Funciones compatibles con Managed Cloud Service Mesh

En esta página, se describen las funciones y limitaciones compatibles con Cloud Service Mesh administrado. Si deseas ver la lista de las funciones compatibles de Cloud Service Mesh para Cloud Service Mesh con un plano de control en el clúster, consulta Plano de control en el clúster.

Limitaciones

Se aplica la siguiente limitación:

  • Los clústeres de GKE deben estar en una de las regiones admitidas.
  • La versión de GKE debe ser una versión compatible.
  • Solo se admiten las plataformas que se mencionan en Entornos.
  • No se admite el cambio de canales de versiones.
  • La malla de servicios de Cloud administrada solo es compatible con el dominio DNS predeterminado cluster.local. Sin embargo, puedes usar dominios de clúster personalizados en GKE.
  • No se admiten las migraciones de Cloud Service Mesh administrado con asmcli a Cloud Service Mesh con la API de flota. Del mismo modo, no se admite el aprovisionamiento de Cloud Service Mesh administrado con la API de flota de --management manual a --management automatic.
  • Las migraciones y actualizaciones solo son compatibles con las versiones 1.9 o posteriores de Cloud Service Mesh en el clúster instaladas con la CA de Mesh. Las instalaciones con la CA de Istio (antes conocida como Citadel) primero se deben migrar a la CA de Mesh.
  • El escalamiento se limita a 1,000 servicios y 5,000 cargas de trabajo por clúster.
  • Solo se admite la opción de implementación de varias instancias para varios clústeres; no se admite la opción de implementación principal remota para varios clústeres.
  • istioctl ps no es compatible. En su lugar, puedes usar istioctl x ps --xds-via-agents para enumerar todas las cargas de trabajo. Además, puedes usar istioctl pc con el nombre del Pod y el espacio de nombres para obtener información detallada del Pod.
  • API de Istio que no son compatibles:

    • Filtros de Envoy

    • API IstioOperator

  • Puedes usar el plano de control administrado sin una suscripción a GKE Enterprise, pero ciertos elementos y funciones de la IU en la consola de Google Cloud solo están disponibles para suscriptores de GKE Enterprise. Si deseas obtener información sobre lo que está disponible para suscriptores y no suscriptores, consulta las diferencias de IU de GKE Enterprise y Cloud Service Mesh.

  • Durante el proceso de aprovisionamiento de un plano de control administrado, las CRD de Istio correspondientes al canal seleccionado se instalan en el clúster especificado. Si hay CRD de Istio existentes en el clúster, se reemplazarán.

  • La malla de servicios de Cloud administrada solo es compatible con el dominio DNS predeterminado .cluster.local.

  • A partir del 14 de noviembre de 2023, las nuevas instalaciones de Cloud Service Mesh administrado en el canal de versiones rápido recuperan los JWKS solo con Envoys. Esto equivale a la opción PILOT_JWT_ENABLE_REMOTE_JWKS=envoy de Istio. En comparación con las instalaciones en los canales de versiones normal y estable, o las instalaciones en el canal de versiones rápido antes del 14 de noviembre de 2023, es posible que necesites configuraciones adicionales ServiceEntry y DestinationRule. Para ver un ejemplo, consulta requestauthn-with-se.yaml.tmpl.

Diferencias de canal

Existen diferencias en las funciones compatibles entre los canales de versiones.

  • : Indica que la función está disponible y habilitada de forma predeterminada.
  • *: Indica que la función es compatible con la plataforma y se puede habilitar, como se describe en Habilita funciones opcionales o la guía de función vinculada en la tabla de funciones.
  • : Indica que la función no está disponible o no se admite.

Las funciones predeterminadas y opcionales tienen una compatibilidad total con la asistencia de Google Cloud. Las funciones que no aparecen en las tablas de manera explícita reciben la mejor asistencia posible.

