Anthos Service Mesh 1.7 はサポート期間が終了し、今後はサポートされません。以前のバージョンからのアップグレードをご覧ください。

最新のドキュメントを表示するか、他の利用可能なバージョンを選択します。

利用可能なバージョン

接続されたクラスタへの Anthos Service Mesh のインストール

このガイドでは、GKE Enterprise 接続クラスタに Anthos Service Mesh バージョン 1.7.8-asm.10 をクリーンインストールする方法について説明します。このガイドでは、次の環境に Anthos Service Mesh をインストールします。

Kubernetes バージョン 1.16 の Amazon Elastic Kubernetes Service（Amazon EKS）
Kubernetes バージョン 1.16 の Microsoft Azure Kubernetes Service（Microsoft AKS）

インストールすると、asm-multicloud 構成プロファイルにてクラスタ上でサポートされる機能が有効になります。

準備

Google Cloud プロジェクトを作成し、クラスタをプロジェクトのフリートに登録するには、GKE Enterprise 接続クラスタの設定をご覧ください。
次の要件と制限事項をご確認ください。

要件

Anthos Service Mesh をインストールするユーザークラスタに、最低 4 つの vCPU、15 GB のメモリ、4 つのノードがある。
クラスタに Anthos Service Mesh やオープンソースの Istio がインストールされていない。
サービスメッシュに含めるには、サービスポートに名前を付ける必要があります。名前には、name: protocol[-suffix] の構文でポートのプロトコルを含める必要があります。角かっこは、ダッシュで始まるオプションの接尾辞です。詳細については、サービスポートの命名をご覧ください。

制限事項

1 つの Google Cloud プロジェクトに関連付けることができるメッシュは 1 つのみです。

環境設定

Anthos Service Mesh をインストールするマシンには、次のツールが必要です。Anthos Service Mesh はユーザークラスタにのみインストールできます。管理クラスタにはインストールできません。

curl コマンドラインツール
Google Cloud CLI

Google Cloud CLI をインストールした後:

