Installa Cloud Service Mesh per i carichi di lavoro Kubernetes fuori da Google Cloud

Questa pagina spiega come installare Cloud Service Mesh non gestito e nel cluster per Carichi di lavoro Kubernetes fuori da Google Cloud:

  • Esegui asmcli per eseguire una nuova installazione di Cloud Service Mesh 1.21.4-asm.5.
  • Facoltativamente, esegui il deployment di un gateway in entrata.
  • Esegui il deployment o riesegui il deployment dei carichi di lavoro per inserire proxy sidecar.

Se devi installare Cloud Service Mesh non gestito e nel cluster con istiod su GKE, vedi Installa Cloud Service Mesh nel cluster su Google Cloud. Tieni presente che, per i carichi di lavoro Kubernetes Google Cloud, il provisioning di un piano di controllo gestito

Per istruzioni su come preparare un'installazione offline di Cloud Service Mesh: vedi Prepara un'installazione offline di Cloud Service Mesh Durante l'esecuzione, dovrai specificare le opzioni --offline e --output_dir asmcli install.

Limitazioni

Nota. Vi sono delle limitazioni:

  • Tutti i cluster Cloud Service Mesh per un mesh devono essere registrati nella stessa rete per utilizzare Cloud Service Mesh. Altri cluster in di un cluster Cloud Service Mesh non deve essere registrato un parco risorse diverso.

  • Lo strumento asmcli deve avere accesso a Google Kubernetes Engine (GKE) endpoint. Puoi configurare l'accesso tramite una "salto" server, ad esempio un VM di Compute Engine all'interno del Virtual Private Cloud (VPC) che fornisce access.

Prima di iniziare

Prima di iniziare, assicurati di:

Ruoli necessari per installare Cloud Service Mesh nel cluster

La tabella seguente descrive i ruoli necessari per l'installazione nel cluster Cloud Service Mesh.

Nome del ruolo ID ruolo Posizione concessione Descrizione
Amministratore GKE Hub roles/gkehub.admin Progetto parco risorse Accesso completo a GKE Hub e alle risorse correlate.
Kubernetes Engine Admin roles/container.admin Progetto cluster. Tieni presente che questo ruolo deve essere concesso sia nel parco risorse progetto di cluster per le associazioni tra progetti. Fornisce l'accesso alla gestione completa dei cluster di container e dei loro oggetti API di Kubernetes.
Amministratore configurazione mesh ruoli/meshconfig.admin Progetto cluster e parco risorse Fornisce le autorizzazioni necessarie per inizializzare i componenti gestiti di Cloud Service Mesh, ad esempio l'autorizzazione di backend e piano di controllo gestito che consente ai carichi di lavoro di comunicare con Stackdriver con autorizzazione individuale (per i piani di controllo gestiti e in-cluster).
Amministratore IAM progetto roles/resourcemanager.projectIamAdmin Progetto cluster Fornisce le autorizzazioni per amministrare i criteri IAM su in modo programmatico a gestire i progetti.
Amministratore account di servizio roles/iam.serviceAccountAdmin Progetto parco risorse Autentica come account di servizio.
Amministratore Service Management roles/servicemanagement.admin Progetto parco risorse Controllo completo delle risorse Google Service Management.
Amministratore Service Usage roles/serviceusage.serviceUsageAdmin Progetto parco risorse Possibilità di abilitare, disabilitare e ispezionare gli stati dei servizi, ispezionare operazioni e il consumo di quota e fatturazione per un consumer progetto.(Nota 1)
Amministratore servizio CA beta roles/privateca.admin Progetto parco risorse Accesso completo a tutte le risorse del servizio CA. (Nota 2)

Note:

  1. Amministratore Service Usage: questo ruolo è necessario come prerequisito per abilitare l'API mesh.googleapis.com quando il provisioning iniziale di Cloud Service Mesh gestito.
  2. CA Service Admin (Amministratore servizio CA: questo ruolo è necessario solo se si stanno integrando con CA Service.

