Anthos Service Mesh 1.6

Google Cloud 기반 GKE에서 Anthos Service Mesh 설치

이 페이지에서는 Google Cloud 기반 GKE 클러스터에 Anthos Service Mesh 버전 1.6.8을 정상적으로 설치하는 방법을 설명합니다. 이전 버전의 Anthos Service Mesh가 설치되어 있는 경우 GKE에서 Anthos Service Mesh 업그레이드를 참조하세요.

시작하기 전에

Anthos Service Mesh를 설치하기 전에 다음을 확인합니다.

사용자 인증 정보 및 권한 설정

  1. 프로젝트를 설치할 수 있도록 초기화합니다. 무엇보다도 이 명령어는 사이드카 프록시와 같은 제어 영역 구성요소가 프로젝트의 데이터 및 리소스에 안전하게 액세스할 수 있도록 서비스 계정을 만듭니다.

    curl --request POST \
      --header "Authorization: Bearer $(gcloud auth print-access-token)" \
      --data '' \
      "https://meshconfig.googleapis.com/v1alpha1/projects/${PROJECT_ID}:initialize"

    이 명령어는 빈 중괄호({})를 사용하여 응답합니다.

  1. 클러스터와 상호작용하기 위해 사용자 인증 정보를 가져옵니다.

    gcloud container clusters get-credentials ${CLUSTER_NAME}
    
  2. 클러스터 관리자 권한을 현재 사용자에게 부여합니다. Anthos Service Mesh에 필요한 역할 기반 액세스 제어(RBAC) 규칙을 만들려면 이러한 권한이 필요합니다.

    kubectl create clusterrolebinding cluster-admin-binding \
      --clusterrole=cluster-admin \
      --user="$(gcloud config get-value core/account)"

"cluster-admin-binding" already exists 오류가 표시되면 안전하게 무시하고 기존 cluster-admin-binding을 계속 진행할 수 있습니다.

설치 파일 다운로드

    Linux

  1. Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-linux-amd64.tar.gz
  2. 서명 파일을 다운로드하고 openssl을 사용하여 서명을 확인합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-linux-amd64.tar.gz.1.sig
    openssl dgst -verify /dev/stdin -signature istio-1.6.8-asm.9-linux-amd64.tar.gz.1.sig istio-1.6.8-asm.9-linux-amd64.tar.gz <<'EOF'
    -----BEGIN PUBLIC KEY-----
    MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
    wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
    -----END PUBLIC KEY-----
    EOF

    예상되는 출력은 Verified OK입니다.

  3. 원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
    tar xzf istio-1.6.8-asm.9-linux-amd64.tar.gz

    이 명령어는 다음을 포함하는 현재 작업 디렉터리에 istio-1.6.8-asm.9이라는 설치 디렉터리를 만듭니다.

    • 샘플 애플리케이션은 samples 디렉터리에 있습니다.
    • Anthos Service Mesh를 설치하는 데 사용하는 istioctl 명령줄 도구는 bin 디렉터리에 있습니다.
    • Anthos Service Mesh 구성 프로필은 install/kubernetes/operator/profiles 디렉터리에 있습니다.

  4. MacOS

  5. Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-osx.tar.gz
  6. 서명 파일을 다운로드하고 openssl을 사용하여 서명을 확인합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-osx.tar.gz.1.sig
    openssl dgst -sha256 -verify /dev/stdin -signature istio-1.6.8-asm.9-osx.tar.gz.1.sig istio-1.6.8-asm.9-osx.tar.gz <<'EOF'
    -----BEGIN PUBLIC KEY-----
    MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
    wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
    -----END PUBLIC KEY-----
    EOF

    예상되는 출력은 Verified OK입니다.

  7. 원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
    tar xzf istio-1.6.8-asm.9-osx.tar.gz

    이 명령어는 다음을 포함하는 현재 작업 디렉터리에 istio-1.6.8-asm.9이라는 설치 디렉터리를 만듭니다.

