Apigee Ingress Gateway verwalten

Aktuell lesen Sie die Version 1.9 der Apigee Hybrid-Dokumentation. Weitere Informationen finden Sie unter Unterstützte Versionen.

Version 1.9 (unsupported)

Unterstützte Versionen:

• v1.13 (aktuellste Version)                        
• v1.12                         
• v1.11                         
• Liste der unterstützten Versionen

Nicht unterstützte Versionen:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Ab Apigee Hybrid-Version 1.8 verwendet Apigee Hybrid das Ingress-Ingress-Gateway, um das Ingress-Gateway für Hybrid-Umgebungen bereitzustellen.

Apigee Ingress-Gateway konfigurieren

Sie können Ihre Ingress-Gateways in Ihrem overrides.yaml konfigurieren. Beispiel:

Syntax

ingressGateways:
- name: INGRESS_NAME
  replicaCountMin: REPLICAS_MIN
  replicaCountMax: REPLICAS_MAX
  resources:
    requests:
      cpu: CPU_COUNT_REQ
      memory: MEMORY_REQ
    limits:
      cpu: CPU_COUNT_LIMIT
      memory: MEMORY_LIMIT
  svcAnnotations:  # optional. See Known issue 243599452.
    SVC_ANNOTATIONS_KEY: SVC_ANNOTATIONS_VALUE
  svcLoadBalancerIP: SVC_LOAD_BALANCER_IP # optional

Beispiel

ingressGateways:
- name: prod1
  replicaCountMin: 2
  replicaCountMax: 100
  resources:
    requests:
      cpu: 1
      memory: 1Gi
    limits:
      cpu: 2
      memory: 2Gi
  svcAnnotations:  # optional. See Known issue 243599452.
    networking.gke.io/load-balancer-type: "Internal"
  svcLoadBalancerIP: 198.252.0.123 

• INGRESS_NAME ist der Name des Ingress-Gateway-Deployments. Dies kann ein beliebiger Name sein, der die folgenden Anforderungen erfüllt:
  • Darf maximal 17 Zeichen lang sein
  • Darf nur kleingeschriebene, alphanumerische Zeichen enthalten, "-" oder ".".
  • Muss mit einem alphanumerischen Zeichen beginnen.
  • Muss mit einem alphanumerischen Zeichen enden.

  Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways[].name.

• REPLICAS_MIN und REPLICAS_MAX sind die minimalen und maximalen Replikatzahlen für das Apigee-Ingress-Gateway in Ihrer Installation. Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways[].replicaCountMin und ingressGateways[].replicaCountMax.
• CPU_COUNT_REQ und MEMORY_REQ sind die CPU- und Speicheranforderung für jedes Replikat des Apigee Ingress-Gateways in Ihrer Installation.
  Legen Sie diese Attribute fest, wenn Sie sie zuvor für Ihr Anthos Service Mesh-Ingress-Gateway in der Apigee Hybrid-Version 1.8 oder niedriger festgelegt haben, z. B. in Ihrer overlay.yaml-Datei.

  Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways[].resources.requests.cpu und ingressGateways[].resources.requests.memory.

• CPU_COUNT_LIMIT und MEMORY_LIMIT: die maximalen CPU- und Arbeitsspeicherlimits für jedes Replikat des Apigee Ingress-Gateways in Ihrer Installation.
  Legen Sie diese Attribute fest, wenn Sie sie zuvor für Ihr Anthos Service Mesh-Ingress-Gateway in der Apigee Hybrid-Version 1.8 oder niedriger festgelegt haben, z. B. in Ihrer overlay.yaml-Datei.

  Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways[].resources.limits.cpu und ingressGateways[].resources.limits.memory.

• SVC_ANNOTATIONS_KEY SVC_ANNOTATIONS_VALUE (optional):
  Hinweis: Das Feld ingressGateways[].svcAnnotations in overrides.yaml funktioniert nicht wie erwartet. Siehe Bekanntes Problem 243599452

  Dies ist ein Schlüssel/Wert-Paar, das Annotationen für Ihren Standarddienst für eingehenden Traffic bereitstellt. Annotationen werden von Ihrer Cloud Platform verwendet, um Ihre Hybridinstallation zu konfigurieren, z. B. um den Load-Balancer-Typ auf intern oder extern festzulegen. Beispiel:

  ingressGateways:
    svcAnnotations:
      networking.gke.io/load-balancer-type: "Internal"

  Annotationen variieren je nach Plattform. Erforderliche und vorgeschlagene Annotationen finden Sie in der Dokumentation Ihrer Plattform.