Installa Cloud Service Mesh

Di seguito viene descritto come installare Cloud Service Mesh:

  1. Esegui asmcli install per installare il piano di controllo nel cluster su una singola in un cluster Kubernetes. Consulta le sezioni seguenti per alcuni esempi di riga di comando. Gli esempi contengono sia argomenti obbligatori sia argomenti facoltativi che potresti trovare utile. Ti consigliamo di specificare sempre l'argomento output_dir in modo che che puoi individuare gateway e strumenti di esempio come istioctl. Consulta le barra di navigazione a destra per un elenco di esempi.

  2. Facoltativamente, installa un gateway in entrata. Per impostazione predefinita, asmcli non installa istio-ingressgateway. Ti consigliamo di il deployment e la gestione del piano di controllo e dei gateway separatamente. Se hai bisogno istio-ingressgateway per impostazione predefinita installata con il piano di controllo nel cluster, includi l'argomento --option legacy-default-ingressgateway.

  3. Per completare la configurazione di Cloud Service Mesh, devi abilitare la funzionalità l'iniezione di file collaterali eseguire il deployment o rieseguire il deployment dei carichi di lavoro.

  4. Se installi Cloud Service Mesh su più di un cluster, esegui asmcli install su ogni cluster. Quando esegui asmcli install, assicurati di utilizzare lo stesso FLEET_PROJECT_ID per ogni in un cluster Kubernetes. Dopo aver installato Cloud Service Mesh, consulta le istruzioni per configura una rete mesh multi-cluster da Google Cloud.

  5. Se i cluster si trovano su reti diverse (così come si trovano modalità isola devi passare un nome di rete univoco a asmcli utilizzando Flag --network_id.

Installa le funzionalità predefinite e Mesh CA

Questa sezione mostra come eseguire asmcli per installare Cloud Service Mesh con le funzionalità supportate predefinite per la tua piattaforma e abilita Autorità di certificazione Cloud Service Mesh come autorità di certificazione.

On-premise

Esegui i comandi seguenti su Google Distributed Cloud oppure Google Distributed Cloud per installare il piano di controllo con impostazione e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori nel campo placeholders.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca mesh_ca
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

AWS

Esegui questi comandi su GKE su AWS per installare il piano di controllo con funzionalità predefinite e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori nel campo segnaposto forniti.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca mesh_ca
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

Azure

Esegui i comandi seguenti su GKE su Azure per installare il piano di controllo con funzionalità predefinite e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori negli appositi segnaposto.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca mesh_ca
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

Amazon EKS

Esegui i seguenti comandi su Amazon EKS per installare il piano di controllo predefinite e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori nel campo segnaposto forniti.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --option attached-cluster \
  --network_id default \
  --ca mesh_ca
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --option attached-cluster cambia la firma predefinita e l'utilità è istiod.
    • --network_id Se configuri una rete mesh di più reti, imposta --network_id su un valore univoco per ogni cluster nella rete.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

Microsoft AKS

Esegui questi comandi su Microsoft AKS per installare il piano di controllo predefinite e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori nel campo segnaposto forniti.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --option attached-cluster \
  --network_id default \
  --ca mesh_ca
    • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --option attached-cluster cambia la firma predefinita e l'utilità è istiod.
    • --network_id Se configuri una rete mesh di più reti, imposta --network_id su un valore univoco per ogni cluster nella rete.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

Installa le funzionalità predefinite e il servizio dell'autorità di certificazione (CA)

Questa sezione mostra come eseguire asmcli per installare Cloud Service Mesh con l'impostazione predefinita funzionalità supportate per la tua piattaforma abilitare CA Service come autorità di certificazione.

Oltre all'autorità di certificazione Cloud Service Mesh, puoi configurare Cloud Service Mesh per utilizzare Certificate Authority Service. Questo offre l'opportunità di eseguire l'integrazione con CA Service, consigliato per i seguenti casi d'uso:

  • Se sono necessarie autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
  • Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
  • Se operi in un settore altamente regolamentato e sei soggetto a conformità.
  • Se vuoi collegare la tua CA Cloud Service Mesh a una radice aziendale personalizzata per firmare i certificati dei carichi di lavoro.

Il costo dell'autorità di certificazione Cloud Service Mesh è incluso nella Prezzi di Cloud Service Mesh. La CA Service non è incluso nel prezzo base di Cloud Service Mesh ed è con un addebito separato. Inoltre, CA Service include SLA esplicito, al contrario dell'autorità di certificazione Cloud Service Mesh.

