Gestione del gateway in entrata Apigee

Al momento stai visualizzando la versione 1.9 della documentazione di Apigee hybrid. Per saperne di più, consulta Versioni supportate.

Version 1.9 (unsupported)

Versioni supportate:

• v1.12 (più recente)                        
• Versione 1.11                         
• Versione 1.10                                        
• Elenco delle versioni supportate

Versioni non supportate:

• Versione 1.9                                         
• Versione 1.8                                         
• Versione 1.7                                         
• Versione 1.6                                         
• Versione 1.5                                         
• Versione 1.4                                         
• Versione 1.3                                         
• Versione 1.2                                         
• Versione 1.1                                         

A partire da Apigee versione 1.8 ibrida, Apigee hybrid utilizza il gateway in entrata Apigee per fornire il gateway in entrata per gli ambienti ibridi.

Configurazione del gateway in entrata Apigee in corso...

Puoi configurare i gateway in entrata in overrides.yaml. Ad esempio:

Sintassi

ingressGateways:
- name: INGRESS_NAME
  replicaCountMin: REPLICAS_MIN
  replicaCountMax: REPLICAS_MAX
  resources:
    requests:
      cpu: CPU_COUNT_REQ
      memory: MEMORY_REQ
    limits:
      cpu: CPU_COUNT_LIMIT
      memory: MEMORY_LIMIT
  svcAnnotations:  # optional. See Known issue 243599452.
    SVC_ANNOTATIONS_KEY: SVC_ANNOTATIONS_VALUE
  svcLoadBalancerIP: SVC_LOAD_BALANCER_IP # optional

Esempio

ingressGateways:
- name: prod1
  replicaCountMin: 2
  replicaCountMax: 100
  resources:
    requests:
      cpu: 1
      memory: 1Gi
    limits:
      cpu: 2
      memory: 2Gi
  svcAnnotations:  # optional. See Known issue 243599452.
    networking.gke.io/load-balancer-type: "Internal"
  svcLoadBalancerIP: 198.252.0.123 

• INGRESS_NAME è il nome del deployment del gateway in entrata. Può essere qualsiasi nome che soddisfi i seguenti requisiti:
  • Hanno una lunghezza massima di 17 caratteri
  • Contenere solo caratteri alfanumerici minuscoli, "-" o "."
  • Deve iniziare con un carattere alfanumerico.
  • Deve terminare con un carattere alfanumerico

  Consulta ingressGateways[].name nel riferimento alle proprietà di configurazione

• REPLICAS_MIN e REPLICAS_MAX Il numero minimo e massimo di repliche per il gateway in entrata Apigee nell'installazione. Consulta ingressGateways[].replicaCountMin e ingressGateways[].replicaCountMax nel riferimento alle proprietà di configurazione.
• CPU_COUNT_REQ e MEMORY_REQ La richiesta di CPU e memoria per ogni replica del gateway in entrata Apigee nella tua installazione.
  Imposta queste proprietà se le hai precedentemente impostate per il gateway in entrata Anthos Service Mesh in Apigee versione 1.8 o precedente, ad esempio nel file overlay.yaml.

  Consulta ingressGateways[].resources.requests.cpu e ingressGateways[].resources.requests.memory nel riferimento alle proprietà di configurazione.

• CPU_COUNT_LIMIT e MEMORY_LIMIT I limiti massimi di CPU e memoria per ogni replica del gateway in entrata Apigee nell'installazione.
  Imposta queste proprietà se le hai precedentemente impostate per il gateway in entrata Anthos Service Mesh in Apigee versione 1.8 o precedente, ad esempio nel file overlay.yaml.

  Consulta ingressGateways[].resources.limits.cpu e ingressGateways[].resources.limits.memory nel riferimento alle proprietà di configurazione.

• SVC_ANNOTATIONS_KEY SVC_ANNOTATIONS_VALUE (facoltativo):
  Nota: il campo ingressGateways[].svcAnnotations in overrides.yaml non funziona come previsto. Consulta il problema noto 243599452

  Questa è una coppia chiave-valore che fornisce annotazioni per il servizio in entrata predefinito. Le annotazioni vengono utilizzate dalla piattaforma cloud per aiutarti a configurare l'installazione ibrida, ad esempio impostando il tipo di bilanciatore del carico su interno o esterno. Ad esempio:

  ingressGateways:
    svcAnnotations:
      networking.gke.io/load-balancer-type: "Internal"

  Le annotazioni variano da una piattaforma all'altra. Fai riferimento alla documentazione della piattaforma per le annotazioni obbligatorie e suggerite.

