istiod
como el plano de control y las diferencias entre cada implementación. Ten en cuenta que estas no son opciones que puedas elegir. La implementación de istiod
solo está disponible para los usuarios existentes.
Las instalaciones nuevas usan la implementación de Cloud Service Mesh.
Si deseas obtener la lista de las funciones compatibles de Cloud Service Mesh para un plano de control en el clúster, consulta Usa las APIs de Istio (plano de control istiod
en el clúster).
Si no sabes qué plano de control de Cloud Service Mesh estás usando, puedes verificar la implementación del plano de control mediante las instrucciones que se indican en
Cómo identificar la implementación del plano de control.
Limitaciones
Se aplica la siguiente limitación:
- Los clústeres de GKE deben estar en una de las regiones admitidas.
- La versión de GKE debe ser una versión compatible.
- Solo se admiten las plataformas que se mencionan en Entornos.
- No se admite el cambio de los canales de versiones.
- No se admiten las migraciones de
Cloud Service Mesh administrado con
asmcli
a Cloud Service Mesh con la API de flota. Del mismo modo, no se admite el aprovisionamiento de Cloud Service Mesh administrado con la API de flota de--management manual
a--management automatic
. - Las migraciones y las actualizaciones solo son compatibles con las versiones 1.9 o posteriores de Cloud Service Mesh en el clúster instaladas con la CA de Mesh. Las instalaciones con la CA de Istio (antes conocida como Citadel) primero se deben migrar a la CA de Mesh.
- El escalamiento se limita a 1,000 servicios y 5,000 cargas de trabajo por clúster.
- Solo se admite la opción de implementación de varias instancias para varios clústeres; no se admite la opción de implementación principal remota para varios clústeres.
istioctl ps
no es compatible. En su lugar, puedes usar los comandos degcloud beta container fleet mesh debug
como se describe en Solución de problemas.APIs no compatibles:
API
EnvoyFilter
API
WasmPlugin
API
IstioOperator
API
Kubernetes Ingress
API
Kubernetes Gateway
Puedes usar el plano de control administrado sin una suscripción a GKE Enterprise, pero ciertos elementos y funciones de la IU en Google Cloud Console solo están disponibles para los suscriptores de GKE Enterprise. Si deseas obtener información sobre lo que está disponible para suscriptores y no suscritos, consulta las diferencias en la IU de GKE Enterprise y Cloud Service Mesh.
Durante el proceso de aprovisionamiento de un plano de control administrado, las CRD de Istio correspondientes al canal seleccionado se instalan en el clúster especificado. Si hay CRD de Istio existentes en el clúster, se reemplazarán.
La malla de servicios administrados solo admite el dominio DNS predeterminado
.cluster.local
.A partir del 14 de noviembre de 2023, las instalaciones nuevas de Cloud Service Mesh administrado en el canal de versiones rápido recuperan JWKS solo mediante Envoy. Esto equivale a la opción
PILOT_JWT_ENABLE_REMOTE_JWKS=envoy
de Istio. En comparación con las instalaciones en los canales de versiones normales y estable, o las del canal de versiones rápido antes del 14 de noviembre de 2023, es posible que necesites parámetros de configuración adicionales deServiceEntry
yDestinationRule
. Para ver un ejemplo, consultarequestauthn-with-se.yaml.tmpl
.
Diferencias del plano de control
Existen diferencias en las funciones compatibles entre las implementaciones del plano de control de istiod
y Cloud Service Mesh. Para verificar qué implementación estás usando, consulta Identifica la implementación del plano de control.
- : Indica que la función está disponible y habilitada de forma predeterminada.
- †: Indica que las APIs de funciones pueden tener diferencias entre varias plataformas.
- *: Indica que la función es compatible con la plataforma y se puede habilitar, como se describe en Cómo habilitar funciones opcionales o en la guía de funciones vinculada en la tabla de funciones.
- §: Indica que la función es compatible con la lista de entidades permitidas. Comunícate con el equipo de Asistencia de Google Cloud para solicitar acceso.
- : Indica que la función no está disponible o no se admite.
Las funciones predeterminadas y opcionales tienen una compatibilidad total con la asistencia de Google Cloud. Las funciones que no aparecen en las tablas de manera explícita reciben la mejor asistencia posible.
Qué determina la implementación del plano de control
Cuando aprovisionas Cloud Service Mesh administrado la primera vez en una flota, determinamos qué implementación del plano de control usar. Se usa la misma implementación para todos los clústeres que aprovisionan Cloud Service Mesh administrado en esa flota.
