O Anthos Service Mesh 1.6 chegou ao fim da vida útil e não é mais compatível. Consulte Como fazer upgrade de versões anteriores.

Veja uma mais recente ou selecione outra versão disponível:

Versões disponíveis

Como instalar o Anthos Service Mesh em clusters anexados

Neste guia, explicamos como fazer uma instalação limpa da versão 1.6.14-asm.2 do Anthos Service Mesh em clusters anexados do GKE Enterprise. Use este guia para instalar o Anthos Service Mesh nos seguintes ambientes:

Amazon Elastic Kubernetes Service (Amazon EKS) na versão 1.16 do Kubernetes
Microsoft Azure Kubernetes Service (Microsoft AKS) na versão 1.16 do Kubernetes

A instalação ativa os recursos compatíveis no cluster para o perfil de configuração asm-multicloud.

Antes de começar

Veja Como configurar clusters anexados ao GKE Enterprise para criar seu projeto do Google Cloud e registrar o cluster na frota do projeto.
Revise os seguintes requisitos e restrições.

Requisitos

O cluster de usuário em que você instala o Anthos Service Mesh tem pelo menos quatro vCPUs, 15 GB de memória e quatro réplicas.
O cluster não tem o Anthos Service Mesh ou o Istio de código aberto instalados.
Para serem incluídos na malha de serviço, as portas precisam ser nomeadas, e o nome precisa incluir o protocolo da porta na seguinte sintaxe: name: protocol[-suffix], em que os colchetes indicam um sufixo opcional que precisa começar com um traço. Saiba mais em Como nomear portas de serviço.

Restrições

Um projeto do Google Cloud só pode ter uma malha associada a ele.

Como configurar o ambiente

Você precisa das seguintes ferramentas na máquina onde quer instalar o Anthos Service Mesh. Observe que só é possível instalar o Anthos Service malha em um cluster de usuários, não em um cluster de administrador.

Ferramenta de linha de comando curl
A Google Cloud CLI.

Depois de instalar a Google Cloud CLI:

Faça a autenticação com a Google Cloud CLI:
```
gcloud auth login
```
Atualize os componentes:
```
gcloud components update
```
Instale kubectl:
```
gcloud components install kubectl
```

Instale a versão necessária de kpt:

   curl -L https://github.com/GoogleContainerTools/kpt/releases/download/v0.39.2/kpt_linux_amd64 > kpt_0_39_2
   chmod +x kpt_0_39_2
   alias kpt="$(readlink -f kpt_0_39_2)"

