Menginstal dan mengupgrade gateway dengan Istio API

Panduan ini

Untuk mengetahui informasi selengkapnya, lihat Ringkasan Cloud Service Mesh.

Cloud Service Mesh memberi Anda opsi untuk men-deploy dan mengelola gateway sebagai bagian dari mesh layanan Anda. Gateway menjelaskan load balancer yang beroperasi di tepi mesh dan menerima koneksi HTTP/TCP masuk atau keluar. Gateway pada dasarnya digunakan untuk mengelola traffic masuk, tetapi Anda juga dapat mengonfigurasi gateway untuk mengelola jenis traffic lainnya.

• Gateway keluar: Gateway keluar memungkinkan Anda mengonfigurasi node keluar khusus untuk traffic yang keluar dari mesh, sehingga Anda dapat membatasi layanan mana yang dapat atau harus mengakses jaringan eksternal, atau untuk memungkinkan kontrol yang aman atas traffic keluar guna menambah keamanan mesh Anda, misalnya.

• Gateway masuk: Gateway masuk memungkinkan Anda mengonfigurasi node masuk khusus untuk menerima koneksi HTTP/TCP yang masuk.

• Gateway East-west: Proxy untuk traffic east-west guna memungkinkan workload layanan berkomunikasi di seluruh batas cluster dalam mesh multi-primary pada jaringan yang berbeda. Secara default, gateway ini akan bersifat publik di Internet.

Halaman ini menjelaskan praktik terbaik untuk men-deploy dan mengupgrade proxy gateway serta contoh mengonfigurasi proxy gateway istio-ingressgateway dan istio-egressgateway Anda sendiri.

Anda dapat men-deploy gateway dengan berbagai cara dan menggunakan lebih dari satu topologi dalam cluster yang sama. Lihat Topologi deployment gateway dalam dokumentasi Istio untuk mempelajari topologi ini lebih lanjut.

Praktik terbaik untuk men-deploy gateway

Praktik terbaik untuk men-deploy gateway bergantung pada apakah Anda menggunakan bidang data terkelola atau bidang data yang tidak dikelola.

Praktik terbaik untuk bidang data terkelola

1. Aktifkan bidang data terkelola.
2. Tambahkan label revisi terkelola ke namespace.
3. Men-deploy dan mengelola bidang kontrol dan gateway secara terpisah.
4. Sebagai praktik terbaik keamanan, sebaiknya Anda men-deploy gateway di namespace yang berbeda dengan bidang kontrol.
5. Gunakan injeksi file bantuan otomatis (injeksi otomatis) untuk memasukkan konfigurasi proxy untuk gateway, sama seperti cara Anda memasukkan proxy file bantuan untuk layanan Anda.

Praktik terbaik berikut:

• Memastikan gateway terkelola Anda terus diupdate secara otomatis dengan peningkatan dan update keamanan terbaru.
• Memindahkan beban pengelolaan dan pemeliharaan instance gateway ke bidang data yang dikelola Cloud Service Mesh.

Praktik terbaik untuk bidang data tidak terkelola

1. Men-deploy dan mengelola bidang kontrol dan gateway secara terpisah.
2. Sebagai praktik terbaik keamanan, sebaiknya Anda men-deploy gateway di namespace yang berbeda dengan bidang kontrol.
3. Gunakan injeksi file bantuan otomatis (injeksi otomatis) untuk memasukkan konfigurasi proxy untuk gateway, sama seperti cara Anda memasukkan proxy file bantuan untuk layanan Anda.

Praktik terbaik berikut:

• Memungkinkan administrator namespace mengelola gateway tanpa memerlukan hak istimewa yang ditingkatkan untuk seluruh cluster.
• Izinkan administrator Anda menggunakan alat atau mekanisme deployment yang sama dengan yang mereka gunakan untuk mengelola aplikasi Kubernetes guna men-deploy dan mengelola gateway.
• Berikan administrator kontrol penuh atas Deployment gateway, dan juga mudahkan operasi. Setelah upgrade baru tersedia atau konfigurasi telah berubah, administrator akan mengupdate Pod gateway dengan memulai ulang pod. Hal ini menjadikan pengalaman pengoperasian Deployment gateway sama dengan proxy operasi file bantuan untuk layanan Anda.

