Anthos Service Mesh と Traffic Director は Cloud Service Mesh になりました。詳細については、Cloud Service Mesh の概要をご覧ください。

Kubernetes ワークロードをオンボーディングする

このページでは、Cloud Service Mesh を使用して Kubernetes ワークロードをオンボーディングする方法について説明します。

Kubernetes Service をデプロイする

Cloud Service Mesh を使用して Kubernetes Service をクラスタにデプロイするには、次の操作を行う必要があります。

すべてのコンテナに Kubernetes Service を作成します。すべての Deployment に接続された Kubernetes Service がそれぞれ存在することになります。
Service ポートに名前を付けます。GKE では名前のない Service ポートを定義できますが、Cloud Service Mesh ではポートのプロトコルと一致するポートの名前を指定する必要があります。
Deployment にラベルを付けます。これにより、同じサービスの複数のバージョン間でトラフィックを分割するなど、Cloud Service Mesh のトラフィック管理機能を使用できます。

次の Deployment と Service の例は、上述の要件を示しています。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: helloserver
spec:
  replicas: 1
  selector:
    matchLabels:
      app: helloserver
  template:
    metadata:
      labels:
        app: helloserver
    spec:
      containers:
      - image: gcr.io/google-samples/istio/helloserver:v0.0.1
        imagePullPolicy: Always
        name: main
      restartPolicy: Always
      terminationGracePeriodSeconds: 5

apiVersion: v1
kind: Service
metadata:
  name: hellosvc
spec:
  ports:
  - name: http
    port: 80
    targetPort: 8080
  selector:
    app: helloserver
  type: LoadBalancer

Cloud Service Mesh が有効なクラスタに Service をデプロイしたら、必ずサイドカープロキシを挿入してください。

例: Online Boutique のサンプルをデプロイする

anthos-service-mesh-packages リポジトリの Online Boutique サンプルアプリケーションは、microservices-demo リポジトリの元のマニフェストセットから変更されています。ベストプラクティスに従い、各サービスは、一意のサービスアカウントを持つ個別の名前空間にデプロイします。

アプリケーションの名前空間を作成します。

kubectl apply -f \
  DIR_PATH/samples/online-boutique/kubernetes-manifests/namespaces

予想される出力:

namespace/ad created
namespace/cart created
namespace/checkout created
namespace/currency created
namespace/email created
namespace/frontend created
namespace/loadgenerator created
namespace/payment created
namespace/product-catalog created
namespace/recommendation created
namespace/shipping created

自動サイドカーインジェクション（自動挿入）を有効にします。このコマンドは、マネージド Cloud Service Mesh を使用しているか、クラスタ内 Cloud Service Mesh を使用しているかによって異なります。マネージド Cloud Service Mesh を使用している場合は、デフォルトのインジェクションラベル（例: istio-injection=enabled）を使用します。クラスタ内 Cloud Service Mesh を使用している場合は、Ingress ゲートウェイ名前空間にアノテーションを付ける際に使用したのと同じリビジョンラベルを使用します。既存の移行済みマネージドコントロールプレーンのお客様は、デフォルトのインジェクションラベルに加えて、既存のリビジョンラベルを使用することもできます。
デフォルトのインジェクションラベル
デフォルトのインジェクションラベルを Namespace に適用します。次のコマンドで、GATEWAY_NAMESPACE は、Ingress ゲートウェイ名前空間にアノテーションを付ける際に使用した値です。
```
for ns in ad cart checkout currency email frontend loadgenerator payment product-catalog recommendation shipping; do
  kubectl label namespace $ns istio-injection=enabled istio.io/rev-
done;
```
注: ラベル「istio.io/rev」が見つからないエラーは無視して構いません。
予想される出力:
```
 namespace/ad labeled
 namespace/cart labeled
 namespace/checkout labeled
 namespace/currency labeled
 namespace/email labeled
 namespace/frontend labeled
 namespace/loadgenerator labeled
 namespace/payment labeled
 namespace/product-catalog labeled
 namespace/recommendation labeled
 namespace/shipping labeled
```
リビジョンラベル
アプリケーションの名前空間にリビジョンラベルを適用します。次のコマンドで、REVISION は、Ingress ゲートウェイ Namespace にアノテーションを付ける際に使用した値です。
```
for ns in ad cart checkout currency email frontend loadgenerator payment product-catalog recommendation shipping; do
  kubectl label namespace $ns istio.io/rev=REVISION --overwrite
done;
```
予想される出力:
```
namespace/ad labeled
namespace/cart labeled
namespace/checkout labeled
namespace/currency labeled
namespace/email labeled
namespace/frontend labeled
namespace/loadgenerator labeled
namespace/payment labeled
namespace/product-catalog labeled
namespace/recommendation labeled
namespace/shipping labeled
```