    • 샘플 애플리케이션은 samples 디렉터리에 있습니다.
    • Anthos Service Mesh를 설치하는 데 사용하는 istioctl 명령줄 도구는 bin 디렉터리에 있습니다.
    • Anthos Service Mesh 구성 프로필은 install/kubernetes/operator/profiles 디렉터리에 있습니다.

  8. Windows

  9. Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-win.zip
  10. 서명 파일을 다운로드하고 openssl을 사용하여 서명을 확인합니다.
    curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.8-asm.9-win.zip.1.sig
    openssl dgst -verify - -signature istio-1.6.8-asm.9-win.zip.1.sig istio-1.6.8-asm.9-win.zip <<'EOF'
    -----BEGIN PUBLIC KEY-----
    MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
    wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
    -----END PUBLIC KEY-----
    EOF

    예상되는 출력은 Verified OK입니다.

  11. 원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
    tar xzf istio-1.6.8-asm.9-win.zip

    이 명령어는 다음을 포함하는 현재 작업 디렉터리에 istio-1.6.8-asm.9이라는 설치 디렉터리를 만듭니다.

    • 샘플 애플리케이션은 samples 디렉터리에 있습니다.
    • Anthos Service Mesh를 설치하는 데 사용하는 istioctl 명령줄 도구는 bin 디렉터리에 있습니다.
    • Anthos Service Mesh 구성 프로필은 install/kubernetes/operator/profiles 디렉터리에 있습니다.

  12. Anthos Service Mesh 설치 루트 디렉터리에 있는지 확인합니다.
    cd istio-1.6.8-asm.9
  13. 편의를 위해 /bin 디렉터리의 도구를 PATH에 추가합니다.
    export PATH=$PWD/bin:$PATH

리소스 구성 파일 준비

istioctl install 명령어를 실행할 때 명령줄에서 -f istio-operator.yaml을 지정합니다. 이 파일에는 Anthos Service Mesh에 필요한 프로젝트 및 클러스터에 대한 정보가 포함되어 있습니다. 프로젝트와 클러스터 정보를 설정할 수 있도록 istio-operator.yaml 및 기타 리소스 구성 파일이 포함된 패키지를 다운로드해야 합니다.

시작하려면 사용할 인증 기관(CA)에 따라 다운로드할 패키지를 선택합니다.

  • asm: 이 패키지를 다운로드하는 것이 좋습니다. 이 패키지는 Mesh CA를 사용 설정합니다.

  • asm-citadel: (선택사항) Citadel(현재 istiod에 통합됨)을 CA로 사용 설정할 수 있습니다. 커스텀 CA가 있는 경우에만 Citadel을 사용하는 것이 좋습니다.

리소스 구성 파일을 준비하려면 다음 안내를 따르세요.

  1. Anthos Service Mesh 패키지 리소스 구성 파일을 위한 새 디렉터리를 만듭니다. 클러스터 이름을 디렉터리 이름으로 사용하는 것이 좋습니다.

  2. Anthos Service Mesh 패키지를 다운로드할 디렉터리로 변경합니다.

  3. CA를 기준으로 사용할 패키지를 다운로드합니다.

    Mesh CA

    Mesh CA를 사용 설정하는 asm 패키지를 다운로드합니다.

    kpt pkg get \
    https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.6-asm asm
    

    Citadel

    Citadel을 CA로 사용 설정하는 asm-citadel 패키지를 다운로드합니다.

    kpt pkg get \
    https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm-citadel@release-1.6-asm asm
    
  4. 클러스터가 생성된 프로젝트의 프로젝트 ID를 설정합니다.

    kpt cfg set asm gcloud.core.project ${PROJECT_ID}
    
  5. Environ 호스트 프로젝트의 프로젝트 번호를 설정합니다.

    kpt cfg set asm gcloud.project.environProjectNumber ${ENVIRON_PROJECT_NUMBER}
    
  6. 클러스터 이름을 설정합니다.

    kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}
    
  7. 기본 영역 또는 리전을 설정합니다.

    kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}
    
  8. 사용할 구성 프로필을 설정합니다.