Men-deploy gateway contoh

Untuk mendukung pengguna dengan alat deployment yang ada, Cloud Service Mesh mendukung cara yang sama untuk men-deploy gateway seperti Istio: IstioOperator, Helm, dan YAML Kubernetes. Setiap metode memberikan hasil yang sama. Meskipun dapat memilih metode yang paling Anda pahami, sebaiknya gunakan metode YAML Kubernetes karena lebih mudah untuk dimodifikasi dan Anda dapat menyimpan manifes terhidrasi di kontrol sumber.

Langkah-langkah berikut menunjukkan cara men-deploy gateway contoh.

1. Buat namespace untuk gateway jika Anda belum memilikinya. Ganti GATEWAY_NAMESPACE dengan nama namespace Anda.

   kubectl create namespace GATEWAY_NAMESPACE
   

2. Mengaktifkan namespace untuk injeksi. Langkah-langkah bergantung pada penerapan bidang kontrol Anda.

   Terkelola (TD)

   1. Terapkan label injeksi default ke namespace:

   kubectl label namespace GATEWAY_NAMESPACE \
       istio.io/rev- istio-injection=enabled --overwrite
   

   Terkelola (Istiod)

   Direkomendasikan: Jalankan perintah berikut untuk menerapkan label injeksi default ke namespace:

     kubectl label namespace GATEWAY_NAMESPACE \
         istio.io/rev- istio-injection=enabled --overwrite
   

   Jika Anda adalah pengguna lama dengan bidang kontrol Istio yang Terkelola: Sebaiknya gunakan injeksi default, tetapi injeksi berbasis revisi didukung. Gunakan petunjuk berikut:

   1. Jalankan perintah berikut untuk menemukan saluran rilis yang tersedia:

      kubectl -n istio-system get controlplanerevision
      

      Outputnya mirip dengan hal berikut ini:

      NAME                AGE
      asm-managed-rapid   6d7h
      

      CATATAN: Jika dua revisi bidang kontrol muncul dalam daftar di atas, hapus salah satu. Memiliki beberapa saluran bidang kontrol dalam cluster tidak didukung.

      Pada output, nilai pada kolom NAME adalah label revisi yang sesuai dengan saluran rilis yang tersedia untuk versi Cloud Service Mesh.

   2. Terapkan label revisi ke namespace:

      kubectl label namespace GATEWAY_NAMESPACE \
          istio-injection- istio.io/rev=REVISION_LABEL --overwrite
      

   Dalam cluster

   Direkomendasikan: Jalankan perintah berikut untuk menerapkan label injeksi default ke namespace:

     kubectl label namespace GATEWAY_NAMESPACE \
         istio.io/rev- istio-injection=enabled --overwrite
   

   Sebaiknya gunakan injeksi default, tetapi injeksi berbasis revisi didukung: Gunakan petunjuk berikut:

   1. Gunakan perintah berikut untuk menemukan label revisi di istiod:

      kubectl get deploy -n istio-system -l app=istiod -o \
         jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}'
      

   2. Terapkan label revisi ke namespace. Dalam perintah berikut, REVISION_LABEL adalah nilai label revisi istiod yang Anda catat di langkah sebelumnya.

      kubectl label namespace GATEWAY_NAMESPACE \
          istio-injection- istio.io/rev=REVISION_LABEL --overwrite
      

3. Salin file konfigurasi untuk gateway contoh dari repositori anthos-service-mesh.

4. Ubah direktori Anda ke direktori samples. Untuk memastikan Anda berada di direktori yang benar, jalankan perintah ls untuk menampilkan konten direktori, lalu konfirmasi bahwa ada direktori gateways (yang akan Anda akses pada langkah berikutnya) dan direktori online-boutique.

5. Men-deploy gateway masuk atau keluar. File ini berada di direktori samples/gateways/ sebagaimana adanya, atau ubah sesuai kebutuhan.

