Prepare-se para configurar APIs de roteamento de serviço com o Envoy e as cargas de trabalho sem proxy

Este documento contém informações sobre os pré-requisitos para a configuração Cloud Service Mesh usando as APIs de roteamento de serviço com proxies Envoy ou com gRPC sem proxy como plano de dados.

Observação: este guia só oferece suporte ao Cloud Service Mesh com as APIs do Google Cloud e não oferece suporte às APIs do Istio. Para mais informações, consulte Visão geral do Cloud Service Mesh.

A configuração do Cloud Service Mesh inclui várias fases. Este documento descreve a primeira fase: instruções para se preparar para configurar Cloud Service Mesh com instâncias de VM ou aplicativos gRPC sem proxy. As fases adicionais são abordadas pelos guias específicos da plataforma listados em Continue o processo de configuração mais adiante neste documento.

Antes de ler este guia, familiarize-se com os documentos a seguir, que fornecem uma visão geral do uso do Cloud Service Mesh com o serviço APIs de roteamento e de gateway:

• Visão geral do Cloud Service Mesh
• Visão geral das APIs de roteamento de serviço do Cloud Service Mesh

Pré-requisitos

Prepare o ambiente local concluindo as tarefas a seguir

1. Configure projetos para atender às suas necessidades de negócios.
2. Ativar o faturamento.
3. Conceder as permissões necessárias.
4. Ative a API Traffic Director e outras APIs para seu projeto.
5. Verifique se a conta de serviço tem permissões suficientes para acessar a API Traffic Director.
6. Ative a API Cloud DNS e configure o Cloud DNS.

Nas seções a seguir, fornecemos instruções para cada tarefa.

Configurar projetos

Para configurar e gerenciar seus projetos, consulte Como criar e gerenciar projetos e documentação relacionada.

Ativar faturamento

Verifique se a cobrança está ativada para o seu projeto do Google Cloud. Para mais informações, consulte Ativar, desativar ou alterar o faturamento de um projeto.

Conceder as permissões necessárias do IAM

Você precisa ter permissões suficientes do Identity and Access Management (IAM) para criar uma VM instâncias e modificar uma rede para configurar o Cloud Service Mesh. Se você tiver o papel de Proprietário ou Editor do projeto (roles/owner ou roles/editor) no projeto em que você está ativando Cloud Service Mesh, você tem automaticamente as permissões corretas.

Caso contrário, você precisa ter todos os papéis do IAM mostrados no tabela a seguir. Se você tiver esses papéis, também terá os papéis conforme descrito na documentação do IAM do Compute Engine.

Tarefa	Papel necessário
Definir a política de IAM em uma conta de serviço.	Administrador da conta de serviço (roles/iam.serviceAccountAdmin)
Ativar o Cloud Service Mesh.	Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin)
Criar redes, sub-redes e componentes do balanceador de carga.	Compute Network Admin (roles/compute.networkAdmin)
Adicionar e remover regras de firewall.	Administrador de segurança do Compute (roles/compute.securityAdmin)
Criar instâncias.	Administrador da instância do Compute (roles/compute.instanceAdmin)
Permite acesso a contas de serviço.	Usuário da conta de serviço (roles/iam.serviceAccountUser)
Ative a conta de serviço para realizar as tarefas necessárias.	Usuário da conta de serviço (roles.trafficdirector.client)

As VMs do Compute Engine precisam ter https://www.googleapis.com/auth/cloud-platform do projeto. Para mais informações, consulte Solução de problemas em implantações que usam o gRPC sem proxy.

Ativar a conta de serviço para acessar a API Traffic Director

Quando você configura seu plano de dados e o conecta ao Cloud Service Mesh, seu Os clientes xDS, sejam proxies Envoy ou clientes gRPC sem proxy, se conectam ao servidor xDS trafficdirector.googleapis.com. Esses clientes xDS apresentam uma identidade de conta de serviço ao servidor xDS para garantir que as comunicações entre o plano de dados e o plano de controle sejam devidamente autorizadas.

