Passaggio 3: installazione di ASM

Installa ASM

Apigee Hybrid utilizza la distribuzione di Istio fornita con Anthos Service Mesh (ASM). Per installare ASM nel cluster, segui questi passaggi.

Versioni di ASM supportate

Consulta Apigee hybrid: piattaforme supportate per le versioni di ASM supportate nella versione ibrida 1.5.

Esegui i passaggi di configurazione e impostazione di ASM

Per completare l'installazione di ASM, devi prima seguire i passaggi di configurazione e impostazione specifici di ASM riportati nella documentazione di ASM. Poi, devi tornare qui per completare la configurazione specifica per l'ambiente ibrida prima di applicarla al cluster.

Le istruzioni per installare e configurare ASM variano a seconda della piattaforma. Le piattaforme sono suddivise nelle seguenti categorie:

  • GKE: cluster Google Kubernetes Engine in esecuzione su Google Cloud.
  • Al di fuori di Google Cloud: cluster Anthos in esecuzione su:
    • Cluster Anthos su VMware (GKE on-prem)
    • Anthos on bare metal
    • Anthos clusters on AWS
    • Amazon EKS
  • Altre piattaforme Kubernetes: cluster conformi creati ed eseguiti su:
    • AKS
    • EKS
    • OpenShift

GKE

Prepararsi per installare ASM

  1. Controlla le variabili di ambiente di cui avrai bisogno per i passaggi successivi e impostale se necessario: 
    echo ${PROJECT_ID}
echo ${CLUSTER_NAME}
echo ${CLUSTER_LOCATION}
  2. Crea un file overlay denominato overlay.yaml con i seguenti contenuti: 
    apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
      - name: istio-ingressgateway
        enabled: true
        k8s:
          nodeSelector:
            # default node selector, if different or not using node selectors, change accordingly.
            cloud.google.com/gke-nodepool: apigee-runtime
          resources:
            requests:
              cpu: 1000m
          service:
            type: LoadBalancer
            loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
            ports:
              - name: http-status-port
                port: 15021
              - name: http2
                port: 80
                targetPort: 8080
              - name: https
                port: 443
                targetPort: 8443
    • apigee-runtime è il valore predefinito per il selettore di nodi. Si tratta del pool di nodi apigee-runtime che hai creato nel Passaggio 1: crea un cluster. Se utilizzi un selettore di nodi diverso o non ne utilizzi uno, modifica o ometti la proprietà nodeSelector.
    • STATIC_IP è l'indirizzo IP del bilanciatore del carico. Se non ne hai impostato uno, ometti la proprietà loadBalancerIP, ma mantieni le proprietà type e ports.
  3. Segui le istruzioni per prepararti a installare ASM:
    1. Prerequisiti di Anthos.
    2. Autorizzazioni richieste per installare Anthos Service Mesh.
    3. Pianifica un'installazione.
  4. Installa asmcli e tutti gli strumenti necessari come git, kubectl e jq, seguendo le istruzioni riportate in Installa gli strumenti necessari.
  5. Procedi con il passaggio per concedere le autorizzazioni di amministratore del cluster e interrompi. Non eseguire il passaggio "Convalida progetto e cluster".
  6. Installa ASM con le funzionalità facoltative. Specifica il gateway di ingresso legacy con --option legacy-default-ingressgateway. ad esempio: 
    ./asmcli install \
  --verbose \
  --project_id $PROJECT_ID \
  --cluster_name $CLUSTER_NAME \
  --cluster_location $CLUSTER_LOCATION \
  --output_dir dir_path \
  --custom_overlay overlay.yaml \
  --enable_all \
  --option legacy-default-ingressgateway
    • dir_path è la directory di output in cui vuoi che asmcli configuri l'installazione di ASM, incluse tutte le sottodirectory.
    • overlay.yaml è il file di overlay che hai creato nei passaggi precedenti.

    Utilizza queste impostazioni quando segui le istruzioni riportate in Installare con funzionalità facoltative.

Risoluzione dei problemi

Se riscontri un errore che fa riferimento a gcloud container hub memberships register, è possibile che tu abbia superato il numero massimo di cluster registrati in GKE Hub. Ad esempio: 

asmcli_1.12: [WARNING]:  Command 'run_command gcloud
container hub memberships register my-hybrid-example
...' failed.

