Anthos Service Mesh と Traffic Director は Cloud Service Mesh になりました。詳細については、Cloud Service Mesh の概要をご覧ください。

Istio API を使用したサポートされている機能（マネージドコントロールプレーン）

このページでは、コントロールプレーンとして TRAFFIC_DIRECTOR または ISTIOD を使用する Cloud Service Mesh でサポートされている機能と制限事項と、各実装の違いについて説明します。これは選択できるオプションではないことに留意してください。ISTIOD の実装は、既存のユーザーにのみ使用できます。新規インストールでは、可能な場合、TRAFFIC_DIRECTOR の実装を使用します。

クラスタ内コントロールプレーンの Cloud Service Mesh でサポートされている機能の一覧については、Istio API の使用（クラスタ内 istiod コントロールプレーン）をご覧ください。使用している Cloud Service Mesh コントロールプレーンがわからない場合は、コントロールプレーンの実装を特定するの手順に沿ってコントロールプレーンの実装を確認できます。

制限事項

次の制限が適用されます。

GKE クラスタは、サポートされているリージョンのいずれかに存在する必要があります。
GKE のバージョンは、サポートされているバージョンである必要があります。
環境に記載されているプラットフォームのみがサポートされています。
リリースチャンネルの変更はサポートされていません。
asmcli を含むマネージド Cloud Service Mesh から Fleet API を含む Cloud Service Mesh への移行はサポートされていません。同様に、Fleet API を含むマネージド Cloud Service Mesh の --management manual から --management automatic へのプロビジョニングもサポートされていません。
移行とアップグレードは、Mesh CA を使用してインストールされた、クラスタ内 Cloud Service Mesh のバージョン 1.9 以降でのみサポートされています。Istio CA（旧称 Citadel）を使用してインストールする場合は、先に Mesh CA に移行する必要があります。
スケールはクラスタあたり 1,000 個のサービスと 5,000 個のワークロードに制限されています。
マルチクラスタの場合、マルチプライマリデプロイオプションのみがサポートされています。マルチクラスタのプライマリリモートデプロイオプションはサポートされていません。
istioctl ps はサポートされていません。代わりに、トラブルシューティングで説明されているように、gcloud beta container fleet mesh debug コマンドを使用できます。
サポートされていない　API:
- EnvoyFilter API
- WasmPlugin API
- IstioOperator API
- Kubernetes Ingress API
注: IstioOperator API を使用せずにオプション機能を有効にすることもできます。詳しくは、マネージド Cloud Service Mesh でオプション機能を有効にするをご覧ください。asmcli に含まれる移行ツールを使用して、他の IstioOperator オプション機能を自動的に変換し、マネージドコントロールプレーンとの互換性を持たせることもできます。詳しくは、IstioOperator から移行するをご覧ください。
GKE Enterprise に登録しなくてもマネージドコントロールプレーンを使用できますが、Google Cloud コンソールの一部の UI 要素と機能は、GKE Enterprise のサブスクライバーのみが使用できます。サブスクライバーと非サブスクライバーが使用できる機能については、GKE Enterprise と Cloud Service Mesh の UI の違いをご覧ください。
マネージドコントロールプレーンのプロビジョニングプロセス中に、選択したチャネルに対応する Istio CRD が指定のクラスタにインストールされます。クラスタに既存の Istio CRD が存在している場合、それらは上書きされます。
マネージド Cloud Service Mesh は、デフォルトの DNS ドメイン .cluster.local のみをサポートします。
2023 年 11 月 14 日以降、Rapid リリースチャンネルでマネージド Cloud Service Mesh を新規インストールすると、Envoy のみを使用して JWKS が取得されます。これは PILOT_JWT_ENABLE_REMOTE_JWKS=envoy Istio オプションと同等です。Regular および Stable リリースチャンネルでのインストール、または 2023 年 11 月 14 日より前の Rapid リリースチャンネルでのインストールとは異なり、追加の ServiceEntry および DestinationRule 構成が必要になる場合があります。例については、requestauthn-with-se.yaml.tmpl をご覧ください。

コントロールプレーンの違い

ISTIOD コントロールプレーンと TRAFFIC_DIRECTOR コントロールプレーンの実装では、サポートされる機能が異なります。使用している実装を確認するには、コントロールプレーンの実装を特定するをご覧ください。

– 機能が利用可能で、デフォルトで有効になっていることを示します。
† - 機能 API がプラットフォームによって異なる可能性があることを示します。
* - 機能がプラットフォームでサポートされていることを示します。有効にする手順は、オプション機能の有効化または機能の表にリンクされている機能ガイドに記載されています。
§ - 許可リストでサポートされている機能であることを示します。マネージド Anthos Service Mesh の以前のユーザーは、組織レベルで自動的に許可リストに登録されます。アクセスをリクエストするか、許可リストのステータスを確認するには、Google Cloud サポートにお問い合わせください。
– 機能が利用できないか、サポートされていないことを示します。

デフォルト機能とオプション機能は、Google Cloud サポートで完全にサポートされています。表に記載されていない機能はベストエフォート型のサポートになります。

コントロールプレーンの実装を決定するもの

マネージド Cloud Service Mesh をフリートで初めてプロビジョニングするときに、使用するコントロールプレーンの実装が決定されます。そのフリートでマネージド Cloud Service Mesh をプロビジョニングするすべてのクラスタで、同じ実装が使用されます。

