Questo documento illustra il processo dettagliato per installare Apigee hybrid v1.10 utilizzando i grafici Helm.
Versione
I grafici Helm di Apigee hybrid sono per l'utilizzo con Apigee hybrid v1.10.x. Consulta la cronologia delle release ibride di Apigee per l'elenco delle release ibride.
Prerequisiti
- Apigee ibrido 1.10.4
- Helm 3.10 o versioni successive
-
Accesso al repository di grafici Helm ibrido Apigee all'indirizzo:
oci://us-docker.pkg.dev/apigee-release/apigee-hybrid-helm-charts
- interfaccia a riga di comando gcloud
- Creazione e gestione dei progetti
- Un cluster Kubernetes per l'installazione ibrida di Apigee. Consulta:
Ambito
- Questa release supporta solo Apigee versione ibrida 1.10.4.
-
Questa release supporta:
- Nuove installazioni ibride di Apigee.
- Le installazioni ibride di Apigee esistenti sono state aggiornate alla versione 1.10.4 e hanno eseguito la migrazione alla gestione di Helm utilizzando lo strumento di migrazione di Helm ibrido Apigee.
- Questa release supporta:
Piattaforme e versioni di Kubernetes supportate
Piattaforma | Versioni |
---|---|
GKE | 1,24; 1,25; 1,26 |
AKS | 1,24; 1,25; 1,26 |
EKS | 1,24; 1,25; 1,26 |
OpenShift | 4,11, 4,12 |
Limitazioni
-
I grafici Helm non supportano completamente i CRD; pertanto, utilizzeremo il comando
kubectl -k
per installarli ed eseguirne l'upgrade. Il nostro obiettivo è seguire le best practice della community e di Google relative alla gestione di Kubernetes. I deployment CRD tramite Helm non hanno ancora raggiunto uno stato della community in cui abbiamo un ampio supporto o richieste per questo modello. Pertanto, la gestione dei CRD Apigee deve essere effettuata utilizzandokubectl
, come indicato in questo documento. -
In
apigeectl
, abbiamo utilizzato file inoverrides.yaml
per gli account di servizio e i certificati; tuttavia, Helm non supporta il riferimento a file al di fuori della directory dei grafici. Scegli una delle seguenti opzioni per i file dell'account di servizio e dei certificati:- Posiziona copie dei file pertinenti all'interno di ogni directory di grafico
-
Crea link simbolici all'interno di ogni directory del grafico per ogni file o una cartella. Helm segue i link simbolici fuori dalla directory del grafico, ma restituisce un avviso come il seguente:
apigee-operator/gsa -> ../gsa
-
Utilizzare i secret di Kubernetes. Ad esempio, per gli account di servizio:
kubectl create secret generic SECRET_NAME \ --from-file="client_secret.json=CLOUD_IAM_FILE_NAME.json" \ -n apigee
-
Sostituisci quanto segue:
- SECRET_NAME con il nome del secret di Kubernetes che hai creato.
- CLOUD_IAM_FILE_NAME.json con il nome del file JSON scaricato.
Piattaforma e versioni di Kubernetes supportate
Per un elenco delle piattaforme supportate, consulta la colonna v1.10 nella tabella delle piattaforme supportate ibride di Apigee.
Autorizzazioni obbligatorie
Questa tabella elenca le risorse e le autorizzazioni necessarie per Kubernetes e Apigee.
Per filtrare questa tabella, esegui una o più delle seguenti operazioni: seleziona una categoria, digita un termine di ricerca o fai clic su un'intestazione di colonna per ordinare.
