Etapa 2: instalar o Cert-manager e o ASM

No momento, você está vendo a versão 1.3 da documentação da Apigee Híbrida. Esta versão é o fim da vida útil. Faça upgrade para uma versão mais recente. Para mais informações, consulte Versões compatíveis.

Version 1.3 (unsupported)

   Supported versions:

• v1.12 (latest)                        
• v1.11                         
• v1.10                                        
• List of supported versions

   Unsupported versions:

• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Nesta etapa, explicamos como fazer o download e a instalação do cert-manager (em inglês) e do Anthos Service Mesh (ASM), necessários para que o Apigee híbrido funcione.

Instalar cert-manager

Use um dos dois comandos a seguir para instalar o gerenciador de certificados v0.14.2 do GitHub. Para encontrar a versão do Kubernetes, use o comando kubectl version.

• Se você tiver o Kubernetes 1.15 ou mais recente:

  kubectl apply --validate=false -f https://github.com/jetstack/cert-manager/releases/download/v0.14.2/cert-manager.yaml

• Versões do Kubernetes anteriores a 1.15:

  kubectl apply --validate=false -f https://github.com/jetstack/cert-manager/releases/download/v0.14.2/cert-manager-legacy.yaml

Você verá uma resposta informando que o namespace cert-manager e vários recursos de cert-manager foram criados.

Instalar ASM

A Apigee híbrida usa a distribuição do Istio fornecida com o Anthos Service Mesh (ASM). Siga estas etapas para instalar o ASM no cluster.

Versões compatíveis do ASM

Para novas instalações do híbrido, instale o ASM 1.6.x no cluster. Se você estiver fazendo upgrade do híbrido versão 1.2.x, instale o ASM versão 1.5.x no cluster.

Realizar etapas de configuração do ASM

Para concluir a instalação do ASM, você precisa seguir as etapas de instalação e configuração específicas na documentação do ASM. Em seguida, volte aqui para concluir a configuração híbrida antes de aplicar a configuração ao cluster.

1. Siga as etapas de configuração do ASM:
   Importante: ao seguir a documentação do ASM, não instale ou aplique o arquivo de configuração YAML istio-operator.yaml quando for instruído. Nesse momento, você precisa retornar a esta página para editar o arquivo com outras configurações específicas do ambiente híbrido antes de instalar/aplicar a configuração.
   • Se esta for uma nova instalação da Apigee híbrida, instale a versão 1.6.x do ASM. Acesse: Introdução à instalação e migração.
   • Se você estiver fazendo upgrade de uma versão anterior do híbrido, use o ASM 1.5.x. Acesse Como instalar o Anthos Service Mesh em um cluster existente.

2. Depois de concluir as etapas de instalação e configuração do ASM, vá para a próxima seção para concluir a configuração híbrida e as etapas de instalação do ASM.

Realizar a configuração híbrida final e instalar o ASM

Por fim, adicione configurações específicas do ambiente híbrido ao arquivo istio-operator.yaml e instale o ASM.

1. Verifique se você está no diretório raiz da instalação do ASM. Por exemplo, 1.6.11-asm.1.
2. Abra o arquivo ./asm/cluster/istio-operator.yaml em um editor.
3. Adicione as seguintes linhas recuadas abaixo de spec.meshConfig::

   Texto a ser copiado

       # This disables Istio from configuring workloads for mTLS if TLSSettings are not specified. 1.4 defaulted to false.
       enableAutoMtls: false
       accessLogFile: "/dev/stdout"
       accessLogEncoding: 1
       # This is Apigee's custom access log format. Changes should not be made to this
       # unless first working with the Data and AX teams as they parse these logs for
       # SLOs.
       accessLogFormat: '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)%
         %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

   Observação: o valor de enableAutoMtls precisa ser definido como false.