Google Cloud CLI で認証します。
```
gcloud auth login
```
コンポーネントを更新します。
```
gcloud components update
```
kubectl をインストールします。
```
gcloud components install kubectl
```
必要とするバージョンの kpt をインストールします。
```
   curl -L https://github.com/GoogleContainerTools/kpt/releases/download/v0.39.2/kpt_linux_amd64 > kpt_0_39_2
   chmod +x kpt_0_39_2
   alias kpt="$(readlink -f kpt_0_39_2)"
```
注: kpt のインストールと更新に gcloud を使用しないでください。必要とするバージョンの kpt をダウンロードしてください。
次のようにしてコンテキストをユーザークラスタに切り替えます。
```
kubectl config use-context CLUSTER_NAME
```
ユーザーアカウント（Google Cloud ログインメールアドレス）にクラスタ管理者の権限を付与します。この権限は、Anthos Service Mesh に必要なロールベースのアクセス制御（RBAC）ルールを作成するのに必要です。
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user=USER_ACCOUNT
```

Anthos Service Mesh のインストールの準備

Linux

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-linux-amd64.tar.gz

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-linux-amd64.tar.gz.1.sig
openssl dgst -verify /dev/stdin -signature istio-1.7.8-asm.10-linux-amd64.tar.gz.1.sig istio-1.7.8-asm.10-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

ファイルシステム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.7.8-asm.10-linux-amd64.tar.gz

このコマンドにより、現在の作業ディレクトリに istio-1.7.8-asm.10 という名前のインストールディレクトリが作成されます。このディレクトリには、次のものが含まれます。

samples ディレクトリにあるサンプルアプリケーション
Anthos Service Mesh のインストールに使用する istioctl コマンドラインツールは、bin ディレクトリにあります。
Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Mac OS

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-osx.tar.gz

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.7.8-asm.10-osx.tar.gz.1.sig istio-1.7.8-asm.10-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

tar xzf istio-1.7.8-asm.10-osx.tar.gz

samples ディレクトリにあるサンプルアプリケーション
Anthos Service Mesh のインストールに使用する istioctl コマンドラインツールは、bin ディレクトリにあります。
Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Windows

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-win.zip

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-win.zip.1.sig
openssl dgst -verify - -signature istio-1.7.8-asm.10-win.zip.1.sig istio-1.7.8-asm.10-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

tar xzf istio-1.7.8-asm.10-win.zip

samples ディレクトリにあるサンプルアプリケーション
Anthos Service Mesh のインストールに使用する istioctl コマンドラインツールは、bin ディレクトリにあります。
Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Anthos Service Mesh インストールのルートディレクトリに移動していることを確認します。
```
cd istio-1.7.8-asm.10
```
利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。
```
export PATH=$PWD/bin:$PATH
```

`istio-system` 名前空間を作成します。

コントロールプレーンコンポーネント用に istio-system という名前空間を作成します。

kubectl create namespace istio-system

検証 Webhook の構成

Anthos Service Mesh をインストールするときに、istiod にリビジョンラベルを設定します。検証 Webhook に同じリビジョンを設定する必要があります。

次の YAML を istiod-service.yaml という名前のファイルにコピーします。

apiVersion: v1
kind: Service
metadata:
  name: istiod
  namespace: istio-system
  labels:
    istio.io/rev: asm-178-10
    app: istiod
    istio: pilot
    release: istio
spec:
  ports:
    - port: 15010
      name: grpc-xds # plaintext
      protocol: TCP
    - port: 15012
      name: https-dns # mTLS with k8s-signed cert
      protocol: TCP
    - port: 443
      name: https-webhook # validation and injection
      targetPort: 15017
      protocol: TCP
    - port: 15014
      name: http-monitoring # prometheus stats
      protocol: TCP
  selector:
    app: istiod
    istio.io/rev: asm-178-10

Anthos Service Mesh のインストール

次のコマンドを実行し、asm-multicloud プロファイルを使用して Anthos Service Mesh をインストールします。サポートされているオプション機能を有効にするには、コマンドラインで -f と YAML のファイル名を指定します。詳細については、オプション機能の有効化をご覧ください。
```
istioctl install \
  --set profile=asm-multicloud \
  --set revision=asm-178-10
```
--set revision 引数は、istio.io/rev=asm-178-10 形式のリビジョンラベルを istiod に追加します。リビジョンラベルは、自動サイドカーインジェクタ Webhook によって使用され、挿入されたサイドカーを特定の istiod リビジョンに関連付けます。名前空間のサイドカー自動挿入を有効にするには、istiod のラベルと一致するリビジョンのラベルを付ける必要があります。
検証 Webhook を構成して、リビジョンラベルで istiod サービスを検出できるようにします。
```
kubectl apply -f istiod-service.yaml
```
このコマンドは、構成の適用前に検証 Webhook が構成を自動的にチェックするサービスエントリを作成します。