Alterne o contexto para seu cluster de usuário:
```
kubectl config use-context CLUSTER_NAME
```
Conceda permissões de administrador de cluster à sua conta de usuário (seu endereço de e-mail de login do Google Cloud). Você precisa dessas permissões para criar as regras necessárias de controle de acesso baseado em papéis (RBAC, na sigla em inglês) para o Anthos Service Mesh:
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user=USER_ACCOUNT
```

Como preparar a instalação do Anthos Service Mesh

Linux

Faça o download do arquivo de instalação do Anthos Service Mesh no diretório de trabalho atual:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-linux-amd64.tar.gz

Faça o download do arquivo de assinatura e use openssl para verificar a assinatura:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-linux-amd64.tar.gz.1.sig
openssl dgst -verify /dev/stdin -signature istio-1.6.14-asm.2-linux-amd64.tar.gz.1.sig istio-1.6.14-asm.2-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

A saída esperada é Verified OK.

Extraia o conteúdo do arquivo em qualquer local no sistema. Por exemplo, para extrair o conteúdo para o diretório de trabalho atual:

tar xzf istio-1.6.14-asm.2-linux-amd64.tar.gz

O comando cria um diretório de instalação no seu diretório de trabalho atual chamado istio-1.6.14-asm.2, que contém:

Exemplos de aplicativos no diretório samples.
A ferramenta de linha de comando istioctl usada para instalar o Anthos Service Mesh está no diretório bin.
Os perfis de configuração do Anthos Service Mesh estão no diretório manifests/profiles.

macOS

Faça o download do arquivo de instalação do Anthos Service Mesh no diretório de trabalho atual:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-osx.tar.gz

Faça o download do arquivo de assinatura e use openssl para verificar a assinatura:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.6.14-asm.2-osx.tar.gz.1.sig istio-1.6.14-asm.2-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

A saída esperada é Verified OK.

Extraia o conteúdo do arquivo em qualquer local no sistema. Por exemplo, para extrair o conteúdo para o diretório de trabalho atual:

tar xzf istio-1.6.14-asm.2-osx.tar.gz

O comando cria um diretório de instalação no seu diretório de trabalho atual chamado istio-1.6.14-asm.2, que contém:

Exemplos de aplicativos no diretório samples.
A ferramenta de linha de comando istioctl usada para instalar o Anthos Service Mesh está no diretório bin.
Os perfis de configuração do Anthos Service Mesh estão no diretório manifests/profiles.

Windows

Faça o download do arquivo de instalação do Anthos Service Mesh no diretório de trabalho atual:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-win.zip

Faça o download do arquivo de assinatura e use openssl para verificar a assinatura:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-win.zip.1.sig
openssl dgst -verify - -signature istio-1.6.14-asm.2-win.zip.1.sig istio-1.6.14-asm.2-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

A saída esperada é Verified OK.

Extraia o conteúdo do arquivo em qualquer local no sistema. Por exemplo, para extrair o conteúdo para o diretório de trabalho atual:

tar xzf istio-1.6.14-asm.2-win.zip

O comando cria um diretório de instalação no seu diretório de trabalho atual chamado istio-1.6.14-asm.2, que contém:

Exemplos de aplicativos no diretório samples.
A ferramenta de linha de comando istioctl usada para instalar o Anthos Service Mesh está no diretório bin.
Os perfis de configuração do Anthos Service Mesh estão no diretório manifests/profiles.

Verifique se você está no diretório raiz da instalação do Anthos Service Mesh.
```
cd istio-1.6.14-asm.2
```
Para facilitar, adicione as ferramentas ao diretório /bin/bin do seu PATH.
```
export PATH=$PWD/bin:$PATH
```

Crie o namespace `istio-system`

Crie um namespace chamado istio-system para os componentes do plano de controle:

kubectl create namespace istio-system

Configurar o webhook de validação

Ao instalar o Anthos Service Mesh, você define um rótulo de revisão em istiod. Você precisa definir a mesma revisão no webhook de validação.

Copie o seguinte YAML para um arquivo chamado istiod-service.yaml.

apiVersion: v1
kind: Service
metadata:
  name: istiod
  namespace: istio-system
  labels:
    istio.io/rev: asm-1614-2
    app: istiod
    istio: pilot
    release: istio
spec:
  ports:
    - port: 15010
      name: grpc-xds # plaintext
      protocol: TCP
    - port: 15012
      name: https-dns # mTLS with k8s-signed cert
      protocol: TCP
    - port: 443
      name: https-webhook # validation and injection
      targetPort: 15017
      protocol: TCP
    - port: 15014
      name: http-monitoring # prometheus stats
      protocol: TCP
  selector:
    app: istiod
    istio.io/rev: asm-1614-2

Como instalar o Anthos Service Mesh

Execute o seguinte comando para instalar o Anthos Service Mesh com o perfil asm-multicloud. Se você quiser ativar um recurso opcional compatível, inclua -f e o nome de arquivo YAML na linha de comando a seguir. Para mais informações, consulte Como ativar recursos opcionais.
```
istioctl install \
  --set profile=asm-multicloud \
  --set revision=asm-1614-2
```