   Masuk

   kubectl apply -n GATEWAY_NAMESPACE -f samples/gateways/istio-ingressgateway
   

   Traffic Keluar

   kubectl apply -n GATEWAY_NAMESPACE -f samples/gateways/istio-egressgateway
   

6. Setelah Anda membuat deployment, pastikan layanan baru berfungsi dengan benar:

   kubectl get pod,service -n GATEWAY_NAMESPACE
   

   Pastikan outputnya mirip dengan yang berikut ini:

   NAME                                      READY   STATUS    RESTARTS   AGE
   pod/istio-ingressgateway-856b7c77-bdb77   1/1     Running   0          3s
   
   NAME                           TYPE           CLUSTER-IP     EXTERNAL-IP      PORT(S)        AGE
   service/istio-ingressgateway   LoadBalancer   10.24.5.129    34.82.157.6      80:31904/TCP   3s

Kelola resource gateway seperti aplikasi Kubernetes lainnya. Contoh di repositori anthos-service-mesh-packages dimaksudkan sebagai panduan dan panduan memulai. Sesuaikan dengan kebutuhan Anda.

Pemilih gateway

Anda menerapkan konfigurasi Gateway ke proxy istio-ingressgateway dan istio-egressgateway guna mengelola traffic masuk dan keluar untuk mesh Anda, sehingga Anda dapat menentukan traffic mana yang ingin dimasukkan atau keluar dari mesh. Label pada Pod deployment gateway digunakan oleh resource konfigurasi Gateway, jadi pemilih Gateway Anda harus cocok dengan label ini.

Misalnya, dalam deployment sebelumnya, label istio=ingressgateway ditetapkan pada Pod gateway. Untuk menerapkan konfigurasi Gateway ke deployment ini, Anda harus memilih label yang sama:

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: gateway
spec:
  selector:
    istio: ingressgateway
...

Untuk melihat contoh konfigurasi Gateway dan Layanan Virtual, lihat frontend.yaml di aplikasi contoh Online Boutique.

Upgrade gateway

Upgrade di tempat

Untuk sebagian besar kasus penggunaan, Anda harus mengupgrade gateway dengan mengikuti pola upgrade yang diterapkan. Karena gateway menggunakan injeksi Pod, Pod gateway baru yang dibuat akan otomatis dimasukkan dengan konfigurasi terbaru, yang mencakup versi.

Jika ingin mengubah revisi bidang kontrol yang digunakan oleh gateway, Anda dapat menetapkan label istio.io/rev pada Deployment gateway, yang juga akan memicu mulai ulang berkelanjutan.

Bidang kontrol terkelola

Karena Google mengelola upgrade bidang kontrol untuk bidang kontrol terkelola, Anda cukup memulai ulang Deployment gateway dan pod baru akan otomatis dimasukkan dengan konfigurasi dan versi terbaru.

kubectl rollout restart deployment istio-ingressgateway \
  -n GATEWAY_NAMESPACE

Bidang kontrol dalam cluster

Untuk menerapkan pola yang sama ke gateway saat Anda memiliki bidang kontrol dalam cluster, Anda perlu mengubah revisi bidang kontrol yang digunakan oleh gateway. Menetapkan label istio.io/rev pada Deployment gateway yang akan memicu mulai ulang berkelanjutan. Langkah-langkah yang diperlukan bergantung pada apakah Anda perlu memperbarui label revisi di namespace dan/atau pod gateway.

• Jika Anda memberi label namespace untuk injeksi, tetapkan label istio.io/rev pada namespace ke nilai revisi baru:

    kubectl label namespace GATEWAY_NAMESPACE \
      istio-injection- istio.io/rev=REVISION \
      --overwrite
  

• Jika Anda mengaktifkan injeksi hanya untuk pod gateway, tetapkan label istio.io/rev pada Deployment ke nilai revisi baru seperti file YAML Kubernetes berikut:

  cat <<EOF > gateway-deployment.yaml
  apiVersion: apps/v1
  kind: Deployment
  metadata:
    name: istio-ingressgateway
    namespace: GATEWAY_NAMESPACE
  spec:
    selector:
      matchLabels:
        istio: ingressgateway
    template:
      metadata:
        annotations:
          # This is required to tell Cloud Service Mesh to inject the gateway with the
          # required configuration.
          inject.istio.io/templates: gateway
        labels:
          istio: ingressgateway
          istio.io/rev: REVISION
      spec:
        containers:
        - name: istio-proxy
          image: auto # The image will automatically update each time the pod starts.
  EOF
  
  kubectl apply -f gateway-deployment.yaml
  

  Catatan: Jika image tidak otomatis diupdate dengan image proxy Cloud Service Mesh yang sebenarnya, container tidak akan ditemukan dan error akan terjadi. Lihat Memecahkan masalah gateway untuk mengetahui langkah-langkah berikutnya.

