预配代管式 Anthos Service Mesh

代管式 Anthos Service Mesh 是由 Google 代管的服务网格，您只需启用它即可。Google 会以向后兼容的方式代您处理可靠性、升级、扩缩和安全性问题。

本页面介绍了如何使用舰队功能 API 来设置代管式 Anthos Service Mesh。

使用 Fleet API 启用代管式 Anthos Service Mesh 时：

• Google 会应用推荐的控制平面配置
• Google 会启用自动数据平面代管
• 系统会根据您的 Google Kubernetes Engine (GKE) 集群的发布渠道在相应的 Anthos Service Mesh 发布渠道中注册您的集群，并使控制平面和数据平面与最新发布保持同步。
• 虽然 Google 默认会在整个服务网格中实现端点发现和跨集群负载均衡，但您必须创建相应的防火墙规则。

如有需要，您可以采用下面的初始配置路径：

• 需要使用 gcloud 通过 Google Cloud API 和 IAM 配置代管式 Anthos Service Mesh。
• 需要使用与其他舰队功能相同的 API 配置 Anthos Service Mesh。
• 需要为每个集群自动获取 Anthos Service Mesh 的推荐配置。

注意：我们建议使用舰队功能的 API 自动配置代管式 Anthos Service Mesh，不过您也可以使用 asmcli 工具配置代管式 Anthos Service Mesh。您必须通过该手动配置使用专用 CA，或者选择与您的 Google Kubernetes Engine (GKE) 渠道不同的 Anthos Service Mesh 渠道。

前提条件

首先，本指南假定您已完成以下操作：

• Cloud 项目
• Cloud Billing 账号
• 获取预配代管式 Anthos Service Mesh 所需的权限
• 已在您的集群上启用 Workload Identity。

使用要求

• 一个或多个在受支持的 GKE 版本中具有受支持区域的集群。
• 确保集群有足够的容量来容纳代管式 Anthos Service Mesh 在集群中安装的所需组件。
  • kube-system 命名空间中的 mdp-controller 部署请求 cpu：50m，内存：128Mi。
  • kube-system 命名空间中的 istio-cni-node 守护进程集在每个节点上请求 cpu：100m，内存：100Mi。
• 确保从中预配代管式 Anthos Service Mesh 的客户端机器与 API 服务器之间有网络连接。
• 集群必须注册到舰队。此操作包含在说明中，也可以在预配之前单独完成。
• 您的项目必须启用服务网格的舰队功能。此操作包含在说明中，也可以单独完成。

• 仅 GKE 1.21.3 及更高版本支持 GKE Autopilot。

• 预配代管式 Anthos Service Mesh 时，默认安装 Istio CNI。

• 代管式 Anthos Service Mesh 可以在单项目单网络或多项目单网络环境中使用多个 GKE 集群。

  • 如果您要加入的集群不在同一个项目中，则它们必须向同一舰队宿主项目注册，并且这些集群必须位于同一网络的共享 VPC配置中。
  • 对于单项目多集群环境，舰队项目可以与集群项目相同。如需详细了解舰队，请参阅舰队概览。
  • 对于多项目环境，我们建议您将舰队托管在与集群项目不同的项目中。如果您的组织政策和现有配置允许，我们建议您将共享 VPC 项目用作舰队宿主项目。如需了解详情，请参阅通过共享 VPC 设置集群。
  • 如果您的组织使用 VPC Service Controls，并且要在 GKE 集群上预配代管式 Anthos Service Mesh，则还必须按照 VPC Service Controls for Anthos Service Mesh 中的步骤操作。

限制

注意：请注意以下特定于舰队的限制：一个网格的所有 Anthos Service Mesh 集群必须始终注册到同一舰队，才能使用 Anthos Service Mesh。Anthos Service Mesh 集群的项目中的其他集群不得注册到其他集群。