マネージド Cloud Service Mesh にオンボーディングする新しいフリートは、特定の例外を除き、TRAFFIC_DIRECTOR コントロールプレーンの実装を受け取ります。

既存のマネージド Cloud Service Mesh ユーザーの場合、少なくとも 2024 年 6 月 30 日までは、同じ Google Cloud 組織内の新しいフリートをマネージド Cloud Service Mesh にオンボーディングすると、ISTIOD コントロールプレーンの実装が表示されます。これらのユーザーである場合、この動作をファインチューニングするにはサポートにお問い合わせください。既存の使用方法が変更なしの TRAFFIC_DIRECTOR 実装に対応していないユーザーには、2024 年 9 月 8 日まで ISTIOD 実装が引き続き提供されます。（こうしたユーザーにサービスに関するお知らせが届きます。）
マネージド Cloud Service Mesh をプロビジョニングする際にフリートのいずれかのクラスタで Certificate Authority Service を使用する場合、ISTIOD コントロールプレーンの実装を受け取ります。
マネージド Cloud Service Mesh をプロビジョニングする際にフリートのいずれかのクラスタにクラスタ内 Cloud Service Mesh コントロールプレーンが含まれている場合、ISTIOD コントロールプレーンの実装を受け取ります。
マネージド Cloud Service Mesh をプロビジョニングする際にフリートのいずれかのクラスタで GKE Sandbox を使用する場合、ISTIOD コントロールプレーンの実装を受け取ります。

マネージドコントロールプレーンでサポートされている機能

インストール、アップグレード、ロールバック

機能	マネージド（TD）	マネージド（istiod）
フリート機能 API を使用した GKE クラスタへのインストール
Mesh CA を使用する ASM 1.9 バージョンからアップグレード
1.9 より前のバージョンの Cloud Service Mesh から直接（スキップレベル）アップグレード（間接的なアップグレードに関する注意事項を参照）
Istio OSS からの直接（スキップレベル）アップグレード（間接アップグレードに関する注意事項を参照）
Istio-on-GKE アドオンから直接（スキップレベル）アップグレード（間接アップグレードに関する注意事項を参照）
オプション機能の有効化

環境

機能	マネージド（TD）	マネージド（istiod）
サポート対象のいずれかのリージョンの GKE 1.25～1.27
Autopilot の GKE 1.25～1.27 クラスタ
Google Cloud 以外の環境（GKE Enterprise オンプレミス、他のパブリッククラウドの GKE Enterprise、Amazon EKS、Microsoft AKS、その他の Kubernetes クラスタ）

スケール

機能	マネージド（TD）	マネージド（istiod）
クラスタあたり 1,000 個のサービスと 5,000 個のワークロード
メッシュあたり 50 個の Headless Service Port、Headless ServicePort あたり 36 個の Pod

プラットフォーム環境

機能	マネージド（TD）	マネージド（istiod）
単一ネットワーク
マルチネットワーク
単一プロジェクト
共有 VPC を使用したマルチプロジェクト

マルチクラスタデプロイ

機能	マネージド（TD）	マネージド（istiod）
マルチプライマリ
プライマリリモート
宣言型 API を使用したマルチクラスタエンドポイントの検出
リモートシークレットを使用したマルチクラスタエンドポイントディスカバリ

用語に関する注意事項

マルチプライマリ構成とは、すべてのクラスタでその構成を複製する必要があることを意味います。
プライマリリモート構成とは、単一のクラスタにその構成が含まれ、信頼できる送信元と見なされることを意味します。
Cloud Service Mesh では、一般的な接続に基づいて、簡素化されたネットワーク定義を使用しています。ワークロードインスタンスは、ゲートウェイなしで直接通信できる場合は同じネットワーク上に存在します。

ベースイメージ

機能	マネージド（TD）	マネージド（istiod）
Distroless プロキシイメージ	†

† マネージド（TD）コントロールプレーンを備えた Cloud Service Mesh は、distroless イメージタイプのみをサポートします。これは変更できません。

distroless イメージのバイナリは最小限であり、distroless イメージには存在しないため、bash や curl などの通常のコマンドを実行できません。ただし、エフェメラルコンテナを使用して実行中のワークロード Pod に接続し、Pod を検査してカスタムコマンドを実行できます。たとえば、Cloud Service Mesh ログの収集をご覧ください。

セキュリティ

VPC Service Controls

機能	マネージド（TD）	マネージド（istiod）
VPC Service Controls プレビュー
VPC Service Controls GA

証明書の配布とローテーションのメカニズム

機能	マネージド（TD）	マネージド（istiod）
ワークロード証明書の管理
Ingress ゲートウェイと Egress ゲートウェイでの外部証明書の管理。

認証局（CA）のサポート

機能	マネージド（TD）	マネージド（istiod）
Cloud Service Mesh 認証局
Certificate Authority Service
Istio CA
カスタム CA との統合

セキュリティ機能

Cloud Service Mesh は、Istio のセキュリティ機能をサポートしているだけでなく、アプリケーションの保護に役立つ機能をさらに提供します。

機能	マネージド（TD）	マネージド（istiod）
IAP の統合
エンドユーザー認証
ドライランモード
拒否ロギング
監査ポリシー