Configura CA Service

  1. Crea il pool di CA nel livello DevOps e nella stessa regione cluster che gestisce per evitare problemi di latenza eccessivi o potenziali tra regioni diverse. Per ulteriori informazioni, vedi Livelli ottimizzati per il carico di lavoro.
  2. Crea la CA avere almeno un'autorità di certificazione attiva nel pool di CA in stesso progetto del cluster GKE. Utilizza CA subordinate per firmare Certificati per i carichi di lavoro di Cloud Service Mesh. Prendi nota del pool di CA corrispondente alla CA subordinata.

  3. Se intendi utilizzare solo certificati di servizio per i carichi di lavoro di Cloud Service Mesh, imposta i seguenti criteri di emissione per il pool di CA:

    policy.yaml

    baselineValues:
  keyUsage:
    baseKeyUsage:
      digitalSignature: true
      keyEncipherment: true
    extendedKeyUsage:
      serverAuth: true
      clientAuth: true
  caOptions:
    isCa: false
identityConstraints:
  allowSubjectPassthrough: false
  allowSubjectAltNamesPassthrough: true
  celExpression:
    expression: subject_alt_names.all(san, san.type == URI && san.value.startsWith("spiffe://PROJECT_ID.svc.id.goog/ns/") )

  4. Per aggiornare il criterio di emissione del pool di CA, utilizza il seguente comando:

    gcloud privateca pools update CA_POOL --location ca_region --issuance-policy policy.yaml

    Per informazioni sull'impostazione di un criterio su un pool, consulta Utilizzo di un criterio di emissione dei certificati.

  5. Se utilizzi un modello di certificato, configuralo ora. Per ulteriori informazioni, Segui la guida di CA Service per i certificati di identità per i carichi di lavoro. Assicurati che il modello di certificato sia creato nella stessa regione del pool di CA. Se sono presenti più regioni per i pool di CA, crea un certificato modello per regione.

Configura Cloud Service Mesh per utilizzare il servizio CA

Esegui i comandi seguenti su Google Distributed Cloud oppure Google Distributed Cloud per installare il piano di controllo con funzionalità predefinite e Certificate Authority Service. Inserisci i valori negli appositi segnaposto.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --kubeconfig KUBECONFIG_FILE \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca gcp_cas \
  --platform multicloud \
  --ca_pool  projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --ca gcp_cas Utilizza Certificate Authority Service come dell'autorità di certificazione. La modifica delle autorità di certificazione durante un l'upgrade causa tempi di inattività. asmcliconfigura Certificate Authority Service da utilizzare flotta Workload Identity
    • --ca_pool L'identificatore completo del Pool di CA di Certificate Authority Service. Se utilizzi un modello di certificato, aggiungi l'ID del modello separato da :. Ad esempio: 
        --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID

    Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

Installa le funzionalità predefinite con Istio CA

In questa sezione viene spiegato come:

  • Genera certificati e chiavi per la CA Istio che Cloud Service Mesh utilizza per firma i tuoi carichi di lavoro.
  • Esegui asmcli per installare Cloud Service Mesh con funzionalità predefinite e abilitarlo CA Istio.

Per impostazione predefinita, ambienti che installano Cloud Service Mesh con le metriche dei report CA Istio a Prometheus. Se vuoi utilizzare le dashboard di Cloud Service Mesh, devi abilitare di Stackdriver. Per maggiori informazioni, vedi Installazione con funzionalità facoltative.

Per la massima sicurezza, consigliamo vivamente di mantenere una CA radice offline e utilizzando le CA subordinate per emettere certificati per ciascun cluster. Per ulteriori informazioni informazioni, consulta l'articolo Collegare i certificati CA. In questa configurazione, tutti i carichi di lavoro nel mesh di servizi utilizzano la stessa radice dell'autorità di certificazione (CA). Ogni CA Cloud Service Mesh utilizza una CA intermedia chiave di firma e certificato, firmati dalla CA radice. In presenza di più CA all'interno di un mesh, questo stabilisce una gerarchia di attendibilità tra le CA. Puoi ripeti questi passaggi per eseguire il provisioning di certificati e chiavi per le autorità di certificazione.