    • 모든 클러스터가 동일한 프로젝트에 있으면 asm-gcp 프로필을 설정합니다.

      kpt cfg set asm anthos.servicemesh.profile asm-gcp
      
    • 서비스 메시에 다른 프로젝트에 있는 여러 클러스터가 포함되어 있거나 포함할 경우 asm-gcp-multiproject 프로필을 설정합니다.

      kpt cfg set asm anthos.servicemesh.profile asm-gcp-multiproject
      
  9. asm-gcp 프로필을 설정한 경우 다음 단계로 건너뜁니다. asm-gcp-multiprojectyou 프로필을 설정하고 Mesh CA를 사용 설정하는 asm 패키지를 다운로드한 경우 멀티 클러스터 서비스 메시를 구성하는 다른 프로젝트에 신뢰할 수 있는 도메인 별칭을 구성해야 합니다.

    1. 멀티 클러스터 메시에 포함되는 모든 클러스터의 프로젝트 ID를 가져옵니다.

    2. 각 프로젝트 ID에 신뢰할 수 있는 도메인 별칭을 설정합니다. 예를 들어 프로젝트 3개에 클러스터가 있으면 다음 명령어를 실행하고 PROJECT_ID_1, PROJECT_ID_2, PROJECT_ID_3를 현재 프로젝트를 포함한 모든 프로젝트 ID 로 바꿉니다.

      kpt cfg set asm anthos.servicemesh.trustDomainAliases PROJECT_ID_1.svc.id.goog PROJECT_ID_2.svc.id.goog PROJECT_ID_3.svc.id.goog

      다른 프로젝트에서 클러스터를 구성할 때 동일한 명령어를 사용할 수 있습니다.

      신뢰할 수 있는 도메인 별칭을 사용하면 Mesh CA가 다른 프로젝트의 클러스터에 있는 워크로드를 인증할 수 있습니다. 신뢰할 수 있는 도메인 별칭을 설정하는 것 외에 교차 클러스터 부하 분산도 사용 설정해야 합니다.

  10. 원하는 경우 Cloud Source Repositories와 같은 자체 소스 제어 시스템에 리소스 구성 파일을 대조하여 파일의 변경사항을 추적할 수 있습니다.

Anthos Service Mesh 설치

  1. Citadel을 인증 기관으로 사용하는 경우 커스텀 CA를 사용하려면 다음 명령어를 실행하세요.

    kubectl create namespace istio-system
    kubectl create secret generic cacerts  \
      -n istio-system \
      --from-file=ca-cert.pem \
      --from-file=ca-key.pem \
      --from-file=root-cert.pem \
      --from-file=cert-chain.pem

    자세한 내용은 기존 CA 인증서 연결을 참조하세요.

  2. 다음 명령어를 실행하여 istio-operator.yaml 파일에 설정한 구성 프로필을 사용하여 Anthos Service Mesh를 설치합니다. 지원되는 선택 기능을 사용 설정하려면 다음 명령줄에 -f와 YAML 파일 이름을 포함합니다. 자세한 내용은 선택 기능 사용 설정을 참조하세요.

    istioctl install \
      -f asm/cluster/istio-operator.yaml
  3. asm-gcp 프로필을 사용한 경우 Cloud Console에서 Anthos Service Mesh UI를 사용 설정하려면 다음 명령어를 실행하세요.

    kubectl apply -f asm/canonical-service/controller.yaml

    asm-gcp-multiproject 프로필을 사용한 경우 현재 Cloud Console의 Anthos Service Mesh 대시보드에 원격 분석 데이터가 표시되지 않습니다. 그러나 각 프로젝트에 대해 Cloud Logging의 로그와 Cloud Monitoring의 측정항목은 계속 볼 수 있습니다.

자동 상호 TLS(자동 mTLS)가 기본적으로 사용 설정됩니다. 자동 mTLS를 사용하면 클라이언트 사이드카 프록시가 서버에 사이드카가 있는지 자동으로 감지합니다. 클라이언트 사이드카는 사이드카가 있는 워크로드에는 mTLS를 전송하고, 사이드카 없는 워크로드에는 일반 텍스트 트래픽을 전송합니다.

