Proteggi i servizi Kubernetes con Istio

Autopilot

---

Questo tutorial è rivolto agli utenti e agli amministratori di Kubernetes interessati a utilizzare il mesh di servizi Istio per eseguire il deployment dei servizi Kubernetes in modo sicuro e abilitare la comunicazione TLS reciproca (mTLS).

Istio e Cloud Service Mesh

Istio non è un prodotto Google supportato. Ti consigliamo invece di eseguire Cloud Service Mesh gestito. Per maggiori informazioni, consulta Eseguire il provisioning di Cloud Service Mesh su un cluster GKE Autopilot.

Per eseguire Istio su un cluster GKE Autopilot, devi abilitare le funzionalità NET_ADMIN e NET_RAW Linux nei tuoi container. Si tratta di funzionalità Linux privilegiate. La funzionalità NET_ADMIN concede ampio accesso alle operazioni di rete, ad esempio l'accesso in scrittura alle tabelle di routing e ai firewall. Un utente malintenzionato potrebbe potenzialmente utilizzare questo accesso per eseguire attacchi con escalation dei privilegi nel tuo cluster. Per maggiori dettagli, consulta la pagina manuale di CAP_NET_ADMIN.

Cloud Service Mesh offre i seguenti vantaggi:

• Puoi eseguire il provisioning di Cloud Service Mesh gestito utilizzando l'API Fleet senza strumenti lato client come istioctl.
• Cloud Service Mesh inserisce automaticamente i proxy sidecar nei carichi di lavoro senza concedere privilegi elevati ai container.
• Puoi visualizzare dashboard avanzate per il tuo mesh e i tuoi servizi senza alcuna configurazione aggiuntiva e quindi utilizzare queste metriche per configurare obiettivi del livello di servizio (SLO) e avvisi al fine di monitorare l'integrità delle applicazioni.
• L'upgrade del piano di controllo Cloud Service Mesh gestito viene eseguito automaticamente per garantire che tu riceva le patch e le funzionalità di sicurezza più recenti.
• Il piano dati gestito di Cloud Service Mesh esegue automaticamente l'upgrade dei proxy collaterali nei carichi di lavoro in modo da non dover riavviare i servizi manualmente quando sono disponibili upgrade del proxy e patch di sicurezza.
• Cloud Service Mesh è un prodotto supportato e può essere configurato utilizzando le API Istio open source standard. Per maggiori informazioni, consulta la sezione sulle funzionalità supportate.

Obiettivi

Questo tutorial include i seguenti passaggi:

• Creare un cluster GKE Autopilot.
• Installa Istio utilizzando lo strumento a riga di comando istioctl.
• Esegui il deployment di un'applicazione di esempio per testare l'autenticazione TLS reciproca (mTLS).
• Configura Istio per utilizzare l'autenticazione mTLS per la comunicazione tra servizi utilizzando una risorsa personalizzata PeerAuthentication.
• Verifica l'autenticazione mTLS utilizzando la dashboard di Kiali.

Costi

In questo documento, utilizzi i seguenti componenti fatturabili di Google Cloud:

• GKE
• Managed Service for Prometheus
• Cloud Load Balancing

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi utenti di Google Cloud potrebbero essere idonei per una prova gratuita.

Una volta completate le attività descritte in questo documento, puoi evitare la fatturazione continua eliminando le risorse che hai creato. Per ulteriori informazioni, consulta la pagina Pulizia.

Prima di iniziare

In Cloud Shell è preinstallato il software necessario per questo tutorial, tra cui kubectl, gcloud CLI e Terraform. Se non utilizzi Cloud Shell, devi installare gcloud CLI.

1. Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.
2. Installa Google Cloud CLI.

3. Per initialize gcloud CLI, esegui questo comando:

   gcloud init

   Nota: se hai già installato gcloud CLI in precedenza, assicurati di disporre della versione più recente eseguendo gcloud components update.

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

6. Attiva l'API GKE.

   gcloud services enable container.googleapis.com

7. Installa Google Cloud CLI.

8. Per initialize gcloud CLI, esegui questo comando:

   gcloud init

   Nota: se hai già installato gcloud CLI in precedenza, assicurati di disporre della versione più recente eseguendo gcloud components update.

9. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

10. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

11. Attiva l'API GKE.

    gcloud services enable container.googleapis.com

12. Concedi i ruoli al tuo Account Google. Esegui questo comando una volta per ciascuno dei seguenti ruoli IAM: roles/container.clusterAdmin

    gcloud projects add-iam-policy-binding PROJECT_ID --member="user:EMAIL_ADDRESS" --role=ROLE

    • Sostituisci PROJECT_ID con l'ID progetto.
    • Sostituisci EMAIL_ADDRESS con il tuo indirizzo email.
    • Sostituisci ROLE con ogni singolo ruolo.

prepara l'ambiente

Per configurare l'ambiente:

1. Imposta le variabili di ambiente:

   export PROJECT_ID=PROJECT_ID
   gcloud config set project $PROJECT_ID
   gcloud config set compute/region us-central1
   

   Sostituisci PROJECT_ID con il tuo ID progetto Google Cloud.

2. Clona il repository GitHub:

   git clone https://github.com/GoogleCloudPlatform/kubernetes-engine-samples.git
   

3. Passa alla directory di lavoro:

   cd kubernetes-engine-samples/service-mesh/istio-tutorial
   

Crea un cluster GKE

Abilita le funzionalità Linux richieste da Istio: NET_RAW e NET_ADMIN. GKE Autopilot non consente NET_ADMIN per impostazione predefinita, ma puoi abilitare NET_ADMIN utilizzando il comando --workload-policies=allow-net-admin in GKE 1.27 e versioni successive:

gcloud container clusters create-auto istio-cluster \
    --location="us-central1" \
    --workload-policies="allow-net-admin"

Per saperne di più sulla sicurezza di GKE Autopilot, consulta Configurazioni di sicurezza integrate.

Installa Istio

Puoi installare Istio su un cluster GKE utilizzando Istioctl.

In questo tutorial installerai Istio con il profilo di configurazione predefinito consigliato per i deployment di produzione.

1. Installa Istio:

   export ISTIO_VERSION=1.20.2
   curl -L https://istio.io/downloadIstio | TARGET_ARCH=$(uname -m) sh -
   

2. Aggiungi lo strumento a riga di comando istioctl al PATH:

   cd istio-${ISTIO_VERSION}
   export PATH=$PWD/bin:$PATH
   

3. Installa Istio sul cluster:

   istioctl install --set profile="default" -y
   

   Questo passaggio potrebbe richiedere diversi minuti.

4. Attendi che i pod Istio siano pronti:

   watch kubectl get pods -n istio-system
   

   L'output è simile al seguente:

   NAME                                    READY   STATUS        RESTARTS   AGE
   istio-ingressgateway-5c47bff876-wjm96   1/1     Running       0          2m54s
   istiod-5fc7cb65cd-k8cp4                 1/1     Running       0          2m57s
   

   Quando i pod Istio sono Running, torna alla riga di comando premendo Ctrl+C.

Esegui il deployment dell'applicazione di esempio

In questa sezione utilizzerai l'applicazione di esempio Bank of Anthos per creare un mesh di servizi con l'autenticazione mTLS.

1. Aggiungi un'etichetta dello spazio dei nomi che indichi a Istio di abilitare l'iniezione automatica dei proxy sidecar Envoy:

   kubectl label namespace default istio-injection=enabled
   

2. Esegui il deployment dell'applicazione di esempio:

   cd ..
   git clone https://github.com/GoogleCloudPlatform/bank-of-anthos.git
   kubectl apply -f bank-of-anthos/extras/jwt/jwt-secret.yaml
   kubectl apply -f bank-of-anthos/kubernetes-manifests/
   

3. Attendi che l'applicazione sia pronta:

   watch kubectl get pods
   

   L'output è simile al seguente:

   NAME                                 READY   STATUS    RESTARTS   AGE
   accounts-db-0                        2/2     Running   0          2m16s
   balancereader-5c695f78f5-x4wlz       2/2     Running   0          3m8s
   contacts-557fc79c5-5d7fg             2/2     Running   0          3m7s
   frontend-7dd589c5d7-b4cgq            2/2     Running   0          3m7s
   ledger-db-0                          2/2     Running   0          3m6s
   ledgerwriter-6497f5cf9b-25c6x        2/2     Running   0          3m5s
   loadgenerator-57f6896fd6-lx5df       2/2     Running   0          3m5s
   transactionhistory-6c498965f-tl2sk   2/2     Running   0          3m4s
   userservice-95f44b65b-mlk2p          2/2     Running   0          3m4s
   

   Quando i pod sono Running, torna alla riga di comando premendo Ctrl+C.