サンプルアプリケーションをクラスタにデプロイします。

サービスアカウントとデプロイを作成します。

kubectl apply -f \
 DIR_PATH/samples/online-boutique/kubernetes-manifests/deployments

予想される出力:

serviceaccount/ad created
deployment.apps/adservice created
serviceaccount/cart created
deployment.apps/cartservice created
serviceaccount/checkout created
deployment.apps/checkoutservice created
serviceaccount/currency created
deployment.apps/currencyservice created
serviceaccount/email created
deployment.apps/emailservice created
serviceaccount/frontend created
deployment.apps/frontend created
serviceaccount/loadgenerator created
deployment.apps/loadgenerator created
serviceaccount/payment created
deployment.apps/paymentservice created
serviceaccount/product-catalog created
deployment.apps/productcatalogservice created
serviceaccount/recommendation created
deployment.apps/recommendationservice created
serviceaccount/shipping created
deployment.apps/shippingservice created

サービスを作成します。

kubectl apply -f \
 DIR_PATH/samples/online-boutique/kubernetes-manifests/services

予想される出力:

service/adservice created
service/cartservice created
service/checkoutservice created
service/currencyservice created
service/emailservice created
service/frontend created
service/frontend-external created
service/paymentservice created
service/productcatalogservice created
service/recommendationservice created
service/shippingservice created

サービスエントリを作成します。

kubectl apply -f \
 DIR_PATH/samples/online-boutique/istio-manifests/allow-egress-googleapis.yaml

予想される出力:

serviceentry.networking.istio.io/allow-egress-googleapis created
serviceentry.networking.istio.io/allow-egress-google-metadata created

サービスポートに名前を付ける

Anthos Service Mesh に含めるには、サービスポートに名前を付ける必要があります。名前にはポートのプロトコルを含める必要があります。次に例を示します。

apiVersion: v1
kind: Service
metadata:
  name: ratings
  labels:
    app: ratings
    service: ratings
spec:
  ports:
  - port: 9080
    name: http

サービスポート名には、name: protocol[-suffix] の構文で接尾辞を含めることができます。ここで、角かっこはダッシュで始まるオプションの接尾辞を示します。次に例を示します。

kind: Service
metadata:
  name: myservice
spec:
  ports:
  - number: 3306
    name: mysql
  - number: 80
    name: http-web

指標を Google Cloud コンソールに表示するには、サービスポートに http、http2、grpc のいずれかのプロトコルを指定する必要があります。https プロトコルによって名づけられたサービスポートは tcp として扱われ、これらのサービスの指標は表示されません。

サイドカープロキシを挿入する

このセクションでは、Cloud Service Mesh を使用してサイドカープロキシインジェクションを構成し、ネットワークセキュリティ、信頼性、オブザーバビリティを強化する方法について説明します。これらの機能が、アプリケーションのプライマリコンテナと分離されて抽象化され、同じ Pod 内に別のコンテナとして提供される、共通のプロセス外プロキシ（サイドカー）に実装されます。本番環境のアプリケーションを再設計することなくサービスメッシュに参加する Cloud Service Mesh の機能を使用できます。

自動サイドカープロキシインジェクション（自動インジェクション）は、Cloud Service Mesh がワークロードの Pod 用に構成した名前空間ラベルを検出すると実行されます。プロキシは、ワークロードのすべての受信トラフィックと送信トラフィックを傍受し、Cloud Service Mesh と通信します。