  Nota: non è necessario impostare Annotations qui se stai creando il tuo servizio Kubernetes per il deployment del gateway in entrata come documentato in Esponi il gateway in entrata Apigee.
  Consulta ingressGateways[].svcAnnotations nel riferimento alle proprietà di configurazione.
• SVC_LOAD_BALANCER_IP (facoltativo). Sulle piattaforme che supportano la specifica dell'indirizzo IP del bilanciatore del carico, il bilanciatore del carico verrà creato con questo indirizzo IP. Sulle piattaforme che non consentono di specificare l'indirizzo IP del bilanciatore del carico, questa proprietà viene ignorata.
  Attenzione: assicurati di non specificare lo stesso indirizzo IP del gateway in entrata istio attuale. Ciò potrebbe causare problemi mentre il servizio è ancora nel cluster.
  Nota: non è necessario impostare LoadBalancerIP se stai creando un tuo servizio Kubernetes per il deployment del gateway in entrata come documentato in Esponi il gateway in entrata Apigee.
  Consulta ingressGateways[].svcLoadBalancerIP nel riferimento alle proprietà di configurazione.

Applica la configurazione del gateway in entrata Apigee

Applica le modifiche all'ambito dell'organizzazione con apigeectl.

$APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --org

Attività di gestione

Alcune attività di gestione comuni per il gateway in entrata Apigee:

Scalabilità del gateway in entrata Apigee:

Aggiorna le seguenti proprietà nel file di override.

• ingressGateways[].replicaCountMax
• ingressGateways[].replicaCountMin

Per maggiori dettagli, consulta ingressGateways nel riferimento alle proprietà di configurazione.

Applica le modifiche con apigeectl apply --org.

Aggiornamento dell'allocazione delle risorse

Aggiorna le seguenti proprietà nel file di override.

• ingressGateways[].resources.limits.cpu
• ingressGateways[].resources.limits.memory
• ingressGateways[].resources.requests.cpu
• ingressGateways[].resources.requests.memory

Per maggiori dettagli, consulta ingressGateways nel riferimento alle proprietà di configurazione.

Applica le modifiche con apigeectl apply --org.

Aggiornamento del servizio gateway in entrata di Apigee

Aggiorna le seguenti proprietà nel file di override.

• ingressGateways[].svcAnnotations
• ingressGateways[].svcLoadBalancerIP

Per maggiori dettagli, consulta ingressGateways nel riferimento alle proprietà di configurazione.

Applica le modifiche con apigeectl apply --org.

Disabilita il bilanciatore del carico per il servizio gateway in entrata predefinito di Apigee:

Se crei un servizio Kubernetes personalizzato per il deployment del gateway in entrata, puoi disabilitare la creazione di un bilanciatore del carico nel servizio Kubernetes predefinito. Aggiorna la proprietà ingressGateways[].svcType impostandola su ClusterIP nel file di override. Ad esempio:

ingressGateways:
  - name: my-ingress-gateway
    replicaCountMin: 2
    replicaCountMax: 10
    svcType: ClusterIP

Applica le modifiche con apigeectl apply --org.

Configurare TLS e mTLS

Vedi Configurare TLS e mTLS sul gateway in entrata.

Abilitazione di client non SNI

Vedi Abilitare i client non SNI e HTTP.

Installazione di gateway in entrata Apigee aggiuntivi

Nel file overrides.yaml puoi aggiungere più gateway in entrata. La proprietà di configurazione ingressGateways è un array. Per maggiori informazioni, consulta ingressGateways nel riferimento delle proprietà di configurazione.

Ad esempio:

ingressGateways:
- name: fruit
  replicaCountMin: 2
  replicaCountMax: 10

- name: meat
  replicaCountMin: 2
  replicaCountMax: 10

Applica le modifiche con apigeectl apply --org.

Mappatura degli host virtuali ai deployment dei gateway in entrata Apigee

Puoi utilizzare le etichette del selettore per mappare un host virtuale a un deployment del gateway in entrata Apigee. Nell'esempio seguente, l'host virtuale spam-vh è configurato per l'esecuzione sul gateway in entrata etichettato come meat, mentre gli altri due host virtuali vengono eseguiti sul gateway in entrata fruit. I gateway in entrata devono essere etichettati correttamente, come spiegato in Installazione di gateway Anthos Service Mesh aggiuntivi.

