Panoramica di Cloud Service Mesh

Cloud Service Mesh è un mesh di servizi disponibile su Google Cloud e su piattaforme GKE Enterprise supportate. Supporta i servizi in esecuzione su un intervallo le infrastrutture di computing. Cloud Service Mesh è controllato dalle API progettato per Google Cloud, per l'open source o per entrambi.

Questo documento è rivolto a te se sei un nuovo utente di Cloud Service Mesh o sei ancora cliente di Anthos Service Mesh o Traffic Director.

Che cos'è un mesh di servizi?

Un mesh di servizi è un'architettura che consente una soluzione gestita, osservabile e sicura la comunicazione tra i servizi, semplificando la creazione di solide delle applicazioni aziendali composte da molti microservizi dell'infrastruttura. I mesh di servizi gestiscono i requisiti comuni di esecuzione come il monitoraggio, il networking e la sicurezza, con un servizio coerente e di sviluppo di servizi, permettendo a sviluppatori e operatori di servizi di concentrarsi più facilmente creando e gestendo applicazioni straordinarie per i propri utenti.

Dal punto di vista architetturale, un mesh di servizi è costituito da uno o più piani di controllo e da una piano dati. Il mesh di servizi monitora tutto il traffico in entrata e in uscita dai servizi. In Kubernetes, il deployment di un proxy viene eseguito pattern collaterale ai microservizi nel mesh. Su Compute Engine, puoi eseguire il deployment dei proxy sulle VM oppure utilizza gRPC senza proxy per il piano dati.

Questo pattern disaccoppia l'applicazione o l'attività logica dalle funzioni di rete e consente agli sviluppatori di concentrarsi sulle caratteristiche di cui l'azienda ha bisogno. I mesh di servizi consentono inoltre ai team operativi i team di sviluppo disaccoppiano il lavoro l'uno dall'altro.

L'architettura delle applicazioni come microservizi offre molti vantaggi. Tuttavia, i carichi di lavoro possono diventare più complessi e frammentati man mano che vengono scalati. Servizio aiuta a risolvere il problema di frammentazione e semplifica la gestione di microservizi.

Che cos'è Cloud Service Mesh?

Cloud Service Mesh è la soluzione di Google per Google Cloud e ambienti GKE Enterprise supportati.

  • Su Google Cloud: Cloud Service Mesh fornisce API che sono specifici per l'infrastruttura di computing su cui vengono eseguiti i carichi di lavoro.
  • Al di fuori di Google Cloud: con Distributed Cloud o GKE multi-cloud, Cloud Service Mesh supporta le API Istio per Kubernetes carichi di lavoro con scale out impegnativi.

Sia all'interno che all'esterno di Google Cloud, Cloud Service Mesh ti consente gestire, osservare e proteggere i servizi senza dover modificare il codice dell'applicazione.

Cloud Service Mesh riduce il lavoro manuale per le operazioni e lo sviluppo semplificando la fornitura dei servizi, dalla gestione del traffico alla rete per proteggere le comunicazioni tra i servizi. il servizio completamente gestito di Google mesh di servizi consente di gestire ambienti complessi e di godere dei vantaggi la promessa.

Funzionalità

Cloud Service Mesh include una suite di funzionalità per la gestione del traffico, osservabilità, telemetria e sicurezza.

Gestione del traffico

Cloud Service Mesh controlla il flusso di traffico tra i servizi nel dalla rete mesh (in entrata) e in servizi esterni (in uscita). Configura ed eseguire il deployment delle risorse per gestire questo traffico al livello dell'applicazione (L7). Per Ecco un esempio:

  • Utilizzare Service Discovery.
  • Configurare il bilanciamento del carico tra i servizi.
  • Creare deployment canary e blu/verde.
  • Controlla con precisione il routing per i tuoi servizi.
  • Configura gli interruttori di sicurezza.

Cloud Service Mesh gestisce un elenco di tutti i servizi nel mesh per nome e i rispettivi endpoint. Conserva questo elenco per gestire il flusso (ad esempio, indirizzi IP dei pod Kubernetes o indirizzi IP alle VM di Compute Engine in un gruppo di istanze gestite). Utilizzando il registro di servizio ed eseguendo i proxy uno accanto all'altro con può indirizzare il traffico all'endpoint appropriato. Carichi di lavoro gRPC senza proxy può essere utilizzato anche in parallelo con i carichi di lavoro utilizzando i proxy Envoy.

Insight sull'osservabilità

Interfaccia utente di Cloud Service Mesh nella console Google Cloud fornisce insight sul tuo mesh di servizi. Queste metriche vengono automaticamente generati per i carichi di lavoro configurati tramite le API Istio.