これらのタスクに必要な権限

このページのタスクを実行するには、roles/container.clusterAdmin 以上のロールが必要です。このロールに含まれる権限の詳細については、Google Kubernetes Engine のロールをご覧ください。

自動サイドカーインジェクションを有効にする

インジェクションの名前空間を有効にします。手順は、コントロールプレーンの実装によって異なります。
マネージド（TD）
1. リビジョンラベルを名前空間に適用します。
```
kubectl label namespace NAMESPACE
    istio.io/rev- istio-injection=enabled --overwrite
```
マネージド（Istiod）
新しいユーザーは、次のコマンドを使用して、名前空間にリビジョンラベルを適用します。
```
  kubectl label namespace NAMESPACE \
      istio.io/rev- istio-injection=enabled --overwrite
```
マネージド Istiod コントロールプレーンを使用している既存のユーザーは、次の手順を行います。
1. 利用可能なリリースチャンネルを探すには、次のコマンドを使用します。
```
kubectl -n istio-system get controlplanerevision
```
  出力は次のようになります。
```
NAME                AGE
asm-managed-rapid   6d7h
```
  注: 上記のリストに 2 つのコントロールプレーンのリビジョンが表示されている場合は、1 つを削除します。クラスタに複数のコントロールプレーンチャネルを配置することはできません。
  
  出力で、NAME 列の値は、Cloud Service Mesh バージョンで使用可能なリリースチャンネルに対応するリビジョンラベルです。
2. リビジョンラベルを名前空間に適用します。
```
kubectl label namespace NAMESPACE \
    istio-injection- istio.io/rev=REVISION_LABEL --overwrite
```
クラスタ内
1. 次のコマンドを使用して、istiod のリビジョンラベルを探します。
```
kubectl get deploy -n istio-system -l app=istiod -o \
  jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}'
```
2. リビジョンラベルを名前空間に適用します。次のコマンドで、REVISION は前の手順でメモした istiod リビジョンラベルの値です。
```
kubectl label namespace NAMESPACE \
    istio.io/rev- istio-injection=enabled --overwrite
```
次のセクションの手順に沿って、該当する Pod を再起動します。

demo 名前空間にアノテーションを付けます。

kubectl annotate --overwrite namespace NAMESPACE \
mesh.cloud.google.com/proxy='{"managed":"true"}'

Pod を再起動してサイドカープロキシを更新する

自動サイドカーインジェクションでは、Pod の再起動で既存の Pod のサイドカーを更新できます。

Pod を再起動する方法は、Pod が Deployment の一部として作成されたかどうかによって異なります。

Deployment を使用した場合は、サイドカー付きのすべての Pod を再起動する Deployment を再起動します。
```
kubectl rollout restart deployment -n NAMESPACE
```
Deployment を使用していない場合、Pod を削除すると、自動的にサイドカー付きで再作成されます。
```
kubectl delete pod -n NAMESPACE --all
```
名前空間内のすべての Pod にサイドカーが挿入されたことを確認します。
```
kubectl get pod -n NAMESPACE
```
次に前のコマンドの出力例を示します。ここで、READY 列はワークロードごとに 2 つのコンテナ（プライマリコンテナとサイドカープロキシのコンテナ）があることを示しています。
```
NAME                    READY   STATUS    RESTARTS   AGE
WORKLOAD           2/2     Running   0          20s
...
```

Kubernetes ワークロードをオンボーディングする

Kubernetes Service をデプロイする

例: Online Boutique のサンプルをデプロイする

デフォルトのインジェクション ラベル

リビジョン ラベル

サービスポートに名前を付ける

サイドカー プロキシを挿入する

これらのタスクに必要な権限

自動サイドカー インジェクションを有効にする

マネージド（TD）

マネージド（Istiod）

クラスタ内

Pod を再起動してサイドカー プロキシを更新する

デフォルトのインジェクションラベル

リビジョンラベル

サイドカープロキシを挿入する

自動サイドカーインジェクションを有効にする

Pod を再起動してサイドカープロキシを更新する