4. Esamina il seguente manifest:

   # Copyright 2020 Google LLC
   #
   # Licensed under the Apache License, Version 2.0 (the "License");
   # you may not use this file except in compliance with the License.
   # You may obtain a copy of the License at
   #
   #      http://www.apache.org/licenses/LICENSE-2.0
   #
   # Unless required by applicable law or agreed to in writing, software
   # distributed under the License is distributed on an "AS IS" BASIS,
   # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
   # See the License for the specific language governing permissions and
   # limitations under the License.
   
   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: frontend-gateway
   spec:
     selector:
       istio: ingressgateway # use Istio default gateway implementation
     servers:
     - port:
         number: 80
         name: http
         protocol: HTTP
       hosts:
       - "*"
   ---
   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: frontend-ingress
   spec:
     hosts:
     - "*"
     gateways:
     - frontend-gateway
     http:
     - route:
       - destination:
           host: frontend
           port:
             number: 80

   Questo manifest descrive le risorse Istio Gateway e VirtualService che espongono l'applicazione e utilizzano Istio come controller Ingress.

5. Applica il manifest al cluster:

   kubectl apply -f bank-of-anthos/extras/istio/frontend-ingress.yaml
   

Configura mTLS

L'autenticazione TLS (mTLS) reciproca è abilitata per impostazione predefinita in Istio. Ciò significa che Istio monitora i carichi di lavoro del server di cui è stata eseguita la migrazione ai proxy Istio e configura automaticamente i proxy client per stabilire connessioni mTLS con questi carichi di lavoro. Istio configura anche i proxy client in modo che non utilizzino mTLS quando si connettono a carichi di lavoro senza proxy sidecar.

Istio può configurare mTLS in modo che funzioni in tre modalità:

• PERMISSIVE: i carichi di lavoro accettano traffico sia mTLS sia in testo normale.
• STRICT: i carichi di lavoro accettano solo traffico mTLS.
• DISABLE: mTLS disabilitato. Usa questa modalità se vuoi usare la tua soluzione di sicurezza.

Puoi applicare la configurazione mTLS a livello globale, per spazio dei nomi o per carico di lavoro. In questo tutorial, applicherai la configurazione per spazio dei nomi utilizzando la modalità mTLS di STRICT.

1. Esamina il seguente manifest:

   apiVersion: security.istio.io/v1beta1
   kind: PeerAuthentication
   metadata:
     name: default
   spec:
     mtls:
         mode: STRICT

   Questo manifest descrive una risorsa personalizzata Istio con autenticazione peer.

2. Applica il manifest al cluster:

   kubectl apply -f peer-authentication.yaml
   

Per ulteriori informazioni su mTLS in Istio, consulta l'autenticazione TLS reciproca.

Verifica che mTLS sia abilitato

Kiali è una dashboard di osservabilità basata sul web per il mesh di servizi Istio, che offre una vista grafica del tuo ambiente di microservizi, consentendoti di monitorare e risolvere i problemi delle applicazioni. Puoi utilizzare Kiali per verificare che l'autenticazione mTLS sia abilitata e funzioni correttamente nel mesh di servizi Istio. Kiali richiede Prometheus come origine dati di telemetria. Questo tutorial utilizza Google Cloud Managed Service per Prometheus.

Installa un'interfaccia di query

1. Crea un account di servizio IAM con roles/monitoring.viewer per consentire all'interfaccia di query di accedere alle metriche:

   gcloud iam service-accounts create monitoring \
       --display-name="Service account for query interface"
   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member "serviceAccount:monitoring@PROJECT_ID.iam.gserviceaccount.com" \
       --role roles/monitoring.viewer
   gcloud iam service-accounts add-iam-policy-binding \
     monitoring@PROJECT_ID.iam.gserviceaccount.com \
       --role roles/iam.workloadIdentityUser \
       --member "serviceAccount:PROJECT_ID.svc.id.goog[monitoring/default]"
   

2. Crea uno spazio dei nomi Kubernetes:

   kubectl create namespace monitoring
   

3. Annota l'account di servizio Kubernetes predefinito nello spazio dei nomi per configurare la Federazione delle identità per i carichi di lavoro per GKE:

   kubectl annotate serviceaccount -n monitoring default \
       iam.gke.io/gcp-service-account=monitoring@PROJECT_ID.iam.gserviceaccount.com --overwrite
   

4. Esegui il deployment del carico di lavoro dell'interfaccia di query:

   kubectl -n monitoring apply -f https://raw.githubusercontent.com/GoogleCloudPlatform/prometheus-engine/v0.7.1/examples/frontend.yaml
   

5. Esamina il seguente manifest:

   apiVersion: monitoring.googleapis.com/v1
   kind: PodMonitoring
   metadata:
     name: istiod
     namespace: istio-system
   spec:
     selector:
       matchLabels:
         app: istiod
     endpoints:
     - port: 15014
       path: /metrics
       timeout: 30s
       interval: 60s

   Questo manifest descrive una risorsa PodMonitoring che raccoglie le metriche Istio e proxy Envoy.