Categoria | Risorsa | Tipo di risorsa | Autorizzazioni Kubernetes RBAC |
---|---|---|---|
Datastore | apigeedatastores.apigee.cloud.google.com |
Apigee | create delete patch update |
Datastore | certificates.cert-manager.io |
Kubernetes | create delete patch update |
Datastore | cronjobs.batch |
Kubernetes | create delete patch update |
Datastore | jobs.batch |
Kubernetes | create delete patch update |
Datastore | secrets |
Kubernetes | create delete patch update |
Bacheca | apigeeenvironments.apigee.cloud.google.com |
Apigee | create delete patch update |
Bacheca | secrets |
Kubernetes | create delete patch update |
Bacheca | serviceaccounts |
Kubernetes | create delete patch update |
Gestore Ingress | certificates.cert-manager.io |
Kubernetes | create delete patch update |
Gestore Ingress | configmaps |
Kubernetes | create delete patch update |
Gestore Ingress | deployments.apps |
Kubernetes | create delete patch update |
Gestore Ingress | horizontalpodautoscalers.autoscaling |
Kubernetes | create delete patch update |
Gestore Ingress | issuers.cert-manager.io |
Kubernetes | create delete patch update |
Gestore Ingress | serviceaccounts |
Kubernetes | create delete patch update |
Gestore Ingress | services |
Kubernetes | create delete patch update |
Operatore | apigeedatastores.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeedatastores.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeedatastores.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeedeployments.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeedeployments.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeedeployments.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeeenvironments.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeeenvironments.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeeenvironments.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeeissues.apigee.cloud.google.com |
Apigee | create delete get list watch |
Operatore | apigeeorganizations.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeeorganizations.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeeorganizations.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeeredis.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeeredis.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeeredis.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeerouteconfigs.apigee.cloud.google.com |
Apigee | get list |
Operatore | apigeeroutes.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeeroutes.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeeroutes.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | apigeetelemetries.apigee.cloud.google.com |
Apigee | create delete get list patch update watch |
Operatore | apigeetelemetries.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | apigeetelemetries.apigee.cloud.google.com/status |
Apigee | get list patch update |
Operatore | cassandradatareplications.apigee.cloud.google.com |
Apigee | get list patch update watch |
Operatore | cassandradatareplications.apigee.cloud.google.com/finalizers |
Apigee | get patch update |
Operatore | cassandradatareplications.apigee.cloud.google.com/status |
Apigee | get patch update |
Operatore | *.networking.x.k8s.io |
Kubernetes | get list watch |
Operatore | apiservices.apiregistration.k8s.io |
Kubernetes | create delete get list patch update watch |
Operatore | certificates.cert-manager.io |
Kubernetes | create delete get list patch update watch |
Operatore | certificates.cert-manager.io/finalizers |
Kubernetes | create delete get list patch update watch |
Operatore | certificatesigningrequests.certificates.k8s.io |
Kubernetes | create delete get update watch |
Operatore | certificatesigningrequests.certificates.k8s.io/approval |
Kubernetes | create delete get update watch |
Operatore | certificatesigningrequests.certificates.k8s.io/status |
Kubernetes | create delete get update watch |
Operatore | clusterissuers.cert-manager.io |
Kubernetes | create get watch |
Operatore | clusterrolebindings.rbac.authorization.k8s.io |
Kubernetes | create delete get list patch update watch |
Operatore | clusterroles.rbac.authorization.k8s.io |
Kubernetes | create delete get list patch update watch |
Operatore | configmaps |
Kubernetes | create delete get list patch update watch |
Operatore | configmaps/status |
Kubernetes | get patch update |
Operatore | cronjobs.batch |
Kubernetes | create delete get list patch update watch |
Operatore | customresourcedefinitions.apiextensions.k8s.io |
Kubernetes | get list watch |
Operatore | daemonsets.apps |
Kubernetes | create delete get list patch update watch |
Operatore | deployments.apps |
Kubernetes | get list watch |
Operatore | deployments.extensions |
Kubernetes | get list watch |
Operatore | destinationrules.networking.istio.io |
Kubernetes | create delete get list patch update watch |