我们建议您查看代管式 Anthos Service Mesh 支持的功能和限制列表。请特别注意以下几点：

• 不支持 IstioOperator API，因为它的主要目的是控制集群组件。

  注意：您仍然可以在不使用 IstioOperator API 的情况下启用可选功能，请参阅在代管式 Anthos Service Mesh 上启用可选功能。 您还可以使用 asmcli 附带的迁移工具自动转换其他 IstioOperator 可选功能，使其与代管式控制平面兼容。如需了解详情，请参阅从 IstioOperator 迁移。

• 如果使用 Fleet API 启用代管式 Anthos Service Mesh，系统会使用 Mesh CA。如果您的服务网格部署涉及受监管的工作负载或需要 Certificate Authority Service (CA Service)，请按照使用 asmcli 预配代管式 Anthos Service Mesh 进行操作。

• 不支持从具有 asmcli 的代管式 Anthos Service Mesh 迁移到具有 Fleet API 的 Anthos Service Mesh。同样，不支持将具有 Fleet API 的代管式 Anthos Service Mesh 从 --management manual 配置为 --management automatic。

• 对于 GKE Autopilot 集群，只有 GKE 1.23 或更高版本支持跨项目设置。

• 对于 GKE Autopilot 集群，为了适应 GKE Autopilot 资源限制，默认代理资源请求和限制设置为 500m CPU 和 512 Mb 内存。您可以使用自定义注入替换默认值。

• 代管式 Anthos Service Mesh 可用的实际功能取决于发布版本。如需了解详情，请参阅代管式 Anthos Service Mesh 支持的功能和限制的完整列表。

• 在代管式控制平面的预配过程中，与所选渠道对应的 Istio CRD 将预配在指定集群中。如果集群中已有 Istio CRD，则它们将会被覆盖。

• Istio CNI 与 GKE Sandbox 不兼容。因此，Autopilot 上的代管式 Anthos Service Mesh 无法与 GKE Sandbox 搭配使用，因为需要代管式 Istio CNI。

准备工作

1. 登录您的 Google Cloud 账号。如果您是 Google Cloud 新手，请创建一个账号来评估我们的产品在实际场景中的表现。新客户还可获享 $300 赠金，用于运行、测试和部署工作负载。

2. 在 Google Cloud Console 中的项目选择器页面上，选择或创建一个 Google Cloud 项目。

   转到“项目选择器”

3. 确保您的 Google Cloud 项目已启用结算功能。

4. 在 Google Cloud Console 中的项目选择器页面上，选择或创建一个 Google Cloud 项目。

   转到“项目选择器”

5. 确保您的 Google Cloud 项目已启用结算功能。

6. 配置 gcloud（即使您使用的是 Cloud Shell）。
1. 使用 Google Cloud CLI 进行身份验证，其中 FLEET_PROJECT_ID 是您的舰队宿主项目的 ID。通常，系统会默认创建 FLEET_PROJECT_ID，其名称与项目相同。

          gcloud auth login --project FLEET_PROJECT_ID
   

2. 更新组件：

          gcloud components update
   

7. 在舰队宿主项目中启用所需的 API：

     gcloud services enable mesh.googleapis.com \
         --project=FLEET_PROJECT_ID
   

启用 mesh.googleapis.com 会启用以下 API：

注意：某些必需的 API 依赖于其他 API。

API	目的	是否可以停用
meshconfig.googleapis.com	Anthos Service Mesh 使用 Mesh Configuration API 将配置数据从网格中继到 Google Cloud。此外，启用 Mesh Configuration API 后，您可以访问 Google Cloud 控制台中的 Anthos Service Mesh 页面以及使用 Anthos Service Mesh 证书授权机构 (Mesh CA)。	否
meshca.googleapis.com	与代管式 Anthos Service Mesh 使用的 Anthos Service Mesh 证书授权机构相关。	否
container.googleapis.com	必须启用此 API 才能创建 Google Kubernetes Engine (GKE) 集群。	否
gkehub.googleapis.com	必须启用此 API 才能以舰队形式管理网格。	否
monitoring.googleapis.com	必须启用此 API 才能捕获网格工作负载的遥测数据。	否
stackdriver.googleapis.com	必须启用此 API 才能使用服务界面。	否
opsconfigmonitoring.googleapis.com	必须启用此 API 才能将服务界面用于 Google Cloud 外部的集群。	否
connectgateway.googleapis.com	此 API 是必需的，以便代管式 Anthos Service Mesh 控制平面可以访问网格工作负载。	是*
trafficdirector.googleapis.com	实现高可用性且可扩缩的代管式控制平面。	是*
networkservices.googleapis.com	实现高可用性且可扩缩的代管式控制平面。	是*
networksecurity.googleapis.com	实现高可用性且可扩缩的代管式控制平面。	是*