Las flotas nuevas que se integran a Cloud Service Mesh administrado reciben la implementación del plano de control de TRAFFIC_DIRECTOR
, con ciertas excepciones:
- Si eres usuario existente de Cloud Service Mesh administrado, recibirás la implementación del plano de control
ISTIOD
cuando incorpores una flota nueva en la misma organización de Google Cloud a Cloud Service Mesh administrado, hasta al menos el 24 de junio de 2024. Si eres uno de esos usuarios, puedes comunicarte con el equipo de asistencia para perfeccionar este comportamiento. - Si algún clúster de tu flota usa Certificate Authority Service cuando aprovisionas Cloud Service Mesh administrado, recibirás la implementación del plano de control de
ISTIOD
. Antes de la integración con Certificate Authority Service por primera vez, comunícate con el equipo de asistencia para descubrir las formas de reducir la carga de la migración del plano de control en el futuro. - Si algún clúster de la flota contiene un plano de control de Cloud Service Mesh dentro del clúster cuando aprovisiones Cloud Service Mesh administrado, recibirás la implementación del plano de control
ISTIOD
. - Si algún clúster de tu flota usa GKE Sandbox, cuando aprovisiones Cloud Service Mesh administrado, recibirás la implementación del plano de control
ISTIOD
.
Identifica la implementación del plano de control
Ejecuta el siguiente comando para identificar la implementación del plano de control:
gcloud container fleet mesh describe --project FLEET_PROJECT_ID
Ten en cuenta que, si usas Cloud Service Mesh con las APIs de Google Cloud (consulta Acerca de Cloud Service Mesh), este comando no funcionará.
El resultado es similar al siguiente:
...
membershipSpecs:
projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
mesh:
management: MANAGEMENT_AUTOMATIC
membershipStates:
projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
servicemesh:
controlPlaneManagement:
details:
- code: REVISION_READY
details: 'Ready: asm-managed'
state: ACTIVE
implementation: TRAFFIC_DIRECTOR
...
Los valores posibles implementation
son los siguientes:
TRAFFIC_DIRECTOR
: La infraestructura principal de Google Cloud funciona como el plano de control de Cloud Service Mesh.ISTIOD
: La instancia administrada deistiod
funciona como el plano de control de Cloud Service Mesh.UPDATING
: El clúster se está migrando entre implementaciones. Pronto tendrás la implementación deTRAFFIC_DIRECTOR
.
Funciones admitidas por el plano de control administrado
Instalación, actualización y reversión
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Instalación en clústeres de GKE mediante la API de la función de flota | ||
Actualizaciones de las versiones de ASM 1.9 que usan CA de Mesh | ||
Actualizaciones directas (a nivel de omisión) de las versiones de Cloud Service Mesh anteriores a la 1.9 (consulta las notas sobre actualizaciones indirectas) | ||
Actualizaciones directas (nivel de omisión) de Istio OSS (consulta las notas para las actualizaciones indirectas) | ||
Actualizaciones directas (nivel de omisión) del complemento Istio-on-GKE (consulta las notas para las actualizaciones indirectas) | ||
Habilita funciones opcionales |
Entornos
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
GKE 1.25 a 1.27 en una de las regiones compatibles | ||
Clústeres de GKE 1.25-1.27 con Autopilot | ||
Entornos fuera de Google Cloud (GKE Enterprise local, GKE Enterprise en otras nubes públicas, Amazon EKS, Microsoft AKS y otros clústeres de Kubernetes) |
Escalabilidad
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
1,000 servicios y 5,000 cargas de trabajo por clúster | ||
50 ServicePorts por malla y 36 Pods por ServicePort |
Entorno de plataforma
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Una sola red | ||
Varias redes | ||
Un solo proyecto | ||
Varios proyectos con VPC compartida |
Implementación de varios clústeres
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Principales múltiples | ||
Control principal | ||
Descubrimiento de extremos de varios clústeres con una API declarativa | ||
Descubrimiento de extremos de varios clústeres con secretos remotos |
Notas sobre la terminología
- Una configuración de varias instancias principales implica que la configuración debe replicarse en todos los clústeres.
- Una configuración primaria-remota significa que un solo clúster contiene la configuración y se considera la fuente de información.
- Cloud Service Mesh usa una definición simplificada de red basada en la conectividad general. Las instancias de carga de trabajo están en la misma red si pueden comunicarse de forma directa, sin una puerta de enlace.
Imágenes base
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Imagen de proxy distroless | † |
† La malla de servicios de Cloud con un plano de control administrado (TD) solo admite el tipo de imagen distroless. No puedes cambiarla.
Ten en cuenta que las imágenes distroless tienen objetos binarios mínimos, por lo que no puedes ejecutar los comandos habituales como Bash o curl porque no están presentes en la imagen distroless. Sin embargo, puedes usar contenedores efímeros para conectarte a un Pod de carga de trabajo en ejecución y poder inspeccionarlo y ejecutar comandos personalizados. Por ejemplo, consulta Recopila registros de Cloud Service Mesh.