Nota: devi specificare entrambi i selettori: selector:app e selector:ingress_name per applicare correttamente un gateway in entrata a un host virtuale.

Suggerimento: per motivi di sicurezza, è consigliabile disporre di una coppia di certificato/chiave TLS separata per ogni host virtuale. Se utilizzi un certificato SAN (Subject Alternative Name), questa coppia di certificato/chiave TLS deve essere utilizzata su un host virtuale condiviso in tutto il dominio.

virtualhosts:
- name: spam-vh
  sslCertPath: cert-spam.crt
  sslKeyPath: cert-spam.key
  selector:
    app: apigee-ingressgateway
    ingress_name: meat
- name: banana-vh
  sslCertPath: cert-banana.crt
  sslKeyPath: cert-banana.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit
- name: plum-vh
  sslCertPath: cert-plum.crt
  sslKeyPath: cert-plum.key
  selector:
    app: apigee-ingressgateway
    ingress_name: fruit

    

Aggiunta di pacchetti di crittografia personalizzati ai deployment dei gateway in entrata Apigee

Apigee hybrid supporta i pacchetti di crittografia TLS v1.2. Se utilizzi TLS v1.0 o v1.1, puoi utilizzare la proprietà virtualhosts.cipherSuites nel file di override per aggiungere suite di crittografia personalizzate al deployment del gateway in entrata Apigee.

Ad esempio, per supportare TLS v.1.1:

virtualhosts:
- name: ENV_GROUP_NAME
  minTLSProtocolVersion: "1.1"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

Ad esempio, per supportare TLS v.1.0:

virtualhosts:
- name: ENV_GROUP
  minTLSProtocolVersion: "1.0"
  cipherSuites:
  - "ECDHE-ECDSA-AES128-GCM-SHA256"
  - "ECDHE-RSA-AES128-GCM-SHA256"
  - "ECDHE-ECDSA-AES256-GCM-SHA384"
  - "ECDHE-RSA-AES256-GCM-SHA384"
  - "ECDHE-ECDSA-CHACHA20-POLY1305"
  - "ECDHE-RSA-CHACHA20-POLY1305"
  - "ECDHE-ECDSA-AES128-SHA"
  - "ECDHE-RSA-AES128-SHA"
  - "ECDHE-ECDSA-AES256-SHA"
  - "ECDHE-RSA-AES256-SHA"
  ...

Nota:questa proprietà sostituisce l'elenco di suite di crittografia supportate da Envoy e non le aggiunge.

Personalizza i log degli accessi a Ingress

Puoi personalizzare la destinazione e il formato dei log degli accessi al gateway in entrata di Apigee con le proprietà di configurazione istiod.accessLogFile e istiod.accessLogFormat. Nell'esempio seguente, l'output verrà inviato a /dev/stdout, che è il valore predefinito per istiod.accessLogFile:

istiod:
  accessLogFormat: '{"request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","status":"%RESPONSE_CODE%"}'

Puoi disabilitare il logging degli accessi al gateway in entrata di Apigee assegnando istiod.accessLogFile e un valore vuoto. Ad esempio:

istiod:
  accessLogFile: ''

Domande frequenti

Come funziona con la mia installazione esistente di Anthos Service Mesh/Istio in un altro spazio dei nomi?

Purché Apigee sia installato in uno spazio dei nomi dedicato, il gateway in entrata di Apigee può essere eseguito insieme a un'installazione Anthos Service Mesh/Istio già esistente nel cluster. Il gateway in entrata di Apigee non archivia alcuna configurazione in apiserver, pertanto non ci saranno conflitti.

Chi è responsabile dell'upgrade dei componenti gateway in entrata di Apigee?

L'upgrade dei componenti gateway in entrata di Apigee viene gestito da Apigee e avviene durante i regolari upgrade ibridi e le release delle patch.

Come espongo la porta 80 nel gateway in entrata Apigee?

La porta 80 non è supportata dal gateway in entrata di Apigee. Se stai eseguendo la migrazione da Anthos Service Mesh al gateway Ingress Apigee e hai seguito le istruzioni nel post della community per abilitare la porta 80, non funzionerà con il gateway Apigee Ingress.