  • Metriche di servizio e log per il traffico HTTP all'interno dell'infrastruttura GKE del tuo mesh vengono importati automaticamente in Google Cloud.
  • Le dashboard di servizio preconfigurate ti forniscono le informazioni di cui hai bisogno a comprendere i tuoi servizi.
  • Telemetria approfondita basata su Cloud Monitoring, Cloud Logging e Cloud Trace: analizzare in dettaglio le metriche e i log dei tuoi servizi. Puoi filtrare e segmentare i tuoi dati su un'ampia varietà di attributi.
  • Le relazioni tra servizi ti consentono di comprendere a colpo d'occhio il servizio e chi si connette a ogni servizio.
  • Potete vedere rapidamente il livello di sicurezza della comunicazione, non solo ma le sue relazioni con altri servizi.
  • Gli obiettivi del livello di servizio (SLO) ti offrono insight sull'integrità del tuo i servizi di machine learning. Puoi definire uno SLO e inviare avvisi sui tuoi standard di servizio l'integrità fisica.

Scopri di più sulle funzionalità di osservabilità di Cloud Service Mesh nel nostro Guida all'osservabilità.

Vantaggi per la sicurezza

Cloud Service Mesh offre molti vantaggi in termini di sicurezza.

  • Riduce il rischio di attacchi di ripetizione o di impersonificazione che utilizzano le credenziali rubate. Cloud Service Mesh si basa su certificati TLS reciproci (mTLS) per Autenticare i peer anziché i token di connessione come i token web JSON (JWT).
  • Assicura la crittografia in transito. L'uso di mTLS per l'autenticazione garantisce inoltre tutte le comunicazioni TCP sono criptate in transito.
  • Riduce il rischio che clienti non autorizzati possano accedere a un servizio con dati sensibili, indipendentemente dalla località di rete del client e a livello di applicazione e credenziali.
  • Riduce il rischio di violazione dei dati utente all'interno della tua rete di produzione. Puoi garantire che gli addetti ai lavori possano accedere ai dati sensibili solo tramite client autorizzati.
  • Identifica i client che hanno eseguito l'accesso a un servizio con dati sensibili. Cloud Service Mesh il logging degli accessi acquisisce l'identità mTLS del client, oltre al Indirizzo IP.
  • Tutti i componenti del piano di controllo nel cluster utilizzano moduli di crittografia convalidati FIPS 140-2.

Scopri di più sui vantaggi e sulle funzionalità di sicurezza di Service Mesh nel Guida alla sicurezza.

Opzioni di relative al deployment

In Cloud Service Mesh hai le seguenti opzioni di deployment:

  • Su Google Cloud
    • Cloud Service Mesh gestito - piano dati e controllo gestito per GKE (consigliato)
    • Managed Cloud Service Mesh - Piano dati e controllo gestito per Compute Engine con VM (consigliato)
    • Piano di controllo nel cluster per GKE con API Istio (sconsigliato)
  • Fuori da Google Cloud
    • Piano di controllo nel cluster per Kubernetes con API Istio

Mesh di servizi cloud gestito

Managed Cloud Service Mesh è costituito dal piano di controllo gestito tutte le infrastrutture e il piano dati gestito per GKE. Con Managed Cloud Service Mesh, Google gestisce gli upgrade, la scalabilità la sicurezza, riducendo al minimo la manutenzione manuale dell'utente. Questo copre il controllo il piano dati, il piano dati e le risorse correlate.

Implementazione del piano dati

Se utilizzi le API Google Cloud, il tuo piano dati può essere fornito da Envoy da proxy o da applicazioni gRPC senza proxy. Se stai aggiornando un modello esistente un'applicazione, l'approccio basato su sidecar consente l'integrazione nel mesh senza modificare l'applicazione. Se vuoi evitare il sovraccarico della gestione puoi aggiornare l'applicazione in modo che utilizzi gRPC.

I proxy Envoy e gRPC senza proxy utilizzano entrambi l'API xDS per connettersi al controllo aereo. Se utilizzi gRPC senza proxy, hai la possibilità di scegliere tra le lingue supportate le tue applicazioni, tra cui Go, C++, Java e Python.

Se utilizzi API Istio open source, il tuo piano dati viene fornito da proxy Envoy.

Implementazione del piano di controllo

Il piano di controllo di Cloud Service Mesh dipende dal fatto che le tue risorse sia on sia fuori da Google Cloud e sia che tu sia un al cliente.

Implementazione del piano di controllo per gli utenti esistenti

Per determinare il piano di controllo attuale, vedi Identificare l'implementazione del piano di controllo. Per ulteriori informazioni per informazioni sui piani di controllo e sulla loro migrazione, consulta Panoramica del piano di controllo gestito per i clienti continui.

Implementazione del piano di controllo per i nuovi utenti

Migrazione del piano di controllo

Se sei un cliente Anthos Service Mesh continua e utilizzi le API Istio, il tuo di cluster avvierà la migrazione al piano di controllo Traffic Director. Puoi continuerà a utilizzare le API Istio per la configurazione.

Per determinare se i cluster utilizzano ancora il piano di controllo Istio o di cui è stata eseguita la migrazione al nuovo piano di controllo globale, Identificare l'implementazione del piano di controllo.

Passaggi successivi