  Hinweis: Sie müssen Annotations nicht festlegen, wenn Sie einen eigenen Kubernetes-Dienst für das Ingress-Gateway-Deployment erstellen, wie in Apigee-Ingress-Gateway freigeben dokumentiert.
  Siehe ingressGateways[].svcAnnotations in der Referenz zu Konfigurationsattributen.
• SVC_LOAD_BALANCER_IP (optional). Auf Plattformen, die die Angabe der IP-Adresse des Load-Balancers unterstützen, wird der Load-Balancer mit dieser IP-Adresse erstellt. Auf Plattformen, auf denen Sie die IP-Adresse des Load-Balancers nicht angeben können, wird dieses Attribut ignoriert.
  Achtung: Geben Sie nicht dieselbe IP-Adresse wie das aktuelle Istio-Ingress-Gateway an. Dies kann zu Problemen führen, während sich dieser Dienst noch auf dem Cluster befindet.
  Hinweis: Sie müssen LoadBalancerIP nicht festlegen, wenn Sie einen eigenen Kubernetes-Dienst für das Ingress-Gateway-Deployment erstellen, wie in Apigee-Ingress-Gateway freigeben dokumentiert.
  Siehe ingressGateways[].svcLoadBalancerIP in der Referenz zu Konfigurationsattributen.

Konfiguration des Apigee-Ingress-Gateways anwenden

Wenden Sie Änderungen mit apigeectl auf den Organisationsbereich an.

$APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --org

Verwaltungsaufgaben

Häufige Verwaltungsaufgaben für das Apigee-Ingress-Gateway:

Skalieren Sie das Apigee-Ingress-Gateway:

Aktualisieren Sie die folgenden Attribute in der Überschreibungendatei.

• ingressGateways[].replicaCountMax
• ingressGateways[].replicaCountMin

Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways.

Wenden Sie die Änderungen mit apigeectl apply --org an:

Ressourcenzuweisung aktualisieren

Aktualisieren Sie die folgenden Attribute in der Überschreibungendatei.

• ingressGateways[].resources.limits.cpu
• ingressGateways[].resources.limits.memory
• ingressGateways[].resources.requests.cpu
• ingressGateways[].resources.requests.memory

Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways.

Wenden Sie die Änderungen mit apigeectl apply --org an:

Apigee Ingress Gateway-Dienst aktualisieren

Aktualisieren Sie die folgenden Attribute in der Überschreibungendatei.

• ingressGateways[].svcAnnotations
• ingressGateways[].svcLoadBalancerIP

Weitere Informationen finden Sie in der Referenz zu Konfigurationsattributen unter ingressGateways.

Wenden Sie die Änderungen mit apigeectl apply --org an:

Deaktivieren Sie den Load-Balancer für den Standard-Apigee-Ingress-Gateway-Dienst:

Wenn Sie einen benutzerdefinierten Kubernetes-Dienst für das Deployment Ihres Ingress-Gateways erstellen, können Sie die Erstellung eines Load-Balancers im Kubernetes-Standarddienst deaktivieren. Aktualisieren Sie in der Überschreibungsdatei das Attribut ingressGateways[].svcType auf ClusterIP: Beispiel:

ingressGateways:
  - name: my-ingress-gateway
    replicaCountMin: 2
    replicaCountMax: 10
    svcType: ClusterIP

Wenden Sie die Änderungen mit apigeectl apply --org an:

TLS und mTLS konfigurieren

Weitere Informationen finden sich unter TLS und mTLS auf dem Ingress-Gateway konfigurieren.

Nicht-SNI-Clients aktivieren

Nicht-SNI- und HTTP-Clients aktivieren

Zusätzliche Apigee-Ingress-Gateways installieren

In der Datei overrides.yaml können Sie mehrere Gateways für eingehenden Traffic hinzufügen. Das Konfigurationsattribut ingressGateways ist ein Array. Weitere Informationen finden Sie unter ingressGateways in der Referenz zu Konfigurationsattributen.