警告：停用 connectgateway.googleapis.com、trafficdirector.googleapis.com、networkservices.googleapis.com 和/或 networksecurity.googleapis.com 会导致代管式 Anthos Service Mesh 控制平面停止运行。如果舰队未在任何集群上使用代管式 Anthos Service Mesh，则可以停用这些 API。

配置代管式 Anthos Service Mesh

使用 Fleet API 预配代管式 Anthos Service Mesh 所需的步骤取决于您是偏向于为新舰队集群默认启用还是按集群启用。

为舰队配置

如果您已启用 Google Kubernetes Engine (GKE) Enterprise 版本，则可以启用代管式 Anthos Service Mesh 作为舰队的默认配置。这意味着在集群创建期间注册的每个新 GKE on Google Cloud 集群都将在该集群上启用代管式 Anthos Service Mesh。如需详细了解舰队默认配置，请参阅管理舰队级功能。

如需为代管式 Anthos Service Mesh 启用舰队级默认值，请完成以下步骤：

控制台

1. 在 Google Cloud 控制台中，前往 Feature Manager 页面。

   前往 Feature Manager

2. 在服务网格窗格中，点击配置。

3. 查看您在 Google Cloud 控制台中创建的所有新集群会继承的设置并注册到舰队。

   注意 ：这些设置是 GKE 设置，是使用 Anthos Service Mesh 的前提条件。

4. 如需应用这些设置，请点击配置。

5. 在确认对话框中，点击确认。

6. 可选：将现有集群同步到默认设置：

   1. 在舰队中的集群列表中，选择要同步的集群。您只能选择已安装 Anthos Service Mesh 的集群。
   2. 点击同步到舰队设置，然后在出现的确认对话框中点击确认。此操作可能需要几分钟才能完成。

gcloud

如需使用 Google Cloud CLI 配置舰队级默认值，您必须建立以下设置：

• 舰队级设置

  • 创建一个仅包含单行 management: automatic 的 mesh.yaml 文件：

    echo "management: automatic" > mesh.yaml
    

  • 为舰队启用 Anthos Service Mesh：

    gcloud container fleet mesh enable --project FLEET_PROJECT_ID \
        --fleet-default-member-config mesh.yaml
    

    如果您看到以下错误，则需要启用 GKE Enterprise。

    ERROR: (gcloud.container.fleet.mesh.enable) FAILED_PRECONDITION: The
    [anthos.googleapis.com] service is required for this operation and is not
    enabled for the project [PROJECT_NUMBER]. Please use the Google Developers
    Console to enable it.: failed precondition
    

• 集群级设置

  • 准备好创建用于 Anthos Service Mesh 的集群时，只需一个步骤即可使用 Google Cloud CLI 创建和注册集群，从而使用默认配置。例如：

    gcloud container clusters create-auto CLUSTER_NAME \
        --fleet-project FLEET_PROJECT_ID \
        --location=LOCATION
    

    您可以通过运行以下命令获取舰队项目的项目编号：

    gcloud projects list --filter="FLEET_PROJECT_ID" --format="value(PROJECT_ID)"
    

    --location 标志是集群的计算可用区或区域（例如 us-central1-a 或 us-central1）。

  • 如果集群的项目与舰队宿主项目不同，则您必须允许舰队项目中的 Anthos Service Mesh 服务账号访问集群项目，并在集群项目上启用所需的 API。您只需为每个集群项目执行一次此操作。

    向舰队项目中的服务账号授予访问集群项目的权限：

    gcloud projects add-iam-policy-binding "CLUSTER_PROJECT_ID"  \
        --member "serviceAccount:[e-mail]" \
        --role roles/anthosservicemesh.serviceAgent
    