Operatore | endpoints |
Kubernetes | get list watch |
Operatore | endpointslices.discovery.k8s.io |
Kubernetes | get list watch |
Operatore | events |
Kubernetes | create delete get list patch update watch |
Operatore | gateways.networking.istio.io |
Kubernetes | create delete get list patch update watch |
Operatore | horizontalpodautoscalers.autoscaling |
Kubernetes | create delete get list patch update watch |
Operatore | ingressclasses.networking.k8s.io |
Kubernetes | get list watch |
Operatore | ingresses.networking.k8s.io/status |
Kubernetes | all verbs |
Operatore | issuers.cert-manager.io |
Kubernetes | create delete get list patch update watch |
Operatore | jobs.batch |
Kubernetes | create delete get list patch update watch |
Operatore | leases.coordination.k8s.io |
Kubernetes | create get list update |
Operatore | namespaces |
Kubernetes | get list watch |
Operatore | nodes |
Kubernetes | get list watch |
Operatore | peerauthentications.security.istio.io |
Kubernetes | create delete get list patch update watch |
Operatore | persistentvolumeclaims |
Kubernetes | create delete get list patch update watch |
Operatore | persistentvolumes |
Kubernetes | get list watch |
Operatore | poddisruptionbudgets.policy |
Kubernetes | create delete get list patch update watch |
Operatore | pods |
Kubernetes | create delete get list patch update watch |
Operatore | pods/exec |
Kubernetes | create |
Operatore | replicasets.apps |
Kubernetes | create delete get list patch update watch |
Operatore | replicasets.extensions |
Kubernetes | get list watch |
Operatore | resourcequotas |
Kubernetes | create delete get list patch update watch |
Operatore | rolebindings.rbac.authorization.k8s.io |
Kubernetes | create delete get list patch update watch |
Operatore | roles.rbac.authorization.k8s.io |
Kubernetes | create delete get list patch update watch |
Operatore | secrets |
Kubernetes | batch create delete get list patch update watch |
Operatore | securitycontextconstraints.security.openshift.io |
Kubernetes | create get list |
Operatore | serviceaccounts |
Kubernetes | create delete get list patch update watch |
Operatore | services |
Kubernetes | batch create delete get list patch update watch |
Operatore | signers.certificates.k8s.io |
Kubernetes | approve |
Operatore | statefulsets.apps |
Kubernetes | create delete get list patch update watch |
Operatore | subjectaccessreviews.authorization.k8s.io |
Kubernetes | create get list |
Operatore | tokenreviews.authentication.k8s.io |
Kubernetes | create |
Operatore | virtualservices.networking.istio.io |
Kubernetes | create delete get list patch update watch |
Organizzazione | apigeeorganizations.apigee.cloud.google.com |
Apigee | create delete patch update |
Organizzazione | secrets |
Kubernetes | create delete patch update |
Organizzazione | serviceaccounts |
Kubernetes | create delete patch update |
Redis | apigeeredis.apigee.cloud.google.com |
Apigee | create delete patch update |
Redis | secrets |
Kubernetes | create delete patch update |
Telemetria | apigeetelemetry.apigee.cloud.google.com |
Apigee | create delete patch update |
Telemetria | secrets |
Kubernetes | create delete patch update |
Telemetria | serviceaccounts |
Kubernetes | create delete patch update |
Host virtuale | apigeerouteconfigs.apigee.cloud.google.com |
Apigee | create delete patch update |
Host virtuale | secrets |
Kubernetes | create delete patch update |
Vedi anche:
Prepararsi all'installazione
I grafici ibridi di Apigee sono ospitati in Google Artifact Registry:
oci://us-docker.pkg.dev/apigee-release/apigee-hybrid-helm-charts
Esegui il pull dei grafici Helm di Apigee
Utilizzando il comando pull
, copia tutti i grafici Helm di Apigee hybrid
nel tuo spazio di archiviazione locale con il comando seguente:
export CHART_REPO=oci://us-docker.pkg.dev/apigee-release/apigee-hybrid-helm-chartsexport CHART_VERSION=1.10.4
helm pull $CHART_REPO/apigee-operator --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-datastore --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-env --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-ingress-manager --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-org --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-redis --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-telemetry --version $CHART_VERSION --untar
helm pull $CHART_REPO/apigee-virtualhost --version $CHART_VERSION --untar
Installa Apigee hybrid
Panoramica della sequenza di installazione
L'installazione dei componenti viene eseguita da sinistra a destra in sequenza, come mostrato nella figura seguente. I componenti impilati verticalmente nella figura possono essere installati insieme e in qualsiasi ordine. Una volta installato un componente, puoi aggiornarlo singolarmente e in qualsiasi momento, ad esempio replica, memoria, CPU e così via.