제어 영역 구성요소 확인

istio-system의 제어 영역 pod가 작동 중인지 확인합니다.

kubectl get pod -n istio-system

예상 출력은 다음과 비슷합니다.

NAME                                   READY   STATUS      RESTARTS   AGE
istio-ingressgateway-cff9f5c7d-qg4ls   1/1     Running   0          7m5s
istio-ingressgateway-cff9f5c7d-vlkzb   1/1     Running   0          7m20s
istiod-66b587859c-886gx                1/1     Running   0          7m33s
istiod-66b587859c-dfs2j                1/1     Running   0          7m33s

설치 검증

asmctl 분석 도구를 사용하여 프로젝트, 클러스터, 워크로드의 기본 구성을 검증하는 것이 좋습니다. asmctl 테스트가 실패하면 asmctl에서 가능한 경우 해결책을 권장합니다. asmctl validate 명령어는 다음을 확인하는 기본 테스트를 실행합니다.

  1. Anthos Service Mesh에 필요한 API가 프로젝트에 사용 설정되어 있는지 여부
  2. Istio-Ingressgateway가 Mesh CA를 호출하도록 올바르게 구성되어 있는지 여부
  3. Istiod 및 Istio-Ingressgateway의 전반적인 상태

선택사항인 --with-testing-workloads 플래그를 사용하여 asmctl validate 명령어를 실행하면 기본 테스트 외에도 asmctl이 다음을 확인하는 보안 테스트를 실행합니다.

  1. 상호 TLS(mTLS) 통신이 올바르게 구성되었습니다.
  2. Mesh CA는 인증서를 발급할 수 있습니다.

보안 테스트를 실행하기 위해 asmctl은 클러스터의 워크로드를 테스트 네임스페이스에 배포하고, mTLS 통신 테스트를 실행하며, 결과를 출력하고 테스트 네임스페이스를 삭제합니다. 보안 테스트는 Mesh CA에서만 작동합니다. Citadel을 CA로 사용하는 경우 보안 테스트가 실패합니다.

asmctl을 실행하려면 다음 안내를 따르세요.

  1. gcloud 애플리케이션 기본 사용자 인증 정보가 설정되어 있는지 확인합니다.

     gcloud auth application-default login
    
  2. 아직 설정하지 않았다면 사용자 인증 정보를 가져와 클러스터와 상호작용합니다.

     gcloud container clusters get-credentials ${CLUSTER_NAME}
    
  3. PATHistio-1.6.8-asm.9/bin이 있는 경우 기본 및 보안 테스트를 모두 실행하려면 다음을 실행하세요.

    asmctl validate
    

    성공하면 다음과 비슷한 출력이 표시됩니다.

    [asmctl version 0.4.1]
    Using Kubernetes context: example-context_us-central1-example-cluster
    To change the context, use the --context flag
    Validating enabled APIs
    OK
    Validating ingressgateway configuration
    OK
    Validating istio system
    OK
  4. Mesh CA를 사용 설정한 경우 기본 및 보안 테스트를 모두 실행하려면 다음을 실행하세요.

    asmctl validate --with-testing-workloads
    

    성공하면 다음과 비슷한 출력이 표시됩니다.

    [asmctl version 0.4.1]
    Using Kubernetes context: example-context_us-central1-example-cluster
    To change the context, use the --context flag
    Validating enabled APIs
    OK
    Validating ingressgateway configuration
    OK
    Validating istio system
    OK
    
    [asmctl version 0.4.1]
    Using Kubernetes context: example-context_us-central1-example-cluster
    To change the context, use the --context flag
    Validating enabled APIs
    OK
    Validating ingressgateway configuration
    OK
    Validating istio system
    OK
    Validating sample traffic
    Launching example services...
    Sent traffic to example service http code: 200
    verified mTLS configuration
    OK
    Validating issued certs
    OK

사이드카 프록시 삽입

Anthos Service Mesh는 사이드카 프록시를 사용하여 네트워크 보안, 안정성, 관측 가능성을 개선합니다. Anthos Service Mesh를 사용하면 이러한 함수가 애플리케이션의 기본 컨테이너에서 추상화되고 동일한 Pod에서 별도의 컨테이너로 제공되는 공용 프로세스 외부 프록시로 구현됩니다.