    在集群的项目上启用 Mesh API：

    gcloud services enable mesh.googleapis.com \
      --project=CLUSTER_PROJECT_ID
    

    将 CLUSTER_PROJECT_ID 替换为您的集群项目的唯一标识符。如果您在舰队所在的项目中创建了集群，则 CLUSTER_PROJECT_ID 与 FLEET_PROJECT_ID 相同。

接下来，验证已预配控制平面。

按集群配置

请按照以下步骤分别为网格中的每个集群配置代管式 Anthos Service Mesh。

启用 Anthos Service Mesh 舰队功能

在舰队项目中启用 Anthos Service Mesh。请注意，如果您计划注册多个集群，则启用 Anthos Service Mesh 是在舰队级层进行的，因此您只需运行一次此命令。

gcloud container fleet mesh enable --project FLEET_PROJECT_ID

将集群注册到舰队

1. 使用舰队 Workload Identity 注册 GKE 集群--location 标志是集群的计算可用区或区域（例如 us-central1-a 或 us-central1）。

   gcloud container clusters update CLUSTER_NAME \
     --location CLUSTER_LOCATION \
     --fleet-project FLEET_PROJECT_ID
   

2. 验证是否已注册集群：

   gcloud container fleet memberships list --project FLEET_PROJECT_ID
   

   输出示例：

   NAME                 EXTERNAL_ID                           LOCATION
   cluster-1            1d8e255d-2b55-4df9-8793-0435461a2cbc  us-central1
   

   记下 MEMBERSHIP_NAME，因为您在启用自动管理时需要用到。

3. 如果集群的项目与舰队宿主项目不同，则您必须允许舰队项目中的 Anthos Service Mesh 服务账号访问集群项目，并在集群项目上启用所需的 API。您只需为每个集群项目执行一次此操作。

   如果您之前使用 asmcli 为此集群项目和舰队项目的组合配置了代管式 Anthos Service Mesh，则这些更改已应用生效，您无需再运行以下命令。

   向舰队项目中的服务账号授予访问集群项目的权限：

   gcloud projects add-iam-policy-binding "CLUSTER_PROJECT_ID" \
     --member "serviceAccount:[e-mail]" \
     --role roles/anthosservicemesh.serviceAgent
   

   在集群的项目上启用 Mesh API：

   gcloud services enable mesh.googleapis.com \
     --project=CLUSTER_PROJECT_ID
   

启用自动代管

运行以下命令以启用自动代管：

注意：您可以将以英文逗号分隔的成员名称列表作为 --memberships 参数传递，将此更改一次性应用于多个集群。

  gcloud container fleet mesh update \
     --management automatic \
     --memberships MEMBERSHIP_NAME \
     --project FLEET_PROJECT_ID \
     --location MEMBERSHIP_LOCATION

其中：

• MEMBERSHIP_NAME 是在您验证集群已注册到舰队时列出的成员资格名称。

• MEMBERSHIP_LOCATION 是您的成员资格的位置（区域或 global）。

  如果您最近使用本指南中的命令创建了成员资格，这应该是您的集群区域。如果您有一个可用区级集群，请使用与该集群可用区相对应的区域。例如，如果您在 us-central1-c 中有一个可用区级集群，请使用值 us-central1。

  如果您在 2023 年 5 月之前注册，或者在注册成员资格时指定了 global 位置，则此值可能为 global。您可以使用 gcloud container fleet memberships list --project FLEET_PROJECT_ID 检查您的成员资格的位置。

验证已预配控制平面

几分钟后，验证控制平面状态是否为 ACTIVE：

gcloud container fleet mesh describe --project FLEET_PROJECT_ID

输出类似于以下内容：

...
membershipSpecs:
  projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
    mesh:
      management: MANAGEMENT_AUTOMATIC
membershipStates:
  projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
    servicemesh:
      controlPlaneManagement:
        details:
        - code: REVISION_READY
          details: 'Ready: asm-managed'
        state: ACTIVE
      dataPlaneManagement:
        details:
        - code: OK
          details: Service is running.
        state: ACTIVE
    state:
      code: OK
      description: 'Revision(s) ready for use: asm-managed.'
...