Preparati a installare Apigee hybrid con grafici Helm
-
Crea lo spazio dei nomi che verrà utilizzato per
apigee
risorse. Deve corrispondere al campo dello spazio dei nomi nel fileoverrides.yaml
. Se non è presente inoverrides.yaml
, il valore predefinito èapigee
.Controlla se lo spazio dei nomi esiste già:
kubectl get namespace apigee
Se lo spazio dei nomi esiste, l'output include:
NAME STATUS AGE apigee Active 1d
-
Se lo spazio dei nomi non esiste già, crealo:
kubectl create namespace apigee
-
Crea gli account di servizio e assegna loro i ruoli IAM appropriati. Apigee hybrid utilizza i seguenti account di servizio:
Account di servizio Ruoli IAM apigee-cassandra
Amministratore oggetti Storage apigee-logger
Writer log apigee-mart
Agente Apigee Connect apigee-metrics
Writer metriche Monitoring apigee-runtime
Nessun ruolo richiesto apigee-synchronizer
Gestore sincronizzatore Apigee apigee-udca
Agente di analisi Apigee apigee-watcher
Agente di runtime Apigee Apigee fornisce uno strumento,
create-service-account
, nella directoryapigee-operator/etc/tools
:APIGEE_HELM_CHARTS_HOME/ └── apigee-operator/ └── etc/ └── tools/ └── create-service-account
Questo strumento crea gli account di servizio, assegna i ruoli IAM a ciascun account e scarica i file dei certificati in formato JSON per ogni account.
- Crea la directory in cui vuoi scaricare i file di certificati dell'account di servizio. Lo specificherai nel comando seguente al posto di SERVICE_ACCOUNTS_PATH.
-
Puoi creare tutti gli account di servizio con un singolo comando con le seguenti opzioni:
APIGEE_HELM_CHARTS_HOME/apigee-operator/etc/tools/create-service-account --env prod --dir SERVICE_ACCOUNTS_PATH
- Elenca i nomi degli account di servizio per il file di override:
ls service-accounts
my_project-apigee-cassandra.json my_project-apigee-runtime.json my_project-apigee-logger.json my_project-apigee-synchronizer.json my_project-apigee-mart.json my_project-apigee-udca.json my_project-apigee-metrics.json my_project-apigee-watcher.json
Per ulteriori informazioni consulti:
- Prima dell'installazione, controlla il file
overrides.yaml
per verificare le impostazioni:instanceID: UNIQUE_ID_TO_IDENTIFY_THIS_CLUSTER namespace: apigee # required for Helm charts installation # By default, logger and metrics are enabled and requires below details # Google Cloud project and cluster gcp: projectID: PROJECT_ID region: REGION k8sCluster: name: CLUSTER_NAME region: REGION org: ORG_NAME envs: - name: "ENV_NAME" serviceAccountPaths: runtime: "PATH_TO_RUNTIME_SVC_ACCOUNT" synchronizer: "PATH_TO_SYNCHRONIZER_SVC_ACCOUNT" udca: "PATH_TO_UDCA_SVC_ACCOUNT" ingressGateways: - name: GATEWAY_NAME # maximum 17 characters, eg: "ingress-1". See Known issue 243167389. replicaCountMin: 1 replicaCountMax: 2 svcType: LoadBalancer virtualhosts: - name: ENV_GROUP_NAME selector: app: apigee-ingressgateway ingress_name: GATEWAY_NAME sslSecret: SECRET_NAME mart: serviceAccountPath: "PATH_TO_MART_SVC_ACCOUNT" logger: enabled: TRUE_FALSE # lowercase without quotes, eg: true serviceAccountPath: "PATH_TO_LOGGER_SVC_ACCOUNT" metrics: enabled: TRUE_FALSE # lowercase without quotes, eg: true serviceAccountPath: "PATH_TO_METRICS_SVC_ACCOUNT" udca: serviceAccountPath: "PATH_TO_UDCA_SVC_ACCOUNT" connectAgent: serviceAccountPath: "PATH_TO_MART_SVC_ACCOUNT" watcher: serviceAccountPath: "PATH_TO_WATCHER_SVC_ACCOUNT"
Questa è la stessa configurazione di override che utilizzerai per questa installazione di Helm. Per ulteriori impostazioni, consulta il riferimento sulle proprietà di configurazione.
Per altri esempi di file di override, consulta il Passaggio 6: configura il runtime ibrido.
- Attiva l'accesso al programma di sincronizzazione. Questo è un prerequisito per l'installazione di Apigee hybrid.