Funciones compatibles con el plano de control administrado

Instala, actualiza y revierte

Atributo Estable Normal Rápido
Instalación en clústeres de GKE mediante la API de la función de flota
Actualizaciones de las versiones de ASM 1.9 que usan CA de Mesh
Actualizaciones directas (de nivel omisión) de versiones de Cloud Service Mesh anteriores a la 1.9 (consulta las notas para conocer las actualizaciones indirectas)
Actualizaciones directas (nivel de omisión) de Istio OSS (consulta las notas para las actualizaciones indirectas)
Actualizaciones directas (nivel de omisión) del complemento Istio-on-GKE (consulta las notas para las actualizaciones indirectas)
Habilita funciones opcionales

Entornos

Función Estable Normal Rápido
GKE 1.25-1.27 en una de las regiones compatibles
Clústeres de GKE 1.25-1.27 con Autopilot
Entornos fuera de Google Cloud (GKE Enterprise local, GKE Enterprise en otras nubes públicas, Amazon EKS, Microsoft AKS o algún otro clúster de Kubernetes)

Escalabilidad

Función Estable Normal Rápido
1,000 servicios y 5,000 cargas de trabajo por clúster

Entorno de plataforma

Atributo Estable Normal Rápido
Una sola red
Varias redes
Un solo proyecto
Varios proyectos con VPC compartida

Modelo de implementación

Atributo Estable Normal Rápido
Principales múltiples
Control principal

Notas sobre la terminología

  • Una configuración de varias instancias significa que la configuración se debe replicar en todos los clústeres.

  • Una configuración principal remota significa que un clúster único contiene la configuración y que se considera la fuente de información.

  • Cloud Service Mesh usa una definición simplificada de red basada en la conectividad general. Las instancias de carga de trabajo están en la misma red si pueden comunicarse de forma directa, sin una puerta de enlace.

Seguridad

Controles del servicio de VPC

Atributo Estable Normal Elasticidad
Vista previa del Control del servicio de VPC (VPC-SC)
DG de Control del servicio de VPC (VPC-SC)

Mecanismos de distribución y rotación de certificados

Atributo Estable Normal Rápido
Administración de certificados de cargas de trabajo
Administración de certificados externos en puertas de enlace de entrada y salida.

Compatibilidad con autoridad certificada (CA)

Atributo Estable Normal Rápido
Autoridad certificadora de Cloud Service Mesh
Certificate Authority Service
CA de Istio
Integración con CA personalizadas

Funciones de seguridad de Anthos Service Mesh

Además de ser compatible con las funciones de seguridad de Istio, Cloud Service Mesh proporciona aún más capacidades para ayudarte a proteger tus aplicaciones.

Atributo Estable Normal Elasticidad
Integración de IAP
Autenticación del usuario final
Modo de ejecución de prueba
Registro de denegación
Políticas de auditoría

Política de autorización

Atributo Estable Normal Rápido
Política de autorización de v1beta1

Política de autenticación

Atributo Estable Normal Rápido
Auto-mTLS
Modo PERMISSIVE de mTLS
Modo STRICT de mTLS * * *

Autenticación de solicitudes

Atributo Estable Normal Elasticidad
Autenticación de JWT (Nota 1)

Notas:

  1. JWT de terceros está habilitado de forma predeterminada.

Imágenes base

Atributo Estable Normal Elasticidad
Imagen de proxy distroless

Telemetría

Métricas

Atributo Estable Normal Rápido
Cloud Monitoring (métricas en el proxy de HTTP)
Cloud Monitoring (métricas en el proxy de TCP)
Exportación de métricas de Prometheus a Grafana (solo métricas de Envoy) * * *
Exportación de métricas de Prometheus a Kiali
Google Cloud Managed Service para Prometheus, sin el panel de Cloud Service Mesh * * *
API de Istio Telemetry
Adaptadores y backends personalizados, dentro o fuera del proceso
Telemetría arbitraria y backends de registro

Registro de solicitudes de proxy

Atributo Estable Normal Rápido
Registros de tráfico
Registros de acceso * * *

Trace

Atributo Estable Normal Rápido
Cloud Trace * * *
Seguimiento de Jaeger (permite el uso de Jaeger administrado por el cliente) Compatible Compatible Compatible
Seguimiento de Zipkin (permite el uso de Zipkin administrado por el cliente) Compatible Compatible Compatible