Para uma VM do Compute Engine, o cliente xDS usa a conta de serviço atribuída à VM.

A menos que você modifique a configuração, o Google Cloud usa Conta de serviço padrão do Compute Engine

Para conceder à conta de serviço acesso à API Traffic Director, use o código abaixo instruções.

Console

1. No Console do Google Cloud, acesse a página IAM e administrador:

   Acessar IAM e administrador

2. Selecione o projeto.

3. Identifique a conta de serviço em que você quer incluir um papel.

   • Se a conta de serviço de ainda não estiver na lista de membros, ela não terá nenhum papel atribuído a ela. Clique em Adicionar e digite o endereço de e-mail da conta do serviço.
   • Se estiver na lista de membros, a conta de serviço já terá papéis. Selecione a conta de serviço e clique na guia Papéis.

4. Expanda o papel. Na conta de serviço que você quer editar, clique em Editar.

5. Selecione o papel Outro > Cliente do Cloud Service Mesh.

6. Para aplicar o papel à conta de serviço, clique em Salvar.

gcloud

Execute este comando:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Substitua:

• PROJECT: enter gcloud config get-value project
• SERVICE_ACCOUNT_EMAIL: o e-mail associado à conta de serviço.

Ative as APIs necessárias

Ative as seguintes APIs obrigatórias.

• osconfig.googleapis.com
• trafficdirector.googleapis.com
• compute.googleapis.com
• networkservices.googleapis.com

Para ativar as APIs necessárias, siga as instruções abaixo.

Console

1. No Console do Google Cloud, acesse a página Biblioteca de APIs do seu projeto.

   Acessar a Biblioteca de APIs

2. No campo Pesquisar APIs e serviços, insira Traffic Director.

3. Na lista de resultados da pesquisa, clique em API Traffic Director. Se ela não estiver listada, isso significa que você não tem as permissões necessárias para ativar a API Traffic Director.

4. Na página API Traffic Director, clique em Ativar.

5. No campo Pesquisar APIs e serviços, insira OS Config.

6. Na lista de resultados da pesquisa, clique em Configuração do SO. Se você não vir a da API OS Config listada, isso significa que você não tem as permissões para ativar a API Traffic Director.

7. Na página API OS Config, clique em Ativar.

8. No campo Pesquisar APIs e serviços, insira Compute.

9. Na lista de resultados da pesquisa, clique em API Compute Engine. Se você não vir a a API Compute Engine listada, isso significa que você não tem as para ativar a API Compute Engine.

10. Na página API Compute Engine, clique em Ativar.

11. No campo Pesquisar APIs e serviços, insira Network Services.

12. Na lista de resultados da pesquisa, clique em API Network Services. Se você não vir a Network Services API listada, isso significa que você não tem as permissões permissões para ativar a API Network Services.

13. Na página API Network Services, clique em Ativar.

gcloud

Execute este comando:

gcloud services enable osconfig.googleapis.com \
trafficdirector.googleapis.com \
compute.googleapis.com \
networkservices.googleapis.com

Versão do xDS

As APIs de roteamento de serviço exigem o uso do xDS v3. Para informações sobre como atualizar implantação do xDS v2 para o xDS v3, consulte APIs do plano de controle xDS.

Requisitos adicionais com proxies Envoy

Nesta seção, descrevemos outros requisitos para usar o Cloud Service Mesh com as APIs de roteamento de serviço e proxies Envoy. Se você estiver implantando com gRPC, consulte Requisitos adicionais com gRPC sem proxy.

Como o Envoy é instalado

Durante o processo de implantação do Cloud Service Mesh, você cria uma VM que instala automaticamente o Envoy nas VMs em que os aplicativos run.

Sobre as versões do Envoy

O Envoy precisa ser da versão 1.20.0 ou mais recente para funcionar com o Cloud Service Mesh. Recomendamos sempre usar a versão mais recente do Envoy para garantir que as vulnerabilidades de segurança conhecidas sejam reduzidas.