-
Controlla se l'accesso da sincronizzare è già attivato con i seguenti comandi:
export TOKEN=$(gcloud auth print-access-token)
curl -X POST -H "Authorization: Bearer $TOKEN" \ -H "Content-Type:application/json" \ "https://apigee.googleapis.com/v1/organizations/ORG_NAME:getSyncAuthorization" \ -d ''
L'output dovrebbe essere simile al seguente:
{ "identities":[ "serviceAccount:SYNCHRONIZER_SERVICE_ACCOUNT_ID" ], "etag":"BwWJgyS8I4w=" }
-
Se l'output non include l'ID dell'account di servizio, abilita l'accesso del sincronizzatore. Per eseguire questa attività, il tuo account deve avere il ruolo IAM Amministratore organizzazione Apigee (
roles/apigee.admin
).curl -X POST -H "Authorization: Bearer $TOKEN" \ -H "Content-Type:application/json" \ "https://apigee.googleapis.com/v1/organizations/ORG_NAME:setSyncAuthorization" \ -d '{"identities":["'"serviceAccount:SYNCHRONIZER_SERVICE_ACCOUNT_ID"'"]}'
Per informazioni più dettagliate, consulta il Passaggio 7: abilita l'accesso del sincronizzatore nella documentazione dell'installazione di Apigee hybrid.
-
- Installa Cert Manager con il seguente comando:
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.11.1/cert-manager.yaml
-
Installa i CRD Apigee:
-
Utilizza la funzionalità di prova di
kubectl
eseguendo il comando seguente:kubectl apply -k apigee-operator/etc/crds/default/ --server-side --force-conflicts --validate=false --dry-run=server
-
Dopo la convalida con il comando di prova, esegui questo comando:
kubectl apply -k apigee-operator/etc/crds/default/ --server-side --force-conflicts --validate=false
- Convalida l'installazione con il comando
kubectl get crds
:kubectl get crds | grep apigee
L'output dovrebbe essere simile al seguente:
apigeedatastores.apigee.cloud.google.com 2023-10-09T14:48:30Z apigeedeployments.apigee.cloud.google.com 2023-10-09T14:48:30Z apigeeenvironments.apigee.cloud.google.com 2023-10-09T14:48:31Z apigeeissues.apigee.cloud.google.com 2023-10-09T14:48:31Z apigeeorganizations.apigee.cloud.google.com 2023-10-09T14:48:32Z apigeeredis.apigee.cloud.google.com 2023-10-09T14:48:33Z apigeerouteconfigs.apigee.cloud.google.com 2023-10-09T14:48:33Z apigeeroutes.apigee.cloud.google.com 2023-10-09T14:48:33Z apigeetelemetries.apigee.cloud.google.com 2023-10-09T14:48:34Z cassandradatareplications.apigee.cloud.google.com 2023-10-09T14:48:35Z
-
-
Controlla le etichette esistenti sui nodi del cluster. Per impostazione predefinita, Apigee pianifica i pod di dati sui nodi con l'etichetta
cloud.google.com/gke-nodepool=apigee-data
, mentre i pod di runtime vengono pianificati sui nodi con l'etichettacloud.google.com/gke-nodepool=apigee-runtime
. Puoi personalizzare le etichette dei pool di nodi nel fileoverrides.yaml
.Per maggiori informazioni, consulta Configurare pool di nodi dedicati.