记下 details 字段中的修订版本标签，例如提供的输出中的 asm-managed。如果您要使用修订版本标签，则需要先设置相应标签，然后再部署应用。但如果您使用的是默认注入标签，则无需设置该标签。

配置 kubectl 以指向集群

以下部分涉及：对每个集群运行 kubectl 命令。在继续阅读以下部分之前，请为每个集群运行以下命令，将 kubectl 配置为指向集群。

gcloud container clusters get-credentials CLUSTER_NAME \
      --location CLUSTER_LOCATION \
      --project CLUSTER_PROJECT_ID

请注意，入站流量网关不会自动使用控制平面进行部署。通过分离入站流量网关和控制平面的部署，您可以更轻松地在生产环境中管理网关。如果集群需要入站流量网关或出站流量网关，请参阅部署网关。如需启用其他可选功能，请参阅在代管式 Anthos Service Mesh 上启用可选功能。

代管式数据平面

如果您使用代管式 Anthos Service Mesh，Google 会完全代管代理的升级，除非您在命名空间、工作负载或修订版本级别将其停用。

使用代管式数据平面，通过重启工作负载来重新注入新版代理，边车代理和注入的网关将与代管式控制平面一起自动升级。这通常在代管式控制平面升级后的 1-2 周内完成。

如果停用，代理管理由集群中的 Pod 的自然生命周期驱动，并且必须由用户手动触发以控制更新速率。

代管式数据平面通过逐出运行较低版本的代理的 Pod 来升级代理。在遵循 Pod 中断预算并控制变化率的前提下，逐步逐出这些容器。

注意 ：如果集群定义了 GKE 维护窗口，则 Pod 逐出将在下一个可用的维护窗口开始时开始，并且不会暂停，直到所有代管式 Pod 完成更新（通常为 12 小时）。对于 CVE 相关的发布，系统不会观察到维护期。

代管式数据平面不会代管以下各项：

• 未注入的 Pod
• 手动注入的 Pod
• 作业
• StatefulSets
• DaemonSets

停用代管式数据平面（可选）

如果要在新集群上预配代管式 Anthos Service Mesh，则可以完全停用代管式数据平面，或者为个别命名空间或 Pod 停用代管式数据平面。对于默认或手动停用代管式数据平面的现有集群，将继续停用该功能。

如需在集群级层停用代管式数据平面并还原为自行管理边车代理，请更改注解：

kubectl annotate --overwrite controlplanerevision -n istio-system \
REVISION_LABEL \
  mesh.cloud.google.com/proxy='{"managed":"false"}'

如需停用命名空间的代管式数据平面，请执行以下操作：

kubectl annotate --overwrite namespace NAMESPACE \
  mesh.cloud.google.com/proxy='{"managed":"false"}'

如需为 Pod 停用代管式数据平面，请执行以下操作：

kubectl annotate --overwrite pod POD_NAME \
  mesh.cloud.google.com/proxy='{"managed":"false"}'

启用维护通知

您可以请求在安排维护前一周收到关于即将进行的代管式数据平面维护的通知。默认情况下，系统不会发送维护通知。您还必须配置 GKE 维护窗口，然后才能接收通知。启用后，系统会至少在升级操作前两天发送通知。

如需选择接收代管式数据平面维护通知，请执行以下操作：

1. 进入通信页面。

   转到“通信”页面

2. 在 Anthos Service Mesh 升级行中的电子邮件列下，选择单选按钮以开启维护通知。

每个希望接收通知的用户必须分别选择接收通知。如果要为这些通知设置电子邮件过滤条件，则主题为：

Upcoming upgrade for your Anthos Service Mesh cluster "CLUSTER_LOCATION/CLUSTER_NAME".