Prova a seguire questi passaggi per risolvere l'errore e poi esegui di nuovo asmcli install:

  1. Elenca gli abbonamenti a GKE Hub per il tuo progetto: 
    gcloud container hub memberships list --project=$PROJECT_ID
  2. Elimina le iscrizioni a GKE Hub: 
    gcloud container hub memberships delete "membership" --project=$PROJECT_ID

Per ulteriori informazioni sui limiti di GKE Hub, consulta Quote e limiti.

Al di fuori di Google Cloud

Queste istruzioni sono per l'installazione e la configurazione di ASM per le istanze Apigee hybrid che utilizzano Anthos come piattaforma di esecuzione:

  • Cluster Anthos su VMware (GKE on-prem)
  • Anthos on bare metal
  • Anthos clusters on AWS
  • Amazon EKS

Prepararsi per installare ASM

  1. Controlla le variabili di ambiente di cui avrai bisogno per i passaggi successivi e impostale se necessario: 
    echo ${PROJECT_ID}
echo ${CLUSTER_NAME}
echo ${CLUSTER_LOCATION}
  2. Crea un file overlay denominato overlay.yaml con i seguenti contenuti: 
    apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
      - name: istio-ingressgateway
        enabled: true
        k8s:
          nodeSelector:
            # default node selector, if different or not using node selectors, change accordingly.
            cloud.google.com/gke-nodepool: apigee-runtime
          resources:
            requests:
              cpu: 1000m
          service:
            type: LoadBalancer
            loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
            ports:
              - name: http-status-port
                port: 15021
              - name: http2
                port: 80
                targetPort: 8080
              - name: https
                port: 443
                targetPort: 8443

  meshConfig:
    accessLogFormat:
      '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
    • apigee-runtime è il valore predefinito per il selettore di nodi. Si tratta del pool di nodi apigee-runtime che hai creato nel Passaggio 1: crea un cluster. Se utilizzi un selettore di nodi diverso o non ne utilizzi uno, modifica o ometti la proprietà nodeSelector.
    • STATIC_IP è l'indirizzo IP del bilanciatore del carico. Se non ne hai impostato uno, ometti la proprietà loadBalancerIP, ma mantieni le proprietà type e ports.
  3. Segui le istruzioni per prepararti a installare ASM:
    1. Prerequisiti di Anthos.
    2. Autorizzazioni richieste per installare Anthos Service Mesh.
    3. Pianifica un'installazione.
  4. Installa asmcli e tutti gli strumenti necessari come git, kubectl e jq, seguendo le istruzioni riportate in Installa gli strumenti necessari.
  5. Procedi con il passaggio per concedere le autorizzazioni di amministratore del cluster e interrompi. Non eseguire il passaggio "Convalida progetto e cluster".
  6. Installa ASM con le funzionalità facoltative. Specifica il gateway di ingresso legacy con --option legacy-default-ingressgateway. ad esempio: 
    ./asmcli install \
  --verbose \
  --project_id $PROJECT_ID \
  --cluster_name $CLUSTER_NAME \
  --cluster_location $CLUSTER_LOCATION \
  --output_dir dir_path \
  --custom_overlay overlay.yaml \
  --enable_all \
  --option legacy-default-ingressgateway
    • dir_path è la directory di output in cui vuoi che asmcli configuri l'installazione di ASM, incluse tutte le sottodirectory.
    • overlay.yaml è il file di overlay che hai creato nei passaggi precedenti.

    Utilizza queste impostazioni quando segui le istruzioni riportate in Installare con funzionalità facoltative.

Risoluzione dei problemi

Se riscontri un errore che fa riferimento a gcloud container hub memberships register, è possibile che tu abbia superato il numero massimo di cluster registrati in GKE Hub. Ad esempio: 

asmcli_1.12: [WARNING]:  Command 'run_command gcloud
container hub memberships register my-hybrid-example
...' failed.

Prova a seguire questi passaggi per risolvere l'errore e poi esegui di nuovo asmcli install:

  1. Elenca gli abbonamenti a GKE Hub per il tuo progetto: 
    gcloud container hub memberships list --project=$PROJECT_ID
  2. Elimina le iscrizioni a GKE Hub: 
    gcloud container hub memberships delete "membership" --project=$PROJECT_ID

Per ulteriori informazioni sui limiti di GKE Hub, consulta Quote e limiti.

