限定公開クラスタに Anthos Service Mesh をインストールする場合は、ファイアウォールでポート 15017 を開き、自動サイドカー インジェクション（自動挿入）で使用される Webhook が適切に機能するように設定する必要があります。さらに、istioctl version コマンドと istioctl ps コマンドが適切に機能するには、それぞれポート 15014 と 8080 を開く必要があります。
ファイアウォール ルールを追加するか、限定公開クラスタを作成したときに自動的に作成されたファイアウォール ルールを更新します。次の手順では、ファイアウォール ルールを更新する方法について説明します。update コマンドは既存のファイアウォール ルールを置き換えるため、デフォルト ポート 443（HTTPS）と 10250（kubelet）および開く新しいポートを含める必要があります。
クラスタのソース範囲（
master-ipv4-cidr）を確認します。次のコマンドで、CLUSTER_NAMEをクラスタの名前で置き換えます。gcloud compute firewall-rules list --filter="name~gke-CLUSTER_NAME-[0-9a-z]*-master"
ファイアウォール ルールを更新します。次のいずれかのコマンドを選択し、
FIREWALL_RULE_NAMEを前のコマンド出力のファイアウォール ルールの名前に置き換えます。自動挿入を有効にするだけの場合は、次のコマンドを実行してポート 15017 を開きます。
gcloud compute firewall-rules update FIREWALL_RULE_NAME --allow tcp:10250,tcp:443,tcp:15017
自動挿入および
istioctl versionコマンドとistioctl psコマンドを有効にする場合は、次のコマンドを実行してポート 15017、15014、8080 を開きます。gcloud compute firewall-rules update FIREWALL_RULE_NAME --allow tcp:10250,tcp:443,tcp:15017,tcp:15014,tcp:8080