Installa i grafici Helm ibridi di Apigee
Installa l'operatore/controller Apigee:
helm upgrade operator apigee-operator/ \ --install \ --create-namespace \ --namespace apigee-system \ --atomic \ -f overrides.yaml
Verifica l'installazione dell'operatore Apigee:
helm ls -n apigee-system
NAME NAMESPACE REVISION UPDATED STATUS CHART APP VERSION operator apigee-system 3 2023-06-26 00:42:44.492009 -0800 PST deployed apigee-operator-1.10.4 1.10.4
Verifica che sia attivo e funzionante controllando la disponibilità:
kubectl -n apigee-system get deploy apigee-controller-manager
NAME READY UP-TO-DATE AVAILABLE AGE apigee-controller-manager 1/1 1 1 7d20h
-
Installa il datastore Apigee:
helm upgrade datastore apigee-datastore/ \ --install \ --namespace apigee \ --atomic \ -f overrides.yaml
Verifica che
apigeedatastore
sia attivo e in esecuzione controllandone lo stato:kubectl -n apigee get apigeedatastore default
NAME STATE AGE default running 2d
-
Installa la telemetria di Apigee:
helm upgrade telemetry apigee-telemetry/ \ --install \ --namespace apigee \ --atomic \ -f overrides.yaml
Verifica che sia attivo controllandone lo stato:
kubectl -n apigee get apigeetelemetry apigee-telemetry
NAME STATE AGE apigee-telemetry running 2d
-
Installa Apigee Redis:
helm upgrade redis apigee-redis/ \ --install \ --namespace apigee \ --atomic \ -f overrides.yaml
Verifica che sia attivo controllandone lo stato:
kubectl -n apigee get apigeeredis default
NAME STATE AGE default running 2d
-
Installa il gestore Ingress Apigee:
helm upgrade ingress-manager apigee-ingress-manager/ \ --install \ --namespace apigee \ --atomic \ -f overrides.yaml
Verifica che sia attivo e funzionante controllando la disponibilità:
kubectl -n apigee get deployment apigee-ingressgateway-manager
NAME READY UP-TO-DATE AVAILABLE AGE apigee-ingressgateway-manager 2/2 2 2 2d
-
Installa l'organizzazione Apigee:
helm upgrade ORG_NAME apigee-org/ \ --install \ --namespace apigee \ --atomic \ -f overrides.yaml
Verifica che sia in esecuzione controllando lo stato della rispettiva organizzazione:
kubectl -n apigee get apigeeorg
NAME STATE AGE apigee-org1-xxxxx running 2d
-
Installare l'ambiente.
Devi installare un ambiente alla volta. Specifica l'ambiente con
--set env=
ENV_NAME:helm upgrade apigee-env-ENV_NAME apigee-env/ \ --install \ --namespace apigee \ --atomic \ --set env=ENV_NAME \ -f overrides.yaml
Verifica che sia attivo e in esecuzione controllando lo stato dell'ambiente corrispondente:
kubectl -n apigee get apigeeenv
NAME STATE AGE GATEWAYTYPE apigee-org1-dev-xxx running 2d
- Crea i certificati TLS. Devi fornire i certificati TLS per il gateway in entrata di runtime nella configurazione ibrida di Apigee.
-
Crea i certificati. In un ambiente di produzione, dovrai utilizzare i certificati firmati. Puoi utilizzare un certificato e una coppia di chiavi o un secret di Kubernetes.
Per la dimostrazione e i test dell'installazione, il gateway di runtime può accettare credenziali autofirmate. Nell'esempio seguente, openssl viene utilizzato per generare le credenziali autofirmate:
openssl req -nodes -new -x509 \ -keyout PATH_TO_CERTS_DIRECTORY/keystore_ENV_GROUP_NAME.key \ -out PATH_TO_CERTS_DIRECTORY/keystore_ENV_GROUP_NAME.pem \ -subj '/CN='YOUR_DOMAIN'' -days 3650
Per ulteriori informazioni, vedi Passaggio 5: crea i certificati TLS.
-
Crea il secret di Kubernetes per fare riferimento ai certificati:
kubectl create secret generic NAME \ --from-file="cert=PATH_TO_CRT_FILE" \ --from-file="key=PATH_TO_KEY_FILE" \ -n apigee
-
-
Installa l'host virtuale.