GKE su altre piattaforme

Queste istruzioni sono per l'installazione e la configurazione di ASM per le istanze Apigee hybrid che utilizzano Anthos come piattaforma di esecuzione:

  • GKE on-prem (Anthos)
  • Anthos on bare metal
  • GKE su AWS

Leggi attentamente i passaggi che seguono prima di iniziare. Ti chiederemo di eseguire alcuni dei passaggi elencati nella documentazione di ASM, quindi torna qui per completare l'installazione.

  1. Scarica e decomprimere istioctlsecondo le istruzioni riportate nella documentazione ASM: Scaricamento del file di installazione.
  2. A seconda dell'autorità di certificazione che prevedi di utilizzare, installa ASM seguendo le istruzioni riportate in una delle seguenti sezioni:
    1. Utilizzo della CA mesh: Installazione di Anthos Service Mesh con la CA mesh
    2. Fornitura dei tuoi certificati con la CA Istio: Installazione di Anthos Service Mesh con la CA Istio
  3. Configura il webhook di convalida seguendo le istruzioni riportate in Configurare il webhook di convalida.
  4. Controlla i componenti del piano di controllo seguendo le istruzioni riportate in Controllare i componenti del piano di controllo.

    Non continuare con "Inserimento di proxy sidecar".

Altre piattaforme Kubernetes

AKS

Configura e scarica ASM

Leggi attentamente i passaggi che seguono prima di iniziare. Ti chiederemo di eseguire alcuni dei passaggi elencati nella documentazione di ASM, quindi torna qui per completare l'installazione.

Questa guida spiega come eseguire un'installazione pulita della versione 1.12.9-asm.3 di Anthos Service Mesh (ASM) sui cluster collegati ad Anthos. Utilizza questa guida per installare Anthos Service Mesh nei seguenti ambienti:

  • Amazon Elastic Kubernetes Service (Amazon EKS) su Kubernetes
  • Microsoft Azure Kubernetes Service (Microsoft AKS) su Kubernetes
  • Red Hat OpenShift

Preparazione all'installazione di Anthos Service Mesh

    Linux

  1. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz
  2. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig
     
    openssl dgst -verify /dev/stdin -signature istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig istio-1.12.9-asm.3-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  3. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-linux-amd64.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  4. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  5. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    6. Mac OS

  6. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz
  7. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz.1.sig
     
    openssl dgst -sha256 -verify /dev/stdin -signature istio-1.12.9-asm.3-osx.tar.gz.1.sig istio-1.12.9-asm.3-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  8. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-osx.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  9. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  10. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    11. Windows

  11. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip
  12. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip.1.sig
     
    openssl dgst -verify - -signature istio-1.12.9-asm.3-win.zip.1.sig istio-1.12.9-asm.3-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  13. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-win.zip

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests\profiles.
  14. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  15. Per comodità, aggiungi gli strumenti nella directory \bin al tuo PATH: 
    set PATH=%CD%\bin:%PATH%
    16.
  16. Ora che ASM Istio è installato, controlla la versione di istioctl: 
    istioctl version
  17. Crea uno spazio dei nomi denominato istio-system per i componenti del piano di controllo: 
    kubectl create namespace istio-system

Installazione di Anthos Service Mesh

  1. Installa Anthos Service Mesh con istioctl utilizzando il profilo asm-multicloud: 
    istioctl install \
    --set profile=asm-multicloud \
    --set revision="asm-1129-3"

    L'argomento --set revision aggiunge a istiod un'etichetta di revisione nel formato istio.io/rev=asm-1129-3. L'etichetta di revisione viene utilizzata dall'webhook dell'iniettore di sidecar automatico per associare i sidecar iniettati a una determinata revisione dell'istiod. Per attivare l'iniezione automatica di sidecar per uno spazio dei nomi, devi etichettarlo con una revisione corrispondente all'etichetta su istiod.

  2. Verifica che i pod istiod siano in esecuzione con kubectl get pods: 
    kubectl get pods -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                                      READY   STATUS    RESTARTS   AGE
istio-ingressgateway-88b6fd976-flgp2  1/1     Running   0          3m13s
istio-ingressgateway-88b6fd976-p5dl9  1/1     Running   0          2m57s
istiod-asm-1129-3-dbfb7c7b6-2ls88      1/1     Running   0          3m21s
istiod-asm-1129-3-dbfb7c7b6-fnj8c      1/1     Running   1          3m21s
  3. Verifica che l'installazione sia stata completata: 
    kubectl get svc -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                  TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
istio-ingressgateway  LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
istiod                ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
istiod-asm-1129-3      ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

Configura il webhook di convalida

Quando installi Anthos Service Mesh, imposti un'etichetta di revisione su istiod. Devi impostare la stessa revisione sul webhook di convalida.