워크로드를 배포하기 전에 사이드카 프록시 삽입을 구성하여 Anthos Service Mesh가 트래픽을 모니터링하고 보호할 수 있도록 해야 합니다.

Anthos Service Mesh를 설치하기 전에 클러스터에서 실행 중이었던 모든 워크로드는 현재 Anthos Service Mesh 버전을 포함하도록 사이드카 프록시를 삽입하거나 업데이트해야 합니다. 새 워크로드를 배포하기 전에 사이드카 프록시 삽입을 구성하여 Anthos Service Mesh가 트래픽을 모니터링하고 보호할 수 있도록 해야 합니다.

명령어 하나로 자동 사이드카 삽입을 사용 설정할 수 있습니다. 예를 들면 다음과 같습니다.

kubectl label namespace NAMESPACE istio-injection=enabled --overwrite

여기서 NAMESPACE는 네임스페이스를 명시적으로 만들지 않은 경우 애플리케이션 서비스의 네임스페이스 이름 또는 default입니다.

자세한 내용은 사이드카 프록시 삽입을 참조하세요.

Anthos Service Mesh 대시보드 보기

이 섹션은 asm-gcp 구성 프로필로 Anthos Service Mesh를 설치한 경우에만 적용됩니다. asm-gcp-multiproject 프로필을 사용하여 Anthos Service Mesh를 설치한 경우 Cloud Console의 Anthos Service Mesh 대시보드에서 원격 분석 데이터를 사용할 수 없습니다.

사이드카 프록시가 삽입된 클러스터에 워크로드가 배포되면 Cloud Console의 Anthos Service Mesh 페이지에서 Anthos Service Mesh가 제공하는 모든 관측 가능성 기능을 볼 수 있습니다. 워크로드를 배포한 후 Cloud Console에 원격 분석 데이터가 표시되는 데 1~2분 정도 걸립니다.

Cloud Console에서 Anthos Service Mesh에 대한 액세스는 ID 및 액세스 관리(IAM)로 제어됩니다. Anthos Service Mesh 페이지에 액세스하려면 프로젝트 소유자가 사용자에게 프로젝트 편집자 또는 뷰어 역할이나 Cloud Console에서 Anthos Service Mesh 액세스 제어에 설명된 더 제한적인 역할을 부여해야 합니다.

  1. Google Cloud Console에서 Anthos Service Mesh로 이동합니다.

    Anthos Service Mesh로 이동

  2. 메뉴 바의 드롭다운 목록에서 Cloud 프로젝트를 선택합니다.

  3. 서비스 메시가 2개 이상 있으면 Service Mesh 드롭다운 목록에서 해당 메시를 선택합니다.

자세한 내용은 Cloud Console에서 Anthos Service Mesh 탐색을 참조하세요.

Anthos Service Mesh 페이지 외에도 서비스와 관련된 측정항목(예: 특정 서비스에서 수신한 요청 수)이 Cloud Monitoring으로 전송되어 측정항목 탐색기에 표시됩니다.

측정항목을 보려면 다음 안내를 따르세요.

  1. Google Cloud Console에서 Monitoring 페이지로 이동합니다.

    Monitoring으로 이동

  2. 리소스 > 측정항목 탐색기를 선택합니다.

측정항목의 전체 목록은 Cloud Monitoring 문서의 Istio 측정항목을 참조하세요.

클러스터 등록

Cloud Console에서 통합 사용자 인터페이스에 액세스하려면 프로젝트의 Environ에 클러스터를 등록해야 합니다. Environ에서는 Google Cloud 외부의 클러스터를 포함하여 클러스터와 워크로드를 통합된 방식으로 보고 관리할 수 있습니다.

클러스터 등록에 대한 자세한 내용은 Environ에 클러스터 등록을 참조하세요.

다음 단계