6. Applica il manifest al cluster:

   kubectl apply -f pod-monitorings.yaml
   

7. Ottieni un link all'applicazione di esempio:

   INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   echo "http://$INGRESS_HOST"
   

8. Apri il link per visualizzare l'applicazione di esempio. Accedi con il nome utente e la password predefiniti per generare traffico tra i microservizi.

Installa Kiali

Ti consigliamo di installare Kiali utilizzando l'operatore Kiali.

1. Installa l'operatore Kiali:

   helm repo add kiali https://kiali.org/helm-charts
   helm repo update
   helm install \
       --namespace kiali-operator \
       --create-namespace \
       kiali-operator \
       kiali/kiali-operator
   

2. Esamina il seguente manifest:

   apiVersion: kiali.io/v1alpha1
   kind: Kiali
   metadata:
     name: kiali
     namespace: istio-system
   spec:
     deployment:
       namespace: istio-system
     auth:
       strategy: anonymous
     external_services:
       custom_dashboards:
         prometheus:
           url: "http://frontend.monitoring:9090/"
           auth:
             type: none
       prometheus:
         url: "http://frontend.monitoring:9090/"
         auth:
           type: none
       tracing:
         enabled: false
       grafana:
         enabled: false

   Questo file manifest descrive una risorsa personalizzata dell'operatore che definisce il server Kiali.

3. Applica il manifest al cluster:

   kubectl apply -f kiali.yaml
   

4. Attendi che il server Kiali sia pronto:

   watch kubectl get pods -n istio-system
   

   L'output è simile al seguente:

   NAME                                    READY   STATUS    RESTARTS   AGE
   istio-ingressgateway-6845466857-92zp8   1/1     Running   0          9m11s
   istiod-6b47d84cf-4cqlt                  1/1     Running   0          12m
   

   Quando i pod sono Running, torna alla riga di comando premendo Ctrl+C.

5. Configura il port forwarding sul server Kiali per accedere alla dashboard:

   kubectl -n istio-system port-forward svc/kiali 8080:20001
   

6. Apri anteprima web. In Kiali, vai alla sezione Graph e seleziona l'opzione Sicurezza nel menu a discesa Display. Questa visualizzazione mostra lo stato di sicurezza di ciascun nodo nel grafico. I nodi con un badge mTLS abilitato indicano che mTLS è abilitato per quel servizio, mentre quelli senza il badge indicano che mTLS non è abilitato.

Esegui la pulizia

Per evitare che al tuo Account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Elimina il progetto

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività in questo documento, quando lo elimini elimini anche qualsiasi altro lavoro svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, puoi riutilizzare i progetti ed evitare così di superare i limiti di quota.

Elimina un progetto Google Cloud:

gcloud projects delete PROJECT_ID

Elimina le singole risorse

Se hai utilizzato un progetto esistente e non vuoi eliminarlo, elimina le singole risorse.

1. Elimina Kiali:

   kubectl -n istio-system delete kiali kiali
   helm uninstall --namespace kiali-operator kiali-operator
   

2. Elimina le risorse di monitoraggio:

   kubectl -n monitoring delete -f https://raw.githubusercontent.com/GoogleCloudPlatform/prometheus-engine/v0.7.1/examples/frontend.yaml
   

3. Elimina l'applicazione di esempio:

   kubectl delete -f bank-of-anthos/extras/istio/frontend-ingress.yaml
   kubectl delete -f bank-of-anthos/kubernetes-manifests
   

4. Disinstalla Istio:

   istioctl uninstall --purge -y
   

5. Elimina il cluster GKE:

   gcloud container clusters delete --region us-central1 istio-cluster --quiet
   

Passaggi successivi

• Esplora le architetture di riferimento, i diagrammi e le best practice su Google Cloud. Visita il nostro Cloud Architecture Center.