  1. Crea un file denominato istiod-service.yaml con i seguenti contenuti: 
    apiVersion: v1
kind: Service
metadata:
  name: istiod
  namespace: istio-system
  labels:
    istio.io/rev: asm-1129-3
    app: istiod
    istio: pilot
    release: istio
spec:
  ports:
    - port: 15010
      name: grpc-xds # plaintext
      protocol: TCP
    - port: 15012
      name: https-dns # mTLS with k8s-signed cert
      protocol: TCP
    - port: 443
      name: https-webhook # validation and injection
      targetPort: 15017
      protocol: TCP
    - port: 15014
      name: http-monitoring # prometheus stats
      protocol: TCP
  selector:
    app: istiod
    istio.io/rev: asm-1129-3
  meshConfig:
    accessLogFormat:
      '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
  2. Utilizza kubectl per applicare la configurazione dell'webhook di convalida: 
    kubectl apply -f istiod-service.yaml
  3. Verifica che la configurazione sia stata applicata: 
    kubectl get svc -n istio-system

    La risposta dovrebbe essere simile alla seguente: 

    NAME     TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                                 AGE
istiod   ClusterIP   172.200.18.133   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP   22s

EKS

Configura e scarica ASM

Leggi attentamente i passaggi che seguono prima di iniziare. Ti chiederemo di eseguire alcuni dei passaggi elencati nella documentazione di ASM, quindi torna qui per completare l'installazione.

Questa guida spiega come eseguire un'installazione pulita della versione 1.12.9-asm.3 di Anthos Service Mesh (ASM) sui cluster collegati ad Anthos. Utilizza questa guida per installare Anthos Service Mesh nei seguenti ambienti:

  • Amazon Elastic Kubernetes Service (Amazon EKS) su Kubernetes
  • Microsoft Azure Kubernetes Service (Microsoft AKS) su Kubernetes
  • Red Hat OpenShift

Preparazione all'installazione di Anthos Service Mesh

    Linux

  1. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz
  2. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig
     
    openssl dgst -verify /dev/stdin -signature istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig istio-1.12.9-asm.3-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  3. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-linux-amd64.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  4. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  5. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    6. Mac OS

  6. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz
  7. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz.1.sig
     
    openssl dgst -sha256 -verify /dev/stdin -signature istio-1.12.9-asm.3-osx.tar.gz.1.sig istio-1.12.9-asm.3-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  8. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-osx.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  9. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  10. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    11. Windows

  11. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip
  12. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip.1.sig
     
    openssl dgst -verify - -signature istio-1.12.9-asm.3-win.zip.1.sig istio-1.12.9-asm.3-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  13. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-win.zip

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests\profiles.
  14. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  15. Per comodità, aggiungi gli strumenti nella directory \bin al tuo PATH: 
    set PATH=%CD%\bin:%PATH%
    16.
  16. Ora che ASM Istio è installato, controlla la versione di istioctl: 
    istioctl version
  17. Crea uno spazio dei nomi denominato istio-system per i componenti del piano di controllo: 
    kubectl create namespace istio-system

Installazione di Anthos Service Mesh

  1. Installa Anthos Service Mesh con istioctl utilizzando il profilo asm-multicloud: 
    istioctl install \
    --set profile=asm-multicloud \
    --set revision="asm-1129-3"

    L'argomento --set revision aggiunge a istiod un'etichetta di revisione nel formato istio.io/rev=asm-1129-3. L'etichetta di revisione viene utilizzata dall'webhook dell'iniettore di sidecar automatico per associare i sidecar iniettati a una determinata revisione dell'istiod. Per attivare l'iniezione automatica di sidecar per uno spazio dei nomi, devi etichettarlo con una revisione corrispondente all'etichetta su istiod.