Upgrade canary (lanjutan)

Jika Anda menggunakan bidang kontrol dalam cluster dan ingin lebih lambat mengontrol peluncuran revisi bidang kontrol baru, Anda dapat mengikuti pola upgrade canary. Anda dapat menjalankan beberapa versi Deployment gateway dan memastikan semuanya berfungsi seperti yang diharapkan dengan subset traffic Anda. Misalnya, jika ingin meluncurkan revisi baru, canary, buat salinan gateway Deployment Anda dengan label istio.io/rev=REVISION yang ditetapkan ke revisi baru dan nama baru, misalnya istio-ingressgateway-canary:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: istio-ingressgateway-canary
  namespace: GATEWAY_NAMESPACE
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  template:
    metadata:
      annotations:
        inject.istio.io/templates: gateway
      labels:
        istio: ingressgateway
        istio.io/rev: REVISION # Set to the control plane revision you want to deploy
    spec:
      containers:
      - name: istio-proxy
        image: auto

Catatan: Jika image tidak otomatis diupdate dengan image proxy Cloud Service Mesh yang sebenarnya, container tidak akan ditemukan dan error akan terjadi. Lihat Memecahkan masalah gateway untuk mengetahui langkah berikutnya.

Setelah Deployment ini dibuat, Anda akan memiliki dua versi gateway, keduanya dipilih oleh Service yang sama:

kubectl get endpoints -o "custom-columns=NAME:.metadata.name,PODS:.subsets[*].addresses[*].targetRef.name"

NAME                   PODS
istio-ingressgateway   istio-ingressgateway-788854c955-8gv96,istio-ingressgateway-canary-b78944cbd-mq2qf

Catatan: Tidak seperti layanan aplikasi yang di-deploy di dalam mesh, Anda tidak dapat menggunakan peralihan traffic Istio untuk mendistribusikan traffic di antara versi gateway karena traffic-nya berasal langsung dari klien eksternal yang tidak dikontrol oleh Istio. Sebagai gantinya, Anda dapat mengontrol distribusi traffic berdasarkan jumlah replika dari setiap Deployment. Jika menggunakan load balancer lain di depan Istio, Anda juga dapat menggunakannya untuk mengontrol distribusi traffic.

Jika puas karena aplikasi Anda berfungsi sesuai yang diharapkan, jalankan perintah ini untuk bertransisi ke versi baru dengan menghapus Deployment dengan kumpulan label istio.io/rev lama:

kubectl delete deploy/istio-ingressgateway -n GATEWAY_NAMESPACE

Jika mengalami masalah saat menguji aplikasi dengan gateway versi baru, jalankan perintah ini untuk beralih kembali ke versi lama dengan menghapus Deployment dengan kumpulan label istio.io/rev baru:

kubectl delete deploy/istio-ingressgateway-canary -n GATEWAY_NAMESPACE

Konfigurasi lanjutan

Mengonfigurasi versi TLS minimum gateway

Untuk Cloud Service Mesh, versi TLS minimum default untuk server gateway adalah 1.2. Anda dapat mengonfigurasi versi TLS minimum menggunakan kolom minProtocolVersion. Untuk mengetahui informasi selengkapnya, lihat ServerTLSSettings.

Fitur yang tidak didukung

Jika Anda memiliki penerapan bidang kontrol TRAFFIC_DIRECTOR, kolom atau nilai berikut di Gateway tidak didukung:

• ServerTLSSettings.TLSmode dengan nilai AUTO_PASSTHROUGH
• ServerTLSSettings.verifyCertificateSpki
• ServerTLSSettings.verifyCertificateHash

Memecahkan masalah gateway

Gagal memperbarui gambar gateway dari auto

Saat Anda men-deploy atau mengupgrade gateway, Cloud Service Mesh akan menyisipkan auto sebagai placeholder di kolom image. Setelah panggilan untuk mengubah webhook, Cloud Service Mesh otomatis mengganti placeholder ini dengan gambar proxy Cloud Service Mesh yang sebenarnya. Jika panggilan untuk mengubah webhook gagal, placeholder auto akan tetap ada, dan penampung tidak ditemukan. Hal ini biasanya disebabkan oleh label namespace yang salah. Pastikan Anda mengonfigurasi namespace yang benar, lalu men-deploy atau mengupgrade gateway lagi.