Il Makefile per generare i certificati si trova nella Sottodirectory istio-1.21.4-asm.5 nella directory --output_dir che specificato nel comando asmcli validate. Se non hai eseguito asmcli validate, o se la directory scaricata non è disponibile localmente, puoi recuperare il file il download del file di installazione di Cloud Service Mesh ed estrarre i contenuti.

  1. Passa alla directory istio-1.21.4-asm.5.

  2. Crea una directory per i certificati e le chiavi:

    mkdir -p certs && \
pushd certs

  3. Genera un certificato radice e una chiave:

    make -f ../tools/certs/Makefile.selfsigned.mk root-ca

    In questo modo vengono generati i seguenti file:

    • root-cert.pem: il certificato radice
    • root-key.pem: la chiave radice
    • root-ca.conf: la configurazione di Opensl per generare il certificato radice
    • root-cert.csr: la richiesta di firma del certificato per il certificato radice.

  4. Genera un certificato e una chiave intermedi:

    make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts

    Questa operazione genera i seguenti file in una directory denominata cluster1:

    • ca-cert.pem: i certificati intermedi
    • ca-key.pem: la chiave intermedia
    • cert-chain.pem: la catena di certificati utilizzata da istiod
    • root-cert.pem: il certificato radice

    Se esegui questi passaggi utilizzando un computer offline, copia a un computer con accesso ai cluster.

  5. Torna alla directory precedente:

    popd

  6. Esegui asmcli per installare un mesh utilizzando Istio CA:

    On-premise

    Esegui i comandi seguenti su Google Distributed Cloud oppure Google Distributed Cloud per installare il piano di controllo con le funzionalità predefinite e Istio CA. Inserisci i valori nel campo placeholders.

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati

    AWS

    Esegui i comandi seguenti su GKE su AWS per installare il controllo con le funzionalità predefinite e Istio CA. Inserisci i valori nel campo segnaposto forniti. Puoi scegliere di abilitare Ingress per il pubblico una subnet o la subnet privata.

    Pubblico

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave per il certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.

    Privato

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Salva il seguente YAML in un file denominato istio-operator-internal-lb.yaml:

      apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
    - enabled: true
      k8s:
        serviceAnnotations:
          service.beta.kubernetes.io/aws-load-balancer-internal: "true"
      name: istio-ingressgateway

    3. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert FILE_PATH \
  --ca_key FILE_PATH \
  --root_cert FILE_PATH \
  --cert_chain FILE_PATH \
  --custom_overlay istio-operator-internal-lb.yaml
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave per il certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.
      • --custom_overlay Il nome del file dell'overlay creato. Per ulteriori informazioni informazioni sui file di overlay, consulta Attivazione della funzionalità facoltativa sul piano di controllo nel cluster

    Azure

    Esegui i comandi seguenti su GKE su Azure per installare il piano di controllo con le funzionalità predefinite e Istio CA. Inserisci il tuo nei segnaposto forniti. Puoi scegliere di abilitare Ingress per nella subnet pubblica o nella subnet privata.

    Pubblico

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave per il certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.

    Privato

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Salva il seguente YAML in un file denominato istio-operator-internal-lb.yaml:

      apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
    - enabled: true
      k8s:
        serviceAnnotations:
          service.beta.kubernetes.io/aws-load-balancer-internal: "true"
      name: istio-ingressgateway

    3. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert FILE_PATH \
  --ca_key FILE_PATH \
  --root_cert FILE_PATH \
  --cert_chain FILE_PATH \
  --custom_overlay istio-operator-internal-lb.yaml
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave per il certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.
      • --custom_overlay Il nome del file dell'overlay creato. Per ulteriori informazioni informazioni sui file di overlay, consulta Attivazione della funzionalità facoltativa sul piano di controllo nel cluster

    Amazon EKS

    Esegui i seguenti comandi su Amazon EKS per installare il piano di controllo le funzionalità predefinite e Istio CA. Inserisci i valori nel campo placeholders.

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Corsa di asmcli install:

      ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --option attached-cluster \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --network_id default
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster cambia la firma predefinita e l'utilità è istiod.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati
      • --network_id Se stai configurando una rete multipla mesh, quindi imposta --network_id su un valore univoco per in un cluster nella rete mesh.