  2. Verifica che i pod istiod siano in esecuzione con kubectl get pods: 
    kubectl get pods -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                                      READY   STATUS    RESTARTS   AGE
istio-ingressgateway-88b6fd976-flgp2  1/1     Running   0          3m13s
istio-ingressgateway-88b6fd976-p5dl9  1/1     Running   0          2m57s
istiod-asm-1129-3-dbfb7c7b6-2ls88      1/1     Running   0          3m21s
istiod-asm-1129-3-dbfb7c7b6-fnj8c      1/1     Running   1          3m21s
  3. Verifica che l'installazione sia stata completata: 
    kubectl get svc -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                  TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
istio-ingressgateway  LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
istiod                ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
istiod-asm-1129-3      ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

Configura il webhook di convalida

Quando installi Anthos Service Mesh, imposti un'etichetta di revisione su istiod. Devi impostare la stessa revisione sul webhook di convalida.

  1. Crea un file denominato istiod-service.yaml con i seguenti contenuti: 
    apiVersion: v1
kind: Service
metadata:
  name: istiod
  namespace: istio-system
  labels:
    istio.io/rev: asm-1129-3
    app: istiod
    istio: pilot
    release: istio
spec:
  ports:
    - port: 15010
      name: grpc-xds # plaintext
      protocol: TCP
    - port: 15012
      name: https-dns # mTLS with k8s-signed cert
      protocol: TCP
    - port: 443
      name: https-webhook # validation and injection
      targetPort: 15017
      protocol: TCP
    - port: 15014
      name: http-monitoring # prometheus stats
      protocol: TCP
  selector:
    app: istiod
    istio.io/rev: asm-1129-3
  meshConfig:
    accessLogFormat:
      '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
  2. Utilizza kubectl per applicare la configurazione dell'webhook di convalida: 
    kubectl apply -f istiod-service.yaml
  3. Verifica che la configurazione sia stata applicata: 
    kubectl get svc -n istio-system

    La risposta dovrebbe essere simile alla seguente: 

    NAME     TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                                 AGE
istiod   ClusterIP   172.200.18.133   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP   22s

OpenShift

Configura e scarica ASM

Leggi attentamente i passaggi che seguono prima di iniziare. Ti chiederemo di eseguire alcuni dei passaggi elencati nella documentazione di ASM, quindi torna qui per completare l'installazione.

Questa guida spiega come eseguire un'installazione pulita della versione 1.12.9-asm.3 di Anthos Service Mesh (ASM) sui cluster collegati ad Anthos. Utilizza questa guida per installare Anthos Service Mesh nei seguenti ambienti:

  • Amazon Elastic Kubernetes Service (Amazon EKS) su Kubernetes
  • Microsoft Azure Kubernetes Service (Microsoft AKS) su Kubernetes
  • Red Hat OpenShift

Preparazione all'installazione di Anthos Service Mesh

    Linux

  1. Concedi la anyuid limitazione del contesto di sicurezza (SCC) a istio-system con il seguente comando oc: 
    oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system
  2. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz
  3. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig
     
    openssl dgst -verify /dev/stdin -signature istio-1.12.9-asm.3-linux-amd64.tar.gz.1.sig istio-1.12.9-asm.3-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  4. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-linux-amd64.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  5. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  6. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    7. Mac OS

  7. Concedi la anyuid limitazione del contesto di sicurezza (SCC) a istio-system con il seguente comando oc: 
    oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system
  8. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz
  9. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-osx.tar.gz.1.sig
     
    openssl dgst -sha256 -verify /dev/stdin -signature istio-1.12.9-asm.3-osx.tar.gz.1.sig istio-1.12.9-asm.3-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  10. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-osx.tar.gz

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests/profiles.
  11. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  12. Per comodità, aggiungi gli strumenti nella directory /bin al tuo PATH: 
    export PATH=$PWD/bin:$PATH

    13. Windows

  13. Concedi la limitazione del contesto di sicurezza anyuid (SCC) a istio-system con il seguente comando OpenShift CLI (oc): 
    oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system
  14. Scarica il file di installazione di Anthos Service Mesh nella directory di lavoro corrente: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip
  15. Scarica il file della firma e utilizza openssl per verificarla: 
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.12.9-asm.3-win.zip.1.sig
     
    openssl dgst -verify - -signature istio-1.12.9-asm.3-win.zip.1.sig istio-1.12.9-asm.3-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF
  16. Estrai i contenuti del file in qualsiasi posizione del file system. Ad esempio, per estrarre i contenuti nella directory di lavoro corrente: 
    tar xzf istio-1.12.9-asm.3-win.zip