Devi installare un gruppo di ambienti (virtualhost) alla volta. Specifica il gruppo di ambienti con
--set envgroup=
ENV_GROUP_NAME:# repeat the following command for each env group mentioned in the overrides.yaml file helm upgrade apigee-virtualhost-ENV_GROUP_NAME apigee-virtualhost/ \ --install \ --namespace apigee \ --atomic \ --set envgroup=ENV_GROUP_NAME \ -f overrides.yaml
Questo crea ApigeeRouteConfig (ARC), che crea internamente ApigeeRoute (AR) una volta che il watcher Apigee estrae i dettagli relativi al gruppo env dal piano di controllo. Verifica quindi che lo stato dell'AR corrispondente sia in esecuzione:
kubectl -n apigee get arc
NAME STATE AGE apigee-org1-dev-egroup 2d
kubectl -n apigee get ar
NAME STATE AGE apigee-org1-dev-egroup-xxxxxx running 2d
Casi d'uso aggiuntivi per i grafici Helm con Apigee hybrid
Backup e ripristino Cassandra
- Per attivare il backup:
-
Aggiorna i dettagli del backup Cassandra nel file
overrides.yaml
:cassandra: backup: enabled: true serviceAccountPath: PATH_TO_GSA_FILE dbStorageBucket: BUCKET_LINK schedule: "45 23 * * 6"
-
Esegui l'upgrade di Helm sul grafico
apigee-datastore
:helm upgrade datastore apigee-datastore/ \ --namespace apigee \ --atomic \ -f overrides.yaml
-
- Analogamente, per abilitare il ripristino:
-
Aggiorna i dettagli del ripristino Cassandra nel file
overrides.yaml
:cassandra: restore: enabled: true snapshotTimestamp: TIMESTAMP serviceAccountPath: PATH_TO_GSA_FILE cloudProvider: "CSI"
-
Esegui l'upgrade di Helm sul grafico
apigee-datastore
:helm upgrade datastore apigee-datastore/ \ --namespace apigee \ --atomic \ -f overrides.yaml
-
Per maggiori dettagli sul backup e ripristino di Cassandra, consulta Panoramica del backup di Cassandra.
Espansione a più regioni
La configurazione a più regioni con grafici Helm richiede gli stessi prerequisiti delle procedure apigeectl
attuali. Per maggiori dettagli, consulta i
prerequisiti per i deployment multiregionali.
La procedura per configurare un ambiente ibrido per più regioni è uguale a quella esistente che avviene attraverso il processo di configurazione dell'host seed a più regioni e del cluster e del contesto Kubernetes.
Configura la prima regione
Per configurare la prima regione e prepararti a configurare la seconda, segui questi passaggi:
- Segui i passaggi in Configurare Apigee hybrid per più regioni per configurare l'host di origine multiregionale sulla tua piattaforma.
-
Per la prima regione creata, ottieni i pod nello spazio dei nomi apigee:
kubectl get pods -o wide -n apigee
- Identifica l'indirizzo host di origine multiregionale per Cassandra in questa regione, ad esempio
10.0.0.11
. -
Prepara il file
overrides.yaml
per la seconda regione e aggiungi l'indirizzo IP dell'host di origine come segue:cassandra: multiRegionSeedHost: "SEED_HOST_IP_ADDRESS" datacenter: "DATACENTER_NAME" rack: "RACK_NAME" clusterName: CLUSTER_NAME hostNetwork: false
Sostituisci quanto segue:
- SEED_HOST_IP_ADDRESS con l'indirizzo IP dell'host originale, ad esempio
10.0.0.11
. - DATACENTER_NAME con il nome del data center, ad esempio
dc-2
. - RACK_NAME con il nome del rack, ad esempio
ra-1
. - CLUSTER_NAME con il nome del tuo cluster Apigee. Per impostazione predefinita, il valore è
apigeecluster
. Se utilizzi un nome di cluster diverso, devi specificare un valore per cassandra.clusterName. Questo valore deve essere lo stesso in tutte le regioni.
- SEED_HOST_IP_ADDRESS con l'indirizzo IP dell'host originale, ad esempio
Configura la seconda regione
Per configurare la nuova regione:
-
Installa
cert-manager
nella regione 2:kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.11.1/cert-manager.yaml
- Creare un secret Kubernetes per l'account di servizio.
- Crea un secret Kubernetes per il certificato in entrata.
- Copia il tuo certificato dal cluster esistente a quello nuovo.
La nuova CA radice viene utilizzata da Cassandra e da altri componenti ibridi per mTLS.
Di conseguenza, è essenziale disporre di certificati coerenti in tutto il cluster.