    Microsoft AKS

    Esegui questi comandi su Microsoft AKS per installare il piano di controllo con le funzionalità predefinite e Istio CA. Inserisci i valori nel campo placeholders.

    1. Imposta il contesto attuale sul cluster utente:

      kubectl config use-context CLUSTER_NAME

    2. Corsa di asmcli install:

      HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --option attached-cluster \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --network_id default
      • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
      • --fleet_id L'ID del progetto progetto host del parco risorse.
      • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
      • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster cambia la firma predefinita e l'utilità è istiod.
      • -ca citadel Utilizza Istio CA come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati
      • --network_id Se stai configurando una rete multipla mesh, quindi imposta --network_id su un valore univoco per in un cluster nella rete mesh.

Installa con Istio CA con Google Cloud Observability abilitato

Per utilizzare le dashboard di Cloud Service Mesh, devi abilitare Stackdriver.

On-premise

Esegui i comandi seguenti su Google Distributed Cloud oppure Google Distributed Cloud per installare il piano di controllo con Stackdriver e altre funzionalità facoltative e CA Istio. Inserisci i valori nel campo segnaposto forniti.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
   --fleet_id FLEET_PROJECT_ID \
   --kubeconfig KUBECONFIG_FILE \
   --output_dir DIR_PATH \
   --platform multicloud \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio
    • --ca_key La chiave per il certificato intermedio
    • --root_cert Il certificato radice
    • --cert_chain La catena di certificati
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

    Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Cloud Service Mesh, devi anche i primi tre passaggi Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e la dashboard di Cloud Service Mesh non mostrerà SLO, log degli errori o e le metriche di memoria.

AWS

Esegui i comandi seguenti su GKE su AWS per installare il controllo con Stackdriver, altre funzionalità facoltative e la CA di Istio. Inserisci il tuo nei segnaposto forniti. Puoi scegliere di abilitare Ingress per nella subnet pubblica o nella subnet privata.

Pubblico

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --option stackdriver
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio.
    • --ca_key La chiave per il certificato intermedio.
    • --root_cert Il certificato radice.
    • --cert_chain La catena di certificati.
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

Privato

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Salva il seguente YAML in un file denominato istio-operator-internal-lb.yaml:

    apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
    - enabled: true
      k8s:
        serviceAnnotations:
          service.beta.kubernetes.io/aws-load-balancer-internal: "true"
      name: istio-ingressgateway

  3. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert FILE_PATH \
  --ca_key FILE_PATH \
  --root_cert FILE_PATH \
  --cert_chain FILE_PATH
  --custom_overlay istio-operator-internal-lb.yaml \
  --option stackdriver
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio.
    • --ca_key La chiave per il certificato intermedio.
    • --root_cert Il certificato radice.
    • --cert_chain La catena di certificati.
    • --custom_overlay Il nome del file dell'overlay creato. Per ulteriori informazioni informazioni sui file di overlay, consulta Attivazione della funzionalità facoltativa sul piano di controllo nel cluster
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver. In alternativa, puoi abilitare Stackdriver mediante --custom_overlay stackdriver.yaml. Devi: Scarica il pacchetto anthos-service-mesh-package o crea stackdriver.yaml dal manifest fornito.

Azure

Esegui i comandi seguenti su GKE su Azure per installare il piano di controllo con Stackdriver e altre funzionalità facoltative e CA Istio. Inserisci i valori negli appositi segnaposto. Puoi scegliere abilitare Ingress per la subnet pubblica o la subnet privata.