以下示例展示了典型的代管式数据平面维护通知：

主题行：您的 ASM 集群“<location/cluster-name>”即将升级

尊敬的 Anthos Service Mesh 用户：

您的集群 ${instance_id} (https://console.cloud.google.com/kubernetes/clusters/details/${instance_id}/details?project=${project_id}) 中的 Anthos Service Mesh 组件计划将于 ${scheduled_date_human_readable} ${scheduled_time_human_readable} 进行升级。

如需了解新的更新，请查看版本说明 (https://cloud.google.com/service-mesh/docs/release-notes)。

如果此维护被取消，系统会再向您发送一封电子邮件。

祝好

Anthos Service Mesh 团队敬上

(c) 2022 Google LLC 1600 Amphitheater Parkway, Mountain View, CA 94043 我们向您发送这封重要的服务通知，目的是让您了解关于 Google Cloud Platform 或您账号的重大变化。您可以修改您的用户偏好设置以停止接收维护窗口通知：https://console.cloud.google.com/user-preferences/communication?project=${project_id}

配置端点发现（仅适用于多集群安装）

注意 ：如果您的网格只有一个集群，请跳过这些多集群步骤，继续执行部署应用或迁移应用。

在继续操作之前，您应该已经按照上述步骤中的说明在每个集群上配置代管式 Anthos Service Mesh。不需要指明集群是主要集群，这是默认行为。

此外，请确保您已下载 asmcli（仅当您要使用示例应用验证配置时）并设置项目和集群变量。

注意：如需详细了解端点发现，请参阅具有多个控制平面的端点发现。

公共集群

在公共集群之间配置端点发现

如果使用 Fleet API 启用代管式 Anthos Service Mesh，系统会为此集群启用端点发现。但是，您必须打开防火墙端口。如需为一个或多个集群停用端点发现，请参阅使用声明式 API 实现公共集群之间的端点发现中的说明停用该功能。

专用集群

在专用集群之间配置端点发现

如果使用 Fleet API 启用代管式 Anthos Service Mesh，系统会为此集群启用端点发现。但是，您必须打开防火墙端口。如需为一个或多个集群停用端点发现，请参阅使用声明式 API 实现专用集群之间的端点发现中的说明停用该功能。

如需查看包含两个集群的示例应用，请参阅 HelloWorld 服务示例。

注意：HelloWorld 服务示例使用 Docker Hub。默认情况下，在专用集群中，容器运行时可以从 Artifact Registry 中拉取容器映像。容器运行时无法从互联网上的任何其他容器映像注册表中拉取映像。您可以下载映像并推送到 Artifact Registry，或使用 Cloud NAT 为某些专用节点提供出站互联网访问权限。如需了解详情，请参阅迁移外部容器和创建专用集群。

部署应用

如果舰队中有多个使用代管式 Anthos Service Mesh 的集群，请确保在继续并部署应用之前按预期配置端点发现或防火墙端口。

如需部署应用，请使用您在安装期间配置的渠道对应的标签；如果您使用的是默认注入标签，请使用 istio-injection=enabled。

默认注入标签

kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev- --overwrite

注意：您可以忽略任何 label "istio.io/rev" not found 错误。

修订版本标签

在部署应用之前，请从相应命名空间中移除任何以前的 istio-injection 标签，然后改为设置 istio.io/rev=REVISION_LABEL 标签。

这是您在验证控制平面时识别的修订版本标签。如需将其更改为特定的修订版本标签，请点击 REVISION_LABEL 并将其替换为相应标签：asm-managed-rapid（表示快速版）、asm-managed（表示标准版）或 asm-managed-stable（表示稳定版）。

修订版本标签对应于发布渠道：

修订版本标签	渠道
asm-managed	普通
asm-managed-rapid	快速
asm-managed-stable	稳定版

kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION_LABEL --overwrite

注意：您可以忽略任何 label "istio-injection" not found 错误。

至此，您已成功配置代管式 Anthos Service Mesh。如果添加了标签的命名空间中有任何现有工作负载，则需进行重启以注入代理。

现在，您可以部署应用，或者部署图书信息示例应用。

如果您在多集群设置中部署应用，请在所有集群中复制 Kubernetes 和控制平面配置，除非您计划将特定配置限制为部分集群。应用于特定集群的配置是该集群的真实来源。