Herramientas de redes

Mecanismo de intercepción y direccionamiento de tráfico

Atributo Estable Normal Rápido
Uso tradicional de iptables mediante contenedores init con CAP_NET_ADMIN
Interfaz de red de contenedor (CNI) de Istio
Sidecar de caja blanca

Compatibilidad con protocolos

Atributo Estable Normal Rápido
IPv4
HTTP/1.1
HTTP/2
Transmisiones de bytes de TCP (Nota 1)
gRPC
IPv6

Notas:

  1. Aunque TCP es un protocolo compatible para las herramientas de redes y se recopilan métricas de TCP, no se informan. Las métricas solo se muestran para los servicios HTTP en la consola de Google Cloud.
  2. No se admiten los servicios configurados con funciones de la capa 7 para los siguientes protocolos: WebSocket, MongoDB, Redis, Kafka, Cassandra, RabbitMQ y Cloud SQL. Es posible que puedas hacer que el protocolo funcione mediante la compatibilidad con la transmisión de bytes de TCP. Si la transmisión de bytes de TCP no es compatible con el protocolo (por ejemplo, Kafka envía una dirección de redireccionamiento en una respuesta específica del protocolo y este redireccionamiento no es compatible con la lógica de enrutamiento de Cloud Service Mesh), el protocolo no es compatible.

Implementaciones de Envoy

Atributo Estable Normal Rápido
Sidecars
Puerta de enlace de entrada
Salida directa desde sidecars
Salida mediante puertas de enlace de salida * * *

Compatibilidad con CRD

Atributo Estable Normal Rápido
Recurso de sidecar
Recurso de entrada del servicio
Porcentajes, inserción de errores, coincidencias de rutas de acceso, redireccionamientos, reintentos, reescrituras, tiempo de espera, reintentos, duplicaciones, manipulación de encabezados y reglas de enrutamiento de CORS
Filtros personalizados de Envoy
Operador de Istio

Balanceador de cargas para la puerta de enlace de entrada de Istio

Atributo Estable Normal Rápido
Balanceador de cargas externo de terceros
Balanceador de cargas interno de Google Cloud * * *

Puerta de enlace de la nube de la malla de servicios

Atributo Estable Normal Rápido
Puerta de enlace de la nube de la malla de servicios

Políticas de balanceo de cargas

Atributo Estable Normal Elasticidad
Round robin
Conexiones mínimas
Aleatorio
Transferencia
Hash coherente
Localidad

Regiones

Los clústeres de GKE deben estar en una de las siguientes regiones o en cualquier zona de las siguientes regiones.

Región Ubicación
asia-east1 Taiwán
asia-east2 Hong Kong
asia-northeast1 Tokio, Japón
asia-northeast2 Osaka, Japón
asia-northeast3 Corea del Sur
asia-south1 Bombay, India
asia-south2 Delhi, India
asia-southeast1 Singapur
asia-southeast2 Yakarta
australia-southeast1 Sídney, Australia
australia-southeast2 Melbourne, Australia
europe-central2 Polonia
europe-north1 Finlandia
europe-southwest1 España
europe-west1 Bélgica
europe-west2 Inglaterra
europe-west3 Fráncfort, Alemania
europe-west4 Países Bajos
europe-west6 Suiza
europe-west8 Milán, Italia
europe-west9 Francia
europe-west10 Berlín, Alemania
europe-west12 Turín, Italia
me-central1 Doha
me-central2 Dammam, Arabia Saudita
me-west1 Tel Aviv
northamerica-northeast1 Montreal, Canadá
northamerica-northeast2 Toronto, Canadá
southamerica-east1 Brasil
southamerica-west1 Chile
us-central1 Iowa
us-east1 Carolina del Sur
us-east4 Virginia del Norte
us-east5 Ohio
us-south1 Dallas
us-west1 Oregón
us-west2 Los Ángeles
us-west3 Salt Lake City
us-west4 Las Vegas

Interfaz de usuario

Atributo Estable Normal Rápido
Paneles de la malla de servicios de Cloud en la consola de Google Cloud
Cloud Monitoring
Cloud Logging

Herramientas

Atributo Estable Normal Rápido
istioctl es compatible con Cloud Service Mesh 1.9.x.
istioctl ps
istioctl x ps (con la marca --xds-via-agents)