Pubblico

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --option stackdriver
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio.
    • --ca_key La chiave per il certificato intermedio.
    • --root_cert Il certificato radice.
    • --cert_chain La catena di certificati.
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

Privato

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Salva il seguente YAML in un file denominato istio-operator-internal-lb.yaml:

    apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    ingressGateways:
    - enabled: true
      k8s:
        serviceAnnotations:
          service.beta.kubernetes.io/aws-load-balancer-internal: "true"
      name: istio-ingressgateway

  3. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert FILE_PATH \
  --ca_key FILE_PATH \
  --root_cert FILE_PATH \
  --cert_chain FILE_PATH
  --custom_overlay istio-operator-internal-lb.yaml \
  --option stackdriver
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio.
    • --ca_key La chiave per il certificato intermedio.
    • --root_cert Il certificato radice.
    • --cert_chain La catena di certificati.
    • --custom_overlay Il nome del file dell'overlay creato. Per ulteriori informazioni informazioni sui file di overlay, consulta Attivazione della funzionalità facoltativa sul piano di controllo nel cluster
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver. In alternativa, puoi abilitare Stackdriver mediante --custom_overlay stackdriver.yaml. Devi: Scarica il pacchetto anthos-service-mesh-package o crea stackdriver.yaml dal manifest fornito.

Amazon EKS

Esegui i seguenti comandi su Amazon EKS per installare il piano di controllo Stackdriver e altre funzionalità facoltative e CA Istio. Inserisci i valori in i segnaposto forniti.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --option stackdriver \
  --option attached-cluster
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio
    • --ca_key La chiave per il certificato intermedio
    • --root_cert Il certificato radice
    • --cert_chain La catena di certificati
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.
    • --option stackdriver cambia l'utilità di firma predefinita per istiod.

Microsoft AKS

Esegui questi comandi su Microsoft AKS per installare il piano di controllo con le funzionalità predefinite e Istio CA. Inserisci i valori nel campo placeholders.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Corsa di asmcli install:

    HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
  --fleet_id FLEET_PROJECT_ID \
  --kubeconfig KUBECONFIG_FILE \
  --output_dir DIR_PATH \
  --platform multicloud \
  --enable_all \
  --ca citadel \
  --ca_cert CA_CERT_FILE_PATH \
  --ca_key CA_KEY_FILE_PATH \
  --root_cert ROOT_CERT_FILE_PATH \
  --cert_chain CERT_CHAIN_FILE_PATH \
  --option stackdriver \
  --option attached-cluster
    • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • -ca citadel Utilizza Istio CA come autorità di certificazione.
    • --ca_cert Il certificato intermedio
    • --ca_key La chiave per il certificato intermedio
    • --root_cert Il certificato radice
    • --cert_chain La catena di certificati
    • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.
    • --option stackdriver cambia l'utilità di firma predefinita per istiod.

Installazione con funzionalità facoltative

Un file overlay è un file YAML contenente una risorsa personalizzata IstioOperator (RP) che passi a asmcli per configurare il piano di controllo. Puoi la configurazione predefinita del piano di controllo abilita una caratteristica facoltativa passando del file YAML in asmcli. Puoi sovrapporre altri overlay e ogni overlay sostituisce la configurazione sui livelli precedenti. Come best practice, ti consigliamo di salvare i file degli overlay nel tuo sistema di controllo della versione.

Esistono due opzioni per attivare le funzionalità facoltative: --option e --custom_overlay.

Usa --option per se non devi modificare l'overlay . Con questo metodo, asmclirecupera il file dal Repository GitHub per te.

Usa --custom_overlay quando devi personalizzare il file dell'overlay.

Per ulteriori informazioni, vedi Abilitazione di funzionalità facoltative sul piano di controllo nel cluster.

Esegui questi comandi su Google Distributed Cloud, Google Distributed Cloud, GKE su AWS, GKE su Azure Amazon EKS o Microsoft AKS. Inserisci i valori negli appositi segnaposto.

  1. Imposta il contesto attuale sul cluster utente:

    kubectl config use-context CLUSTER_NAME

  2. Esegui asmcli install per installare il piano di controllo con un'istanza funzionalità. Per aggiungere più file, specifica --custom_overlay e i nome file, ad esempio: --custom_overlayoverlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml

    ./asmcli install \
--fleet_id FLEET_PROJECT_ID \
--kubeconfig KUBECONFIG_FILE \
--output_dir DIR_PATH \
--platform multicloud \
--enable_all \
--ca mesh_ca \
--custom_overlay OVERLAY_FILE
    • --fleet_id L'ID del progetto progetto host del parco risorse.
    • --kubeconfig Il percorso completo kubeconfig file. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
    • --output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
    • --platform multicloud specifica che la piattaforma è qualcosa diverso da Google Cloud, ad esempio on-premise o multi-cloud.
    • --enable_all Consente allo script di:
      • Concedi le autorizzazioni IAM richieste.
      • Abilita le API di Google richieste.
      • Imposta un'etichetta sul cluster che identifichi il mesh.
      • Registra il cluster nel parco risorse, se non è già registrato.
    • --ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. Tieni presente che asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity
    • --custom_overlay Specifica il nome del file dell'overlay.