    Il comando crea una directory di installazione nella directory di lavoro corrente denominata istio-1.12.9-asm.3 che contiene:

    • Applicazioni di esempio nella directory samples.
    • Lo strumento a riga di comando istioctl che utilizzi per installare Anthos Service Mesh si trova nella directory bin.
    • I profili di configurazione di Anthos Service Mesh si trovano nella directory manifests\profiles.
  17. Assicurati di essere nella directory principale dell'installazione di Anthos Service Mesh: 
    cd istio-1.12.9-asm.3
  18. Per comodità, aggiungi gli strumenti nella directory \bin al tuo PATH: 
    set PATH=%CD%\bin:%PATH%
    19.
  19. Ora che ASM Istio è installato, controlla la versione di istioctl: 
    istioctl version
  20. Crea uno spazio dei nomi denominato istio-system per i componenti del piano di controllo: 
    kubectl create namespace istio-system

Installazione di Anthos Service Mesh

  1. Installa Anthos Service Mesh con istioctl utilizzando il profilo asm-multicloud: 
    istioctl install \
    --set profile=asm-multicloud \
    --set revision="asm-1129-3"

    L'argomento --set revision aggiunge a istiod un'etichetta di revisione nel formato istio.io/rev=asm-1129-3. L'etichetta di revisione viene utilizzata dall'webhook dell'iniettore di sidecar automatico per associare i sidecar iniettati a una determinata revisione dell'istiod. Per attivare l'iniezione automatica di sidecar per uno spazio dei nomi, devi etichettarlo con una revisione corrispondente all'etichetta su istiod.

  2. Verifica che i pod istiod siano in esecuzione con kubectl get pods: 
    kubectl get pods -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                                      READY   STATUS    RESTARTS   AGE
istio-ingressgateway-88b6fd976-flgp2  1/1     Running   0          3m13s
istio-ingressgateway-88b6fd976-p5dl9  1/1     Running   0          2m57s
istiod-asm-1129-3-dbfb7c7b6-2ls88      1/1     Running   0          3m21s
istiod-asm-1129-3-dbfb7c7b6-fnj8c      1/1     Running   1          3m21s
  3. Verifica che l'installazione sia stata completata: 
    kubectl get svc -n istio-system

    L'output dovrebbe avere il seguente aspetto: 

    NAME                  TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
istio-ingressgateway  LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
istiod                ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
istiod-asm-1129-3      ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

Configura il webhook di convalida

Quando installi Anthos Service Mesh, imposti un'etichetta di revisione su istiod. Devi impostare la stessa revisione sul webhook di convalida.

  1. Crea un file denominato istiod-service.yaml con i seguenti contenuti: 
    apiVersion: v1
kind: Service
metadata:
  name: istiod
  namespace: istio-system
  labels:
    istio.io/rev: asm-1129-3
    app: istiod
    istio: pilot
    release: istio
spec:
  ports:
    - port: 15010
      name: grpc-xds # plaintext
      protocol: TCP
    - port: 15012
      name: https-dns # mTLS with k8s-signed cert
      protocol: TCP
    - port: 443
      name: https-webhook # validation and injection
      targetPort: 15017
      protocol: TCP
    - port: 15014
      name: http-monitoring # prometheus stats
      protocol: TCP
  selector:
    app: istiod
    istio.io/rev: asm-1129-3
  meshConfig:
    accessLogFormat:
      '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
  2. Utilizza kubectl per applicare la configurazione dell'webhook di convalida: 
    kubectl apply -f istiod-service.yaml
  3. Verifica che la configurazione sia stata applicata: 
    kubectl get svc -n istio-system

    La risposta dovrebbe essere simile alla seguente: 

    NAME     TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                                 AGE
istiod   ClusterIP   172.200.18.133   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP   22s

Personalizzazione dell'installazione di ASM

L'installazione di ASM che hai appena eseguito è un'installazione minima, sufficiente per testare e utilizzare Apigee hybrid per casi d'uso di base. Per informazioni su come gestire casi d'uso più avanzati, come l'aggiunta, la rimozione o la modifica dei numeri di porta del bilanciatore del carico, consulta Attivare le funzionalità facoltative.

Riepilogo

Ora che hai installato cert-manager e ASM, puoi installare lo strumento a riga di comando Apigee hybrid sulla tua macchina locale.

1 2 3 (AVANTI) Passaggio 4: installa apigeectl 5 6 7 8 9