自定义注入（可选）

注意：替换和自定义注入设置可能会导致不可预见的配置错误，并会导致 Sidecar 容器问题。

每个 pod 的配置都可用于覆盖各个 pod 上的这些选项。这是通过将 istio-proxy 容器添加到 pod 来实现的。Sidecar 注入会将此处定义的任何配置视为对默认注入模板的覆盖项。

例如，以下配置可自定义各种设置，包括降低 CPU 请求、添加卷装载以及添加 preStop 钩子：

apiVersion: v1
kind: Pod
metadata:
  name: example
spec:
  containers:
  - name: hello
    image: alpine
  - name: istio-proxy
    image: auto
    resources:
      requests:
        cpu: "200m"
        memory: "256Mi"
      limites:
        cpu: "200m"
        memory: "256Mi"
    volumeMounts:
    - mountPath: /etc/certs
      name: certs
    lifecycle:
      preStop:
        exec:
          command: ["sleep", "10"]
  volumes:
  - name: certs
    secret:
      secretName: istio-certs

一般而言，您可以设置 Pod 中的任何字段。但是，请务必注意某些字段：

• Kubernetes 要求在运行注入之前设置 image 字段。虽然您可以将特定映像设置为替换默认映像，但建议将 image 设置为 auto，这会使 Sidecar 注入器自动选择要使用的映像。
• containers 中的某些字段取决于相关设置。例如，CPU 请求必须小于 CPU 限制。如果两个字段都未正确配置，则 pod 可能无法启动。
• Kubernetes 可让您为 PodSpec 中的资源设置 requests 和 limits。GKE Autopilot 仅考虑 requests。如需了解详情，请参阅在 Autopilot 中设置资源限制。

此外，某些字段可通过 pod 上的注释进行配置，但建议您使用上述方法自定义设置。对于某些注释，您必须格外小心：

• 对于 GKE Standard，如果设置了 sidecar.istio.io/proxyCPU，请务必明确设置 sidecar.istio.io/proxyCPULimit。否则，Sidecar 的 CPU 限制将设置为无限制。
• 对于 GKE Standard，如果设置了 sidecar.istio.io/proxyMemory，请务必明确设置 sidecar.istio.io/proxyMemoryLimit。否则，Sidecar 的内存限制将设置为无限制。
• 对于 GKE Autopilot，使用注解配置资源 requests 和 limits 可能会超额预配资源。请使用图片模板方法避免这种情况。请参阅 Autopilot 中的资源修改示例。

例如，请参阅以下资源注解配置：

spec:
  template:
    metadata:
      annotations:
        sidecar.istio.io/proxyCPU: "200m"
        sidecar.istio.io/proxyCPULimit: "200m"
        sidecar.istio.io/proxyMemory: "256Mi"
        sidecar.istio.io/proxyMemoryLimit: "256Mi"

验证控制平面指标

您可以在 Metrics Explorer 中查看控制平面和数据平面的版本。

如需验证您的配置是否正常运行，请执行以下操作：

1. 在 Google Cloud 控制台中，查看控制平面指标：

   转到 Metrics Explorer

2. 选择您的工作区，并使用以下参数添加自定义查询：

   • 资源类型：Kubernetes 容器
   • 指标：代理客户端
   • 过滤条件：container_name="cr-REVISION_LABEL"
   • 分组依据：revision 标签和 proxy_version 标签
   • 聚合器：总和
   • 时间段：1 分钟

   同时将 Anthos Service Mesh 与 Google 管理的控制平面和集群内控制平面一起运行时，您可以根据指标的容器名称来区分指标。例如，代管式指标具有 container_name="cr-asm-managed"，而非代管式指标的值为 container_name="discovery"。如需同时显示这两项的指标，请移除 container_name="cr-asm-managed" 上的过滤条件。

3. 在 Metrics Explorer 中检查以下字段，验证控制平面版本和代理版本：

   • revision 字段指示控制平面版本。
   • proxy_version 字段指示 proxy_version。
   • value 字段指示连接的代理数量。