Seguridad
Controles del servicio de VPC
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Vista previa de los Controles del servicio de VPC | ||
DG de Controles del servicio de VPC |
Mecanismos de distribución y rotación de certificados
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Administración de certificados de cargas de trabajo | ||
Administración de certificados externos en puertas de enlace de entrada y salida. |
Compatibilidad con autoridad certificada (CA)
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Autoridad certificadora de Cloud Service Mesh | ||
Certificate Authority Service | ||
CA de Istio | ||
Integración con CA personalizadas |
Funciones de seguridad
Además de ser compatible con las funciones de seguridad de Istio, Cloud Service Mesh proporciona aún más capacidades para ayudarte a proteger tus aplicaciones.
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Integración de IAP | ||
Autenticación del usuario final | ||
Modo de ejecución de prueba | ||
Registro de denegación | ||
Políticas de auditoría (no compatibles) |
Política de autorización
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Política de autorización de v1beta1 | † | |
Política de autorización CUSTOM | § |
† La implementación del plano de control de Cloud Service Mesh no admite los campos rules.from.source.RemoteIp
y rules.from.source.NotRemoteIp
.
Autenticación entre pares
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Auto-mTLS | ||
Modo PERMISSIVE de mTLS | ||
Modo STRICT de mTLS | * | * |
Modo INHABILITADO DE mTLS |
Autenticación de solicitudes
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Autenticación de JWT (Nota 1) | ||
Enrutamiento basado en reclamaciones de JWT | ||
Reclamación de copia de JWT para los encabezados |
Notas:
- JWT de terceros está habilitado de forma predeterminada.
- Agrega el fqdn/nombre de host completo a JWKSURI mientras defines la API de RequestAuthentication.
- El plano de control administrado aplica de manera forzosa a Envoy que recupere JWKS cuando se especifica el URI de JWKS.
Telemetría
Métricas
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Cloud Monitoring (métricas en el proxy de HTTP) | ||
Cloud Monitoring (métricas en el proxy de TCP) | ||
Exportación de métricas de Prometheus a Grafana (solo métricas de Envoy) | * | * |
Exportación de métricas de Prometheus a Kiali | ||
Google Cloud Managed Service para Prometheus, sin incluir el panel de Cloud Service Mesh | * | * |
API de telemetría de Istio | † | |
Adaptadores y backends personalizados, dentro o fuera del proceso | ||
Telemetría arbitraria y backends de registro |
† El plano de control de Cloud Service Mesh admite un subconjunto de la API de telemetría de Istio que se usa para configurar registros de acceso y trace.
Registro de solicitudes de proxy
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Registros de tráfico | ||
Registros de acceso | * | * |
Trace
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Cloud Trace | * | * |
Seguimiento de Jaeger (permite el uso de Jaeger administrado por el cliente) | Compatible | |
Seguimiento de Zipkin (permite el uso de Zipkin administrado por el cliente) | Compatible |
Herramientas de redes
Mecanismos de intercepción de tráfico y redireccionamiento
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Uso tradicional de iptables mediante contenedores init con CAP_NET_ADMIN |
||
Interfaz de red de contenedor (CNI) de Istio | ||
Sidecar de caja blanca |
Compatibilidad con protocolos
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
IPv4 | ||
HTTP/1.1 | ||
HTTP/2 | ||
Transmisiones de bytes de TCP (Nota 1) | ||
gRPC | ||
IPv6 |
Notas:
- Aunque TCP es un protocolo compatible con redes y se recopilan métricas de TCP, no se informan. Las métricas solo se muestran para los servicios HTTP en la consola de Google Cloud.
- No se admiten los servicios configurados con funciones de la capa 7 para los siguientes protocolos: WebSocket, MongoDB, Redis, Kafka, Cassandra, RabbitMQ y Cloud SQL. Es posible que puedas hacer que el protocolo funcione mediante la compatibilidad con la transmisión de bytes de TCP. Si la transmisión de bytes de TCP no es compatible con el protocolo (por ejemplo, Kafka envía una dirección de redireccionamiento en una respuesta específica del protocolo y este redireccionamiento no es compatible con la lógica de enrutamiento de Cloud Service Mesh), el protocolo no es compatible.