Se você decidir implantar o Envoy usando um de nossos métodos automatizados, nós cuidaremos desta tarefa para você:

A implantação automatizada do Envoy com VMs do Compute Engine instala o Envoy validada para funcionar com o Cloud Service Mesh. Quando uma nova VM é criada com o modelo de instância, a VM recebe a versão mais recente que validamos. Se você tiver uma VM de longa duração, use uma atualização gradual para substituir suas VMs atuais e coletar a versão mais recente.

Para informações sobre versões específicas do Envoy, consulte Histórico de versões. Para informações sobre vulnerabilidades de segurança, consulte Consultores de segurança.

Requisitos adicionais com gRPC sem proxy

Nesta seção, descrevemos outros requisitos para usar o Cloud Service Mesh com as APIs de roteamento de serviço e o gRPC sem proxy. Se você estiver implantando com o Envoy proxies, consulte Requisitos adicionais com proxies Envoy.

Processo geral com gRPC sem proxy

Siga este procedimento geral para configurar aplicativos gRPC sem proxy. em uma malha de serviço:

1. Atualize os clientes gRPC para a versão mais recente do gRPC, com o patch mais recente.
2. Atualize os esquema do resolvedor de nomes gRPC ao criar um canal e especificar um arquivo de inicialização do Cloud Service Mesh.
3. Configurar os recursos do Cloud Service Mesh e do Cloud Load Balancing.

Este documento fornece informações para concluir as duas primeiras etapas. O processo de configuração usado na etapa 3 depende da implantação usar VMs do Compute Engine ou grupos de endpoints de rede do GKE (NEGs, na sigla em inglês).

Versões e linguagens do gRPC compatíveis

O gRPC é um projeto de código aberto, e a compatibilidade dele com a versão é descrita nas Perguntas frequentes do gRPC. Recomendamos que você use a versão mais recente do gRPC para garantir que as vulnerabilidades de segurança conhecidas sejam reduzidas. Isso também garante que seus aplicativos tenham acesso aos recursos mais recentes compatíveis com o Cloud Service Mesh. Os recursos da malha de serviço compatíveis com várias implementações e versões do gRPC estão listados no GitHub. Para uma lista de linguagens gRPC e recursos compatíveis com o Cloud Service Mesh e serviços gRPC sem proxy, consulte Recursos do Cloud Service Mesh.

O Cloud Service Mesh mantém a compatibilidade com as versões atuais e com suporte gRPC e esforços para ser compatível com versões gRPC menos de um ano antigo, sujeito aos Termos de Serviço do Google Cloud Platform.

Atualizar clientes gRPC

Atualize a biblioteca gRPC no aplicativo para a versão compatível com os recursos necessários. Veja mais detalhes na seção anterior.

Adicione o resolvedor de nome xDS como uma dependência dos aplicativos gRPC. Os requisitos por linguagem para Java e Go são mostrados nas seções a seguir. Outros idiomas não têm requisitos adicionais.

Requisitos do Java

Em Java, se você estiver usando o Gradle, adicione a dependência grpc-xds ao seu arquivo build.gradle. Substitua LATEST_GRPC_VERSION pela versão mais recente do gRPC.

dependencies {
  runtimeOnly 'io.grpc:grpc-xds:LATEST_GRPC_VERSION'
}

Se você estiver usando o Maven, adicione o seguinte à seção <dependencies> de pom.xml. Substitua LATEST_GRPC_VERSION pela versão mais recente do gRPC.

    <dependency>
      <groupId>io.grpc</groupId>
      <artifactId>grpc-xds</artifactId>
      <version>LATEST_GRPC_VERSION</version>
      <scope>runtime</scope>
    </dependency>

Requisitos do Go

Se você usa o Go, importe o pacote xds Go.