自動相互 TLS（自動 mTLS）はデフォルトで有効になっています。自動 mTLS の場合、クライアントサイドカープロキシがサーバーにサイドカーがあるかどうかを自動的に検出します。クライアントサイドカーは、サイドカーを含むワークロードに mTLS を送信し、サイドカーなしでワークロードに書式なしテキストのトラフィックを送信します。

コントロールプレーンコンポーネントを確認する

istio-system のコントロールプレーン Pod が稼働していることを確認します。

kubectl get pod -n istio-system

予想される出力は次のようになります。

NAME                                   READY   STATUS      RESTARTS   AGE
istio-ingressgateway-cff9f5c7d-qg4ls   1/1     Running   0          7m5s
istio-ingressgateway-cff9f5c7d-vlkzb   1/1     Running   0          7m20s
istiod-66b587859c-886gx                1/1     Running   0          7m33s
istiod-66b587859c-dfs2j                1/1     Running   0          7m33s

コマンドの出力に 1 つ以上のコンポーネントが Running 状態でないことが示されている場合は、接続されたクラスタでの GKE Enterprise のトラブルシューティングで、コンポーネントの詳細を取得するためのスクリプトを確認してください。

サイドカープロキシの挿入

Anthos Service Mesh は、サイドカープロキシを使用してネットワークのセキュリティ、信頼性、オブザーバビリティを強化します。Anthos Service Mesh では、これらの機能がアプリケーションのプライマリコンテナから抽出され、同じ Pod 内の個別のコンテナとして提供される共通のプロセス外プロキシに実装されます。Pod にサイドカープロキシを挿入するには、Anthos Service Mesh をインストールしたときに istiod に設定したものと同じリビジョンラベルを使用して名前空間をラベル付けし、自動サイドカープロキシインジェクション（自動インジェクション）を構成します。

Anthos Service Mesh をインストールする前に、クラスタで実行されているワークロードがある名前空間で自動インジェクションを有効にする必要があります。
新しいワークロードをデプロイする前に、Anthos Service Mesh がトラフィックをモニタリングおよび保護できるように、自動インジェクションを構成します。

自動インジェクションを有効にするには:

次のコマンドを使用して、istiod のリビジョンラベルを探します。

kubectl -n istio-system get pods -l app=istiod --show-labels

出力は次のようになります。

NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-178-10-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-178-10,istio=istiod,pod-template-hash=5788d57586
istiod-asm-178-10-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-178-10,istio=istiod,pod-template-hash=5788d57586

出力の LABELS 列で、接頭辞 istio.io/rev= に続く istiod リビジョンラベルの値をメモします。この例での値は asm-178-10 です。

リビジョンラベルを適用し、存在する場合は istio-injection ラベルを削除します。次のコマンドで、NAMESPACE は自動インジェクションを有効にする名前空間の名前で、REVISION は前の手順でメモしたリビジョンラベルです。
```
kubectl label namespace NAMESPACE istio-injection-istio.io/rev=REVISION --overwrite
```
出力中のメッセージ "istio-injection not found" は無視して構いません。これは、今までは名前空間に istio-injection ラベルが付いていなかったことを意味します。Anthos Service Mesh の新規インストールや新規デプロイでは、こうなって当然です。名前空間に istio-injection とリビジョンラベルの両方があると自動インジェクションが失敗するため、Anthos Service Mesh ドキュメント内のすべての kubectl label コマンドには istio-injection ラベルの削除が含まれています。
Anthos Service Mesh をインストールする前にクラスタでワークロードが実行されていた場合は、Pod を再起動して再インジェクションをトリガーします。

Pod を再起動する方法は、アプリケーションとクラスタが属する環境によって異なります。たとえば、ステージング環境では、すべての Pod を削除するのみの場合がありますが、それによって Pod が再起動されます。ただし、本番環境では、Blue/Green デプロイを実装するプロセスにより、トラフィックが中断しないように Pod を安全に再起動できます。

kubectl を使用すると、ローリングの再起動を実行できます。
```
kubectl rollout restart deployment -n NAMESPACE
```
Pod が新しいバージョンの istiod を指すように構成されていることを確認します。
```
kubectl get pods -n NAMESPACE -l istio.io/rev=REVISION
```

Ingress ゲートウェイへのアクセス

Anthos Service Mesh には事前構成された Ingress ゲートウェイ istio-ingressgateway があります。これにより、サービスメッシュで実行されているアプリケーションへの受信トラフィックを管理できます。クラスタ外（ブラウザなど）からアプリケーションにアクセスできるようにするには、次のコマンドを実行します。

istio-ingressgateway の外部 IP アドレスを取得する必要があります。
アプリケーションでは、Online Boutique サンプルアプリケーションの frontend-gateway.yaml と同様に、ゲートウェイと VirtualService リソースを定義する必要があります。

istio-ingressgateway の外部 IP アドレスを取得するには:

ホスト鍵環境変数を作成します。
Microsoft AKS
```
  export HOST_KEY="ip"
```
Amazon EKS
```
  export HOST_KEY="hostname"
```

INGRESS_HOST 環境変数を作成します。

export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].'"$HOST_KEY"'}')

INGRESS_PORT 環境変数を作成します。

export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')

ブラウザでアプリケーションにアクセスします。次の URL で、EXTERNAL_IP を $INGRESS_HOST:$INGRESS_PORT に置き換えます。
```
http://EXTERNAL_IP/
```

次のステップ

Online Boutique サンプルアプリケーションをデプロイする

接続されたクラスタへの Anthos Service Mesh のインストール

準備

要件

制限事項

環境設定

Anthos Service Mesh のインストールの準備

Linux

Mac OS

Windows

istio-system 名前空間を作成します。

検証 Webhook の構成

Anthos Service Mesh のインストール

コントロール プレーン コンポーネントを確認する

サイドカー プロキシの挿入

Ingress ゲートウェイへのアクセス

Microsoft AKS

Amazon EKS

次のステップ

`istio-system` 名前空間を作成します。

コントロールプレーンコンポーネントを確認する

サイドカープロキシの挿入