Implementaciones de Envoy
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Sidecars | ||
Puerta de enlace de entrada | ||
Salida directa desde sidecars | ||
Salida mediante puertas de enlace de salida | * | * |
Compatibilidad con CRD
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Recurso de sidecar | ||
Recurso de entrada del servicio | ||
Porcentajes, inserción de errores, coincidencias de rutas de acceso, redireccionamientos, reintentos, reescrituras, tiempo de espera, reintentos, duplicaciones, manipulación de encabezados y reglas de enrutamiento de CORS | ||
API de “EnvoyFilter” | § | |
API de "WasmPlugin" | ||
Operador de Istio |
Balanceador de cargas para la puerta de enlace de entrada de Istio
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Balanceador de cargas externo de terceros | ||
Balanceador de cargas interno de Google Cloud | * | * |
Puerta de enlace de Cloud de la malla de servicios
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Puerta de enlace de Cloud de la malla de servicios |
Políticas de balanceo de cargas
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Round robin | ||
Conexiones mínimas | ||
Aleatorio | ||
Transferencia | ||
Hash coherente | ||
Localidad |
Entrada de servicio
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
ServiceEntry v1beta1 | † |
† La implementación del plano de control de Cloud Service Mesh no admite los siguientes campos y valores:
- Campo
workloadSelector
- Campo
endpoints[].network
- Campo
endpoints[].locality
- Campo
endpoints[].weight
- Campo
endpoints[].serviceAccount
- Valor
DNS_ROUND_ROBIN
en el camporesolution
- Valor
MESH_INTERNAL
en el campolocation
- Dirección del socket de dominio Unix en el campo
endpoints[].address
Regla de destino
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
DestinationRule v1beta1 | † |
† La implementación del plano de control de Cloud Service Mesh no admite los campos trafficPolicy.loadBalancer.localityLbSetting
y trafficPolicy.tunnel
.
Además, la implementación del plano de control de Cloud Service Mesh requiere que la regla de destino que define subconjuntos esté en el mismo espacio de nombres y clúster con el servicio de Kubernetes o ServiceEntry.
Sidecar
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Archivo adicional v1beta1 | † |
† La implementación del plano de control de Cloud Service Mesh no admite los siguientes campos y valores:
- Campo
ingress
- Campo
egress.port
- Campo
egress.bind
- Campo
egress.captureMode
- Campo
inboundConnectionPool
MeshConfig
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
LocalityLB | § | |
ExtensionProviders | § | |
CACert | ||
ImageType: distroless | § | |
OutboundTrafficPolicy | § | |
defaultProviders.accessLogging | ||
defaultProviders.tracing | ||
defaultConfig.tracing.stackdriver | § | |
accessLogFile | § |
ProxyConfig
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Proxy de DNS (ISTIO_META_DNS_CAPTURE, ISTIO_META_DNS_AUTO_ALLOCATE) | ||
Compatibilidad con HTTP/1.0 (ISTIO_META_NETWORK) | ||
Selección de imágenes (distroless o imagen base) | † |
† La imagen sin distro se usa para la inyección.
Regiones
Los clústeres de GKE deben estar en una de las siguientes regiones o en cualquier zona de las siguientes regiones.
Región | Ubicación |
---|---|
asia-east1 |
Taiwán |
asia-east2 |
Hong Kong |
asia-northeast1 |
Tokio, Japón |
asia-northeast2 |
Osaka, Japón |
asia-northeast3 |
Corea del Sur |
asia-south1 |
Bombay, India |
asia-south2 |
Delhi, India |
asia-southeast1 |
Singapur |
asia-southeast2 |
Yakarta |
australia-southeast1 |
Sídney, Australia |
australia-southeast2 |
Melbourne, Australia |
europe-central2 |
Polonia |
europe-north1 |
Finlandia |
europe-southwest1 |
España |
europe-west1 |
Bélgica |
europe-west2 |
Inglaterra |
europe-west3 |
Fráncfort, Alemania |
europe-west4 |
Países Bajos |
europe-west6 |
Suiza |
europe-west8 |
Milán, Italia |
europe-west9 |
Francia |
europe-west10 |
Berlín, Alemania |
europe-west12 |
Turín, Italia |
me-central1 |
Doha |
me-central2 |
Dammam, Arabia Saudita |
me-west1 |
Tel Aviv |
northamerica-northeast1 |
Montreal, Canadá |
northamerica-northeast2 |
Toronto, Canadá |
southamerica-east1 |
Brasil |
southamerica-west1 |
Chile |
us-central1 |
Iowa |
us-east1 |
Carolina del Sur |
us-east4 |
Virginia del Norte |
us-east5 |
Ohio |
us-south1 |
Dallas |
us-west1 |
Oregón |
us-west2 |
Los Ángeles |
us-west3 |
Salt Lake City |
us-west4 |
Las Vegas |
Interfaz de usuario
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Paneles de Cloud Service Mesh en la consola de Google Cloud | ||
Cloud Monitoring | ||
Cloud Logging |
Herramientas
Atributo | Gestionada (TD) | Administrado (istiod) |
---|---|---|
Herramienta de gcloud beta container fleet mesh debug |