-
Imposta il contesto sullo spazio dei nomi originale:
kubectl config use-context ORIGINAL_CLUSTER_NAME
-
Esporta l'attuale configurazione dello spazio dei nomi in un file:
kubectl get namespace apigee -o yaml > apigee-namespace.yaml
-
Esporta il secret
apigee-ca
in un file:kubectl -n cert-manager get secret apigee-ca -o yaml > apigee-ca.yaml
-
Imposta il contesto sul nome del cluster della nuova regione:
kubectl config use-context NEW_CLUSTER_NAME
-
Importa la configurazione dello spazio dei nomi nel nuovo cluster. Assicurati di aggiornare lo spazio dei nomi nel file se utilizzi uno spazio dei nomi diverso nella nuova regione:
kubectl apply -f apigee-namespace.yaml
-
Importa il secret nel nuovo cluster:
kubectl -n cert-manager apply -f apigee-ca.yaml
-
-
Ora utilizza i grafici Helm per installare Apigee hybrid nella nuova regione con i seguenti comandi del grafico Helm (come fatto nella regione 1):
helm upgrade operator apigee-operator \ --install \ --create-namespace \ --namespace apigee-system \ --atomic -f overrides-DATACENTER_NAME.yaml
helm upgrade datastore apigee-datastore \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
helm upgrade telemetry apigee-telemetry \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
helm upgrade redis apigee-redis \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
helm upgrade ingress-manager apigee-ingress-manager \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
helm upgrade ORG_NAME apigee-org \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
# repeat the below command for each env mentioned on the overrideshelm upgrade apigee-env-ENV_NAME apigee-env/ \ --install \ --namespace apigee \ --atomic \ --set env=ENV_NAME \ -f overrides-DATACENTER_NAME.yaml
# repeat the below command for each env group mentioned on the overrideshelm upgrade apigee-virtualhost-ENV_GROUP_NAME apigee-virtualhost/ \ --install \ --namespace apigee \ --atomic \ --set envgroup=ENV_GROUP_NAME \ -f overrides-DATACENTER_NAME.yaml
- Dopo aver installato tutti i componenti, configura Cassandra su tutti i pod nei nuovi data center. Per le istruzioni, consulta Configurare Apigee hybrid per più regioni, selezionare la tua piattaforma, scorri fino a Configurare la nuova regione e quindi individua il passaggio 5.
- Una volta completata e verificata la replica dei dati, aggiorna gli host di origine:
-
Rimuovi
multiRegionSeedHost: 10.0.0.11
daoverrides-DATACENTER_NAME.yaml
. -
Applica di nuovo la modifica per aggiornare la RP del datastore apigee:
helm upgrade datastore apigee-datastore/ \ --install \ --namespace apigee \ --atomic \ -f overrides-DATACENTER_NAME.yaml
-
Rimuovi
Hosting privato delle immagini
Invece di fare affidamento sul repository pubblico di Google Cloud, puoi facoltativamente voler ospitare le immagini in privato. Anziché eseguire l'override di ogni componente, puoi aggiungere i dettagli dell'hub sugli override:
hub: PRIVATE_REPO
Ad esempio, se viene fornito il seguente hub, questo risolverà automaticamente il percorso dell'immagine:
hub: private-docker-host.com
come:
## an example of internal component vs 3rd party containers: - name: apigee-udca image: private-docker-host.com/apigee-udca:1.10.4 imagePullPolicy: IfNotPresent containers: - name: apigee-ingressgateway image: private-docker-host.com/apigee-asm-ingress:1.17.2-asm.8-distroless imagePullPolicy: IfNotPresent
Per visualizzare un elenco delle immagini Apigee ospitate nel repository Google Cloud sulla riga di comando:
./apigee-operator/etc/tools/apigee-pull-push.sh --list
Tolleranze
Per utilizzare la
funzionalità Incompatibilità e tolleranze di Kubernetes, devi definire la proprietà di override tolerations
per ogni componente ibrido Apigee.
I seguenti componenti supportano la definizione delle tolleranze:
ao
apigeeIngressGateway
cassandra
cassandraSchemaSetup
cassandraSchemaValidation
cassandraUserSetup
connectAgent
istiod
logger
mart
metrics
mintTaskScheduler
redis
runtime
synchronizer
udca
Watcher
Per maggiori informazioni su questi componenti, consulta la documentazione di riferimento sulle proprietà di configurazione.
Ad esempio, per applicare le tolleranze al deployment dell'operatore Apigee:
ao: tolerations: - key: "key1" operator: "Equal" value: "value1" effect: "NoExecute" tolerationSeconds: 3600
Per applicare le tolleranze allo StatefulSet Cassandra:
cassandra: tolerations: - key: "key1" operator: "Equal" value: "value1" effect: "NoExecute" tolerationSeconds: 3600