Definir o resolvedor de nome do gRPC para usar xds

Defina ou altere os aplicativos gRPC para usar o esquema de resolução de nomes xds no URI de destino, em vez de DNS ou qualquer outro esquema de resolvedor. Para fazer isso, use o prefixo xds:/// no nome do destino ao criar um canal do gRPC. O balanceamento de carga para clientes gRPC é por canal.

Inclua o nome do serviço usado no URI de destino no campo Configuração do Cloud Service Mesh. Por exemplo, em Java, você cria o canal usando esta estrutura, em que o nome do serviço é helloworld:

ManagedChannelBuilder.forTarget("xds:///helloworld[:PORT_NUMBER]")

Criar e configurar um arquivo de inicialização

O esquema do resolvedor xds instrui o aplicativo gRPC a se conectar o Cloud Service Mesh para receber informações de configuração para o destino; serviço. Portanto, faça o seguinte:

• Crie um arquivo de inicialização, conforme mostrado no exemplo a seguir. Esse arquivo informa gRPC para se conectar a um servidor xDS (Cloud Service Mesh) e receber a configuração serviços específicos.
• Defina uma variável de ambiente chamada GRPC_XDS_BOOTSTRAP, com o nome do arquivo de inicialização como o valor da variável de ambiente.

As instruções de configuração têm exemplos que mostram como gerar o arquivo de inicialização. Para sua conveniência, use a versão mais recente do gRPC do Cloud Service Mesh gerador de bootstrap.

Um arquivo de inicialização contendo as informações necessárias para se conectar ao O Cloud Service Mesh precisa ser incluído com o aplicativo. Esta é uma amostra de arquivo de inicialização:

{
  "xds_servers": [
    {
      "server_uri": "trafficdirector.googleapis.com:443",
      "channel_creds": [
        {
          "type": "google_default"
        }
      ],
      "server_features": ["xds_v3"]
    }
  ],
  "node": {
    "id": "projects/123456789012/networks/default/nodes/b7f9c818-fb46-43ca-8662-d3bdbcf7ec18",
    "metadata": {
      "TRAFFICDIRECTOR_NETWORK_NAME": "default"
    },
    "locality": {
      "zone": "us-central1-a"
    }
  }
}

A tabela a seguir explica os campos no arquivo de inicialização.

Campo	Valor e descrição
xds_servers	Uma lista de servidores xDS. O gRPC usa apenas o primeiro na lista.
server_uri	Especifique pelo menos uma. O gRPC tenta se conectar apenas ao primeiro servidor xDS na lista de xds_servers. O valor padrão é trafficdirector.googleapis.com:443.
channel_creds	Credenciais para usar com o servidor xDS.
type	Use o valor google_default. Para mais informações sobre como as credenciais são obtidas, consulte Primeiros passos com a autenticação.
server_features	Uma lista de recursos compatíveis com o servidor, como suporte para xDS v3. O valor padrão é vazio.
node	Informações sobre o cliente que está se conectando ao servidor xDS.
id	O id precisa estar no formato a seguir, conforme mostrado no exemplo anterior: projects/PROJECT_NUMBER/networks/NETWORK_NAME/nodes/ID Forneça uma string exclusiva como o valor de ID. Isso ajuda a identificar o cliente gRPC que está se conectando do Cloud Service Mesh.
metadata	Informações específicas ao servidor xDS.
TRAFFICDIRECTOR_MESH_NAME	Se o campo estiver vazio ou não for especificado, o valor será definido como default.
locality	A zona do Google Cloud em que o cliente gRPC está em execução.

Continuar o processo de configuração

Depois de concluir os pré-requisitos descritos neste documento, continue com um destes documentos se você estiver configurando o Cloud Service Mesh com as APIs de roteamento de serviço:

• Configure serviços gRPC sem proxy com um recurso Mesh
• Configurar proxies do Envoy com serviços HTTP
• Configurar um gateway de entrada
• Configurar serviços TCP com um recurso TCPRoute
• Configurar referências de projetos cruzados com os recursos Mesh e Route
• Configurar o roteamento de TLS do gateway