Installa gateway

Cloud Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway come parte mesh di servizi. Un gateway descrive un bilanciatore del carico che opera a livello perimetrale mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono Envoy che forniscono un controllo granulare sul traffico in entrata e escono dalla rete.

  1. Crea uno spazio dei nomi per il gateway in entrata, se non ne hai già uno. I gateway sono carichi di lavoro dell'utente e, come best practice, non dovrebbero essere di cui è stato eseguito il deployment nello spazio dei nomi del piano di controllo. Sostituisci GATEWAY_NAMESPACE con il nome del tuo spazio dei nomi.

    kubectl create namespace GATEWAY_NAMESPACE

    Output previsto:

    namespace/GATEWAY_NAMESPACE created

  2. Abilita l'inserimento automatico nel gateway. I passaggi richiesti variano a seconda che vuoi utilizzare etichette di inserimento predefinite (ad es. istio-injection=enabled) o etichetta di revisione sul gateway nello spazio dei nomi. Il tag di revisione e l'etichetta di revisione predefiniti vengono utilizzati webhook di inserimento del sidecar per associare i proxy inseriti a un determinato la revisione del piano di controllo.

    1. Se hai utilizzato una revisione predefinita dei tag per abilitare l'inserimento automatico nella gateway VPN ad alta disponibilità, verifica che il tag predefinito esista nella directory specificato in --output_dir e che indirizzi alla nuova istanza installata revisione.

      DIR_PATH/istioctl tag list

    2. Applica le etichette di inserimento predefinite allo spazio dei nomi.

      kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-

    Etichetta di revisione

    1. Usa questo comando per individuare l'etichetta di revisione su istiod:

      kubectl get deploy -n istio-system -l app=istiod -o \
  "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"

      Il comando restituisce l'etichetta di revisione che corrisponde Versione di Cloud Service Mesh, ad esempio: asm-1214-5

    2. Applica l'etichetta di revisione allo spazio dei nomi. Nel comando seguente, REVISION è il valore della revisione istiod che hai annotato nel passaggio precedente.

      kubectl label namespace GATEWAY_NAMESPACE \
  istio.io/rev=REVISION --overwrite

      Output previsto:

      namespace/GATEWAY_NAMESPACE labeled

    Puoi ignorare il messaggio "istio.io/rev" not found nel come output. Ciò significa che in precedenza lo spazio dei nomi non aveva Etichetta istio.io/rev, prevista nelle nuove installazioni di Cloud Service Mesh o nuovi deployment. Perché l'inserimento automatico non riesce se uno spazio dei nomi contiene sia istio.io/rev che istio-injection tutti i comandi kubectl label in Cloud Service Mesh documentazione specificano in modo esplicito entrambe le etichette.

    Se lo spazio dei nomi del gateway non è etichettato, i pod istio-ingressgateway non riuscirà con un errore ImagePullBackOff quando il gateway tenta di eseguire il pull e l'immagine auto. Questa immagine deve essere sostituita dal webhook.

  3. Scarica il file di configurazione .yaml del gateway in entrata di esempio dal Repository anthos-service-mesh-packages.

  4. Applica la configurazione .yaml del gateway in entrata di esempio così com'è o modificala come necessaria.

    kubectl apply -n GATEWAY_NAMESPACE \
  -f CONFIG_PATH/istio-ingressgateway

    Output previsto:

    deployment.apps/istio-ingressgateway created
poddisruptionbudget.policy/istio-ingressgateway created
horizontalpodautoscaler.autoscaling/istio-ingressgateway created
role.rbac.authorization.k8s.io/istio-ingressgateway created
rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created
service/istio-ingressgateway created
serviceaccount/istio-ingressgateway created

Scopri di più sulle best practice per i gateway.