   Exemplo que mostra a posição

   Quebras de linha inseridas para legibilidade

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   metadata:
     clusterName: "hybrid-example/us-central1/example-cluster" # {"$ref":"#/definitions/io.k8s.cli.substitutions.cluster-name"}
   spec:
     profile: asm
     hub: gcr.io/gke-release/asm # {"$ref":"#/definitions/io.k8s.cli.setters.anthos.servicemesh.hub"}
     tag: 1.5.7-asm.0 # {"$ref":"#/definitions/io.k8s.cli.setters.anthos.servicemesh.tag"}
     meshConfig:
       # This disables Istio from configuring workloads for mTLS if TLSSettings are not specified.
       # 1.4 defaulted to false.
       enableAutoMtls: false
       accessLogFile: "/dev/stdout"
       accessLogEncoding: 1
       # This is Apigee's custom access log format. Changes should not be made to this
       # unless first working with the Data and AX teams as they parse these logs for
       # SLOs.
       accessLogFormat: '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE
         _ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:
         METHOD)%
         %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RE
         SPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIV
         ED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response
         _flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_serv
         ice_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%
         ","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_
         path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol
         ":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_S
         ERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
       defaultConfig:
         proxyMetadata:
           GCP_METADATA: "hybrid-example|123456789123|example-cluster|us-central1" #
             {"$ref":"#/definitions/io.k8s.cli.substitutions.gke-metadata"}

4. Adicione (ou atualize) a estrofe de spec:components no arquivo istio-operator.yaml abaixo da seção meshConfig: e imediatamente acima de values:, em que reserved_static_ip é o endereço IP que você reservou para o gateway de entrada do ambiente de execução em Configuração do projeto e da organização - Etapa 5: configurar o Cloud DNS.

   Texto a ser copiado

       ingressGateways:
       - name: istio-ingressgateway
         enabled: true
         k8s:
           service:
             type: LoadBalancer
             loadBalancerIP: reserved_static_ip
             ports:
             - name: status-port
               port: 15020
               targetPort: 15020
             - name: http2
               port: 80
               targetPort: 80
             - name: https
               port: 443
             - name: prometheus
               port: 15030
               targetPort: 15030
             - name: tcp
               port: 31400
               targetPort: 31400
             - name: tls
               port: 15443
               targetPort: 15443
   

   Observação: o valor de enableAutoMtls precisa ser definido como false.

   Exemplo que mostra a posição

   Quebras de linha inseridas para legibilidade

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   metadata:
     clusterName: "hybrid-example/us-central1/example-cluster" # {"$ref":"#/definitions/io.k8s.cli.substitutions.cluster-name"}
   spec:
     profile: asm
     hub: gcr.io/gke-release/asm # {"$ref":"#/definitions/io.k8s.cli.setters.anthos.servicemesh.hub"}
     tag: 1.5.7-asm.0 # {"$ref":"#/definitions/io.k8s.cli.setters.anthos.servicemesh.tag"}
     meshConfig:
       # This disables Istio from configuring workloads for mTLS if TLSSettings are not specified.
       # 1.4 defaulted to false.
       enableAutoMtls: false
       accessLogFile: "/dev/stdout"
       accessLogEncoding: 1
       # This is Apigee's custom access log format. Changes should not be made to this
       # unless first working with the Data and AX teams as they parse these logs for
       # SLOs.
       accessLogFormat: '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE
         _ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:
         METHOD)%
         %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RE
         SPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIV
         ED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response
         _flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_serv
         ice_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%
         ","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_
         path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol
         ":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_S
         ERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
       defaultConfig:
         proxyMetadata:
           GCP_METADATA: "hybrid-example|123456789123|example-cluster|us-central1" #
             {"$ref":"#/definitions/io.k8s.cli.substitutions.gke-metadata"}
   
     components:
       pilot:
         k8s:
           hpaSpec:
             maxReplicas: 2
       ingressGateways:
       - name: istio-ingressgateway
         enabled: true
         k8s:
           service:
             type: LoadBalancer
             loadBalancerIP: 123.234.56.78
             ports:
             - name: status-port
               port: 15020
               targetPort: 15020
             - name: http2
               port: 80
               targetPort: 80
             - name: https
               port: 443
             - name: prometheus
               port: 15030
               targetPort: 15030
             - name: tcp
               port: 31400
               targetPort: 31400
             - name: tls
               port: 15443
               targetPort: 15443
           hpaSpec:
             maxReplicas: 2
     values:
       .
       .
       .
   

5. Retorne agora à documentação do ASM usada anteriormente e conclua a instalação do ASM (instale ou aplique o arquivo istio-operator.yaml ao cluster). Quando tiver a opção, escolha PERMISSIVE mTLS.

Resumo

Agora, o gerenciador de certificados e o ASM estão instalados e é possível instalar a ferramenta de linha de comando da Apigee híbrida na máquina local.

1 2 (A SEGUIR) Etapa 3: instalar o apigeectl 4 5