   如需了解当前渠道到 Anthos Service Mesh 版本的映射，请参阅每个渠道的 Anthos Service Mesh 版本。

将应用迁移到代管式 Anthos Service Mesh

警告：在迁移过程中，与所选渠道对应的 Istio CRD 将安装在指定集群中。如果集群中已有 Istio CRD，则它们将会被覆盖。

如需将应用从集群内 Anthos Service Mesh 迁移到代管式 Anthos Service Mesh，请执行以下步骤：

注意：请确保您已按照本指南前面所有部分预配代管式 Anthos Service Mesh。

1. 替换当前命名空间标签。所需步骤取决于您是要使用默认注入标签（例如 istio-injection enabled）还是修订版本标签。

   默认注入标签

   1. 运行以下命令将默认标记移动到代管式修订版本：

      istioctl tag set default --revision REVISION_LABEL
      

   2. 运行以下命令以使用 istio-injection=enabled 为命名空间添加标签（如果尚未添加）：

      kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev- \
      --overwrite
      

   修订版本标签

   如果您使用的是 istio.io/rev=REVISION_LABEL 标签，请运行以下命令：

   kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION_LABEL \
       --overwrite
   

2. 对命名空间中的部署执行滚动升级：

   kubectl rollout restart deployment -n NAMESPACE
   

3. 测试您的应用，验证工作负载是否正常工作。

4. 如果您在其他命名空间中存在工作负载，请对每个命名空间重复上述步骤。

5. 如果您在多集群设置中部署应用，请在所有集群中复制 Kubernetes 和 Istio 配置，除非有合适的配置限制只限于部分集群使用。应用于特定集群的配置是该集群的真实来源。

6. 按照验证控制平面指标中的步骤操作，验证指标是否符合预期。

如果您确定应用按预期运行，则在将所有命名空间切换到代管式控制平面后，可以移除集群内 istiod，或将其另存为备份 - istiod 会自动缩减使用的资源。如需将其移除，请跳至删除旧的控制平面。

如果遇到问题，您可以使用解决代管式控制平面问题中的信息识别并解决问题，并在必要时回滚到先前版本。

删除旧的控制平面

安装并确认所有命名空间都使用 Google 管理的控制平面后，您可以删除旧的控制平面。

kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod -n istio-system --ignore-not-found=true

如果您使用的是 istioctl kube-inject（而不是自动注入），或者您安装了其他网关，请检查控制平面的指标，并验证连接的端点数量是否为零。

回滚

如果您需要回滚到先前的控制平面版本，请执行以下步骤：

1. 更新要用旧版控制平面注入的工作负载：在以下命令中，修订版本值 asm-191-1 仅用作示例。将示例值替换为前面的控制平面的修订版本标签。

   kubectl label namespace NAMESPACE istio-injection- istio.io/rev=asm-191-1 --overwrite
   

2. 重启 pod 以触发重新注入，以使代理具有之前的版本：

   kubectl rollout restart deployment -n NAMESPACE
   

代管式控制平面会自动扩容到零，在不使用时不使用任何资源。更改 Webhook 和预配将会保留，不会影响集群行为。

网关现已设置为 asm-managed 修订版本。如需回滚，请重新运行 Anthos Service Mesh 安装命令，该命令会重新部署指回到集群内控制平面的网关：

kubectl -n istio-system rollout undo deploy istio-ingressgateway

成功时预期下列输出：

deployment.apps/istio-ingressgateway rolled back

卸载 Anthos Service Mesh

当没有命名空间使用代管式控制平面时，该控制平面会自动扩缩为零。如需了解详细步骤，请参阅卸载 Anthos Service Mesh。

问题排查

如需在使用代管式控制平面时识别和解决问题，请参阅解决代管式控制平面问题。

后续步骤

• 了解如何启用可选的代管式 Anthos Service Mesh 功能，例如：
  • Envoy 访问日志
  • 跟踪
  • Distroless 映像
  • 最终用户身份验证
• 配置传输安全以保护您的网格。