Eseguire il deployment e rieseguire il deployment dei carichi di lavoro

Cloud Service Mesh utilizza i proxy sidecar per migliorare la sicurezza, l'affidabilità e osservabilità. Con Cloud Service Mesh, queste funzioni vengono astratte dal del container principale dell'applicazione e implementato in un proxy out-of-process comune come container separato all'interno dello stesso pod.

L'installazione non sarà completa finché non attivi il proxy sidecar automatico tramite l'iniezione automatica e riavvia i pod per tutti i carichi di lavoro erano in esecuzione sul tuo cluster prima dell'installazione di Cloud Service Mesh.

Per abilitare l'inserimento automatico, etichetta gli spazi dei nomi con il etichette di inserimento predefinite se è stato configurato il tag predefinito oppure se esiste un'etichetta di revisione impostato il giorno istiod quando hai installato Cloud Service Mesh. La revisione predefinita il tag e l'etichetta di revisione vengono utilizzati dal webhook di iniettore collaterale per associare file collaterali inseriti con una revisione istiod. Dopo aver aggiunto l'etichetta, i pod esistenti nello spazio dei nomi devono essere riavviati per poter inserire i file collaterali.

Prima di eseguire il deployment di nuovi carichi di lavoro in un nuovo spazio dei nomi, assicurati di configurare iniezione automatica per consentire a Cloud Service Mesh di monitorare e proteggere il traffico.

  1. I passaggi necessari per abilitare l'inserimento automatico dipendono dall'utilizzo o meno le etichette di inserimento predefinite o l'etichetta di revisione:

    1. Se hai utilizzato una revisione predefinita dei tag per abilitare l'inserimento automatico nella gateway VPN ad alta disponibilità, verifica che il tag predefinito esista nella directory specificato in --output_dir e che indirizzi alla nuova istanza installata revisione.

      DIR_PATH/istioctl tag list

    2. Esegui questo comando. NAMESPACE è il nome del nello spazio dei nomi in cui vuoi abilitare l'inserimento automatico.

      kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev-

    La revisione viene inserita dalle etichette di inserimento predefinite a cui rimanda il tag predefinito.

    Etichetta di revisione

    1. Usa questo comando per individuare l'etichetta di revisione su istiod:

      kubectl -n istio-system get pods -l app=istiod --show-labels

      L'output è simile al seguente:

      NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-1214-5-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1214-5,istio=istiod,pod-template-hash=5788d57586
istiod-asm-1214-5-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1214-5,istio=istiod,pod-template-hash=5788d57586

      Nell'output, sotto la colonna LABELS, prendi nota del valore del parametro istiod etichetta di revisione, che segue il prefisso istio.io/rev=. In questo esempio, Il valore è asm-1214-5.

    2. Applica l'etichetta di revisione e rimuovi l'etichetta istio-injection, se presente esiste già. Nel comando seguente, NAMESPACE è il nome dello spazio dei nomi per cui vuoi abilitare l'inserimento automatico REVISION è l'etichetta di revisione che hai annotato in passaggio precedente.

      kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite

      Puoi ignorare il messaggio "istio-injection not found" nel come output. Ciò significa che in precedenza lo spazio dei nomi non aveva Etichetta istio-injection, prevista nelle nuove di Cloud Service Mesh o di nuovi deployment. Poiché l'inserimento automatico il comportamento non è definito quando uno spazio dei nomi ha sia istio-injection e l'etichetta di revisione, tutti i comandi kubectl label nella La documentazione di Cloud Service Mesh assicura esplicitamente che ne sia impostata una sola.

  2. Se sul cluster erano in esecuzione carichi di lavoro prima dell'installazione Cloud Service Mesh, riavvia i pod per attivare il reinjection.

    Il modo in cui riavvii i pod dipende dall'applicazione e dall'ambiente in cui si trova il cluster. Ad esempio, nel tuo ambiente di gestione temporanea, eliminare tutti i pod, determinandone il riavvio. Ma nella tua produzione potrebbe essere presente un processo che implementa deployment blu/verde per poter riavviare in sicurezza i pod ed evitare interruzioni del traffico.

    Puoi utilizzare kubectl per eseguire un riavvio in sequenza:

    kubectl rollout restart deployment -n NAMESPACE

Passaggi successivi