Beispiel:

ingressGateways:
- name: fruit
  replicaCountMin: 2
  replicaCountMax: 10

- name: meat
  replicaCountMin: 2
  replicaCountMax: 10

Wenden Sie die Änderungen mit apigeectl apply --org an:

Virtuelle Hosts zu Apigee-Ingress-Gateway-Bereitstellungen zuordnen

Sie können Selektorlabels verwenden, um einen virtuellen Host der Bereitstellung von Apigee Ingress-Gateways zuzuordnen. Im folgenden Beispiel ist der virtuelle Host spam-vh so konfiguriert, dass er auf dem Ingress-Gateway meat und die anderen beiden virtuellen Hosts auf dem Ingress-Gateway fruit ausgeführt werden. Die Ingress-Gateways müssen mit einem ordnungsgemäßen Label versehen sein, wie unter Zusätzliche Anthos Service Mesh-Gateways installieren erläutert.

Hinweis: Sie müssen beide Selektoren angeben: selector:app und selector:ingress_name, um ein Ingress-Gateway auf einen virtuellen Host ordnungsgemäß anzuwenden.

Tipp: Aus Sicherheitsgründen hat es sich bewährt, ein separates TLS-Zertifikat/-Schlüsselpaar für jeden virtuellen Host zu haben. Wenn Sie ein SAN-Zertifikat (Subject Alternative Name) verwenden, sollte dieses TLS-Zertifikat/-Schlüsselpaar auf einem virtuellen Host verwendet werden, der in der Domain gemeinsam genutzt wird.

virtualhosts:
- name: spam-vh
  sslCertPath: cert-spam.crt
  sslKeyPath: cert-spam.key
  selector:
    app: apigee-ingressgateway
    ingress_name: meat
- name: banana-vh
  sslCertPath: cert-banana.crt
  sslKeyPath: cert-banana.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit
- name: plum-vh
  sslCertPath: cert-plum.crt
  sslKeyPath: cert-plum.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit

    

Benutzerdefinierte Chiffresammlungen zu Apigee Ingress-Gateway-Bereitstellungen hinzufügen

Apigee Hybrid unterstützt TLS v1.2-Chiffresammlungen. Wenn Sie TLS v1.0 oder v1.1 verwenden, können Sie das Attribut virtualhosts.cipherSuites in Ihrer Überschreibungendatei verwenden, um Ihrer Apigee Ingress-Gateways-Bereitstellung benutzerdefinierte Chiffresammlungen hinzuzufügen.

So unterstützen Sie beispielsweise TLS v.1.1:

virtualhosts:
- name: ENV_GROUP_NAME
  minTLSProtocolVersion: "1.1"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

So unterstützen Sie beispielsweise TLS v.1.0:

virtualhosts:
- name: ENV_GROUP
  minTLSProtocolVersion: "1.0"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

Hinweis: Dieses Attribut überschreibt die Liste der von Envoy unterstützten Chiffresammlungen und fügt ihr nichts hinzu.

Ingress-Zugriffslogs anpassen

Sie können das Zugriffslogziel und -format des Apigee Ingress-Gateways mit den Konfigurationsattributen istiod.accessLogFile und istiod.accessLogFormat anpassen. Im folgenden Beispiel wird die Ausgabe an /dev/stdout gesendet. Dies ist der Standardwert für istiod.accessLogFile:

istiod:
  accessLogFormat: '{"request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","status":"%RESPONSE_CODE%"}'

Sie können das Zugriffs-Logging für das Apigee-Ingress-Gateway deaktivieren, indem Sie istiod.accessLogFile und einen leeren Wert zuweisen. Beispiel:

istiod:
  accessLogFile: ''

FAQ

Wie funktioniert dies mit meiner bestehenden Anthos Service Mesh-/Istio-Installation in einem anderen Namespace?

Wenn Apigee in einem dedizierten Namespace installiert ist, kann das Apigee-Ingress-Gateway zusammen mit einer bereits vorhandenen Anthos Service Mesh/Istio-Installation im Cluster ausgeführt werden. Das Ingress-Gateway von Apigee speichert keine Konfiguration im API-Server, sodass kein Konflikt auftritt.

Wer ist für das Upgrade von Apigee Ingress-Gateway-Komponenten verantwortlich?

Das Upgrade der Apigee-Ingress-Gateway-Komponenten wird von Apigee übernommen und erfolgt während regulärer Hybridupgrades und Patchreleases.

Wie kann ich Port 80 im Apigee Ingress-Gateway freigeben?

Port 80 wird vom Apigee Ingress-Gateway nicht unterstützt. Wenn Sie von Anthos Service Mesh zum Apigee Ingress-Gateway migrieren und der Anleitung im Community-Beitrag folgen, um Port 80 zu aktivieren, funktioniert es nicht mit dem Apigee Ingress-Gateway.