O argumento --set revision adiciona um rótulo de revisão no formato istio.io/rev=asm-1614-2 a istiod. O rótulo de revisão é usado pelo webhook do injetor automático de sidecar para associar os sidecars injetados a uma revisão istiod específica. Para ativar a injeção automática de sidecar para um namespace, você precisa rotulá-lo com uma revisão que corresponda ao rótulo em istiod.
Configure o webhook de validação para que ele possa localizar o serviço istiod com o rótulo de revisão:
```
kubectl apply -f istiod-service.yaml
```
Esse comando cria uma entrada de serviço que permite ao webhook de validação verificar automaticamente as configurações antes de serem aplicadas.

O TLS mútuo automático (mTLS automático) é ativado por padrão. Com o mTLS automático, um proxy sidecar do cliente detecta automaticamente se o servidor tem um sidecar. O sidecar do cliente envia mTLS para cargas de trabalho com arquivos secundários e envia tráfego de texto simples para cargas de trabalho sem sidecars.

Verificar os componentes do plano de controle

Verifique se os pods do plano de controle em istio-system estão ativos:

kubectl get pod -n istio-system

A saída esperada será assim:

NAME                                   READY   STATUS      RESTARTS   AGE
istio-ingressgateway-cff9f5c7d-qg4ls   1/1     Running   0          7m5s
istio-ingressgateway-cff9f5c7d-vlkzb   1/1     Running   0          7m20s
istiod-66b587859c-886gx                1/1     Running   0          7m33s
istiod-66b587859c-dfs2j                1/1     Running   0          7m33s

Se a saída do comando mostrar que um ou mais componentes não estão no estado Running, consulte Como solucionar problemas do GKE Enterprise em clusters anexados para um script que execute para ver detalhes sobre os componentes.

Como injetar proxies sidecar

O Anthos Service Mesh usa proxies sidecar para aumentar a segurança, a confiabilidade e a observabilidade da rede. Com o Anthos Service Mesh, essas funções são abstraídas do contêiner principal do aplicativo e implementadas em um proxy comum fora do processo, entregue como um contêiner separado no mesmo pod.

Antes de você implantar cargas de trabalho, configure uma injeção do proxy sidecar para o Anthos Service Mesh monitorar e proteger o tráfego.

Todas as cargas de trabalho em execução no cluster antes da instalação do Anthos Service Mesh precisam ter o proxy sidecar injetado ou atualizado para que tenham a versão atual do Anthos Service Mesh. Antes de implantar novas cargas de trabalho, configure a injeção de proxy sidecar para que o Anthos Service Mesh possa monitorar e proteger o tráfego.

Para ativar a injeção automática de sidecar, rotule seus namespaces com a mesma revisão definida em istiod. Execute o comando a seguir para mostrar os rótulos em istiod:

kubectl -n istio-system get pods -l app=istiod --show-labels

Confirme se o rótulo de revisão, istio.io/rev=asm-1614-2, está na saída. Este é o rótulo que você usa para ativar a injeção automática. Você pode ativar a injeção automática com um comando, por exemplo:

kubectl label namespace NAMESPACE istio-injection-istio.io/rev=asm-1614-2 --overwrite

em que NAMESPACE é o nome do namespace para os serviços do seu aplicativo ou default se você não tiver criado explicitamente um namespace.

Saiba mais em Como injetar proxies sidecar.

Como implantar um aplicativo de amostra

O Anthos Service Mesh fornece um gateway de entrada pré-configurado, o istio-ingressgateway, que pode ser usado para gerenciar o tráfego de entrada para aplicativos em execução na malha de serviço. Para permitir o acesso de aplicativos de fora do cluster, como de um navegador, siga estas recomendações:

É preciso ter o endereço IP externo do istio-ingressgateway.
O aplicativo precisa definir um recurso Gateway e VirtualService, semelhante ao frontend-gateway.yaml do aplicativo de amostra Online Boutique.

Para implantar e executar o aplicativo de amostra

Faça o download da amostra:

kpt pkg get \
https://github.com/GoogleCloudPlatform/microservices-demo.git/release \
microservices-demo

Ative a injeção automática de sidecar:

kubectl label namespace default istio-injection=enabled

Implante a amostra no cluster:
```
kubectl apply -f microservices-demo
```

Para conseguir o endereço IP externo do istio-ingressgateway:

Crie a variável de ambiente de chave de host:
Microsoft AKS
```
  export HOST_KEY="ip"
```
Amazon EKS
```
  export HOST_KEY="hostname"
```

Crie a variável de ambiente INGRESS_HOST:

export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].'"$HOST_KEY"'}')

Crie a variável de ambiente INGRESS_PORT:

export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')

Acesse o aplicativo em seu navegador. No URL a seguir, substitua EXTERNAL_IP por $INGRESS_HOST:$INGRESS_PORT:
```
http://EXTERNAL_IP/
```

Quando terminar de explorar, remova a amostra:

kubectl delete -f microservices-demo

Como instalar o Anthos Service Mesh em clusters anexados

Antes de começar

Requisitos

Restrições

Como configurar o ambiente

Como preparar a instalação do Anthos Service Mesh

Linux

macOS

Windows

Crie o namespace istio-system

Configurar o webhook de validação

Como instalar o Anthos Service Mesh

Verificar os componentes do plano de controle

Como injetar proxies sidecar

Como implantar um aplicativo de amostra

Microsoft AKS

Amazon EKS

Crie o namespace `istio-system`