default.svc.cluster.local",
        "User-Agent": "curl/7.70.0-DEV",
        "X-B3-Parentspanid": "69f88bc3e322e157",
        "X-B3-Sampled": "0",
        "X-B3-Spanid": "8dd725f30e393d8b",
        "X-B3-Traceid": "38093cd817ad30a569f88bc3e322e157"
      }
    }

Menjalankan Layanan Jarak Jauh untuk Envoy

Pada langkah ini, Anda akan memulai Remote Service untuk klien Envoy. Layanan ini menyediakan endpoint ke file bantuan Istio yang diinstal pada layanan target. Anda juga akan menginstal file bantuan dengan layanan httpbin.

  1. Terapkan Apigee Remote Service ke mesh layanan:
    kubectl apply -f $CLI_HOME/samples/apigee-envoy-adapter.yaml
  2. Terapkan EnvoyFilter ke file bantuan Istio di namespace default. Tujuan EnvoyFilter memungkinkan file bantuan httpbin berkomunikasi dengan Apigee Remote Service.
    kubectl apply -f $CLI_HOME/samples/envoyfilter-sidecar.yaml

Menguji penginstalan

  1. Sekarang, kembali ke shell curl yang Anda buka di langkah Deploy layanan pengujian ke cluster dan panggil httpbin layanan:
    curl -i httpbin.default.svc.cluster.local/headers
    

    Layanan sekarang dikelola oleh Apigee, dan karena Anda tidak menyediakan kunci API, server akan menampilkan {i>error<i} berikut.

    curl -i httpbin.default.svc.cluster.local/headers
    HTTP/1.1 403 Forbidden
    date: Tue, 12 May 2020 17:51:36 GMT
    server: envoy
    content-length: 0
    x-envoy-upstream-service-time: 11
  2. Konfigurasi produk API dan dapatkan kunci API seperti yang dijelaskan di Cara mendapatkan kunci API.
  3. Lakukan panggilan API menggunakan kunci tersebut:
    export APIKEY=YOUR_API_KEY
    curl -i httpbin.default.svc.cluster.local/headers -H "x-api-key: $APIKEY"

    Panggilan akan berhasil dengan status 200 dan menampilkan daftar header dalam respons. Contoh:

    curl -i httpbin.default.svc.cluster.local/headers -H "x-api-key: kyOTalNNLMPfOSy6rnVeclmVSL6pA2zS"
    HTTP/1.1 200 OK
    server: envoy
    date: Tue, 12 May 2020 17:55:34 GMT
    content-type: application/json
    content-length: 828
    access-control-allow-origin: *
    access-control-allow-credentials: true
    x-envoy-upstream-service-time: 301
    
    {
      "headers": {
        "Accept": "*/*",
        "Content-Length": "0",
        "Host": "httpbin.default.svc.cluster.local",
        "User-Agent": "curl/7.70.0-DEV",
        "X-Api-Key": "kyOTalNNLMPfOSy6rnVeclmVSL6pA2zS",
        "X-Apigee-Accesstoken": "",
        "X-Apigee-Api": "httpbin.default.svc.cluster.local",
        "X-Apigee-Apiproducts": "httpbin",
        "X-Apigee-Application": "httpbin",
        "X-Apigee-Authorized": "true",
        "X-Apigee-Clientid": "kyOTalNNLMPfOSy6rnVeclmVSL6pA2zS",
        "X-Apigee-Developeremail": "jdoe@example.com",
        "X-Apigee-Environment": "envoy",
        "X-Apigee-Organization": "acme-org",
        "X-Apigee-Scope": "",
        "X-B3-Parentspanid": "1476f9a2329bbdfa",
        "X-B3-Sampled": "0",
        "X-B3-Spanid": "1ad5c19bfb4bc96f",
        "X-B3-Traceid": "6f329a34e8ca07811476f9a2329bbdfa"
      }
    }

Langkah berikutnya

Traffic API ke layanan httpbin kini dikelola oleh Apigee. Berikut beberapa fitur yang dapat Anda coba dan coba:

  • Akses Analisis Apigee di UI Edge. Buka Analyze > Metrik API > API Performa Proxy.
  • Gunakan CLI untuk mengelola, membuat token, dan mengontrol binding. Untuk mengetahui detail CLI, lihat Reference.

Meng-uninstal Adaptor Apigee untuk Envoy

Untuk menghapus penginstalan adaptor Apigee Envoy:

  1. Di mana pun Anda memilih untuk menjalankan adaptor envoy (secara native atau di Docker), hapus adaptor tersebut.
  2. Hapus proxy remote-service dan remote-token dari lingkungan Apigee Anda. Lihat Menghapus proxy API.
  3. Hapus semua produk atau operasi API yang tidak digunakan yang digunakan oleh kasus penggunaan adaptor Envoy. Lihat Menghapus produk API.

Selain itu, Anda dapat menjalankan perintah berikut:

kubectl delete -f $CLI_HOME/samples/envoyfilter-sidecar.yaml
  kubectl delete -f $CLI_HOME/samples/apigee-envoy-adapter.yaml
  kubectl delete -f $CLI_HOME/samples/httpbin.yaml
  kubectl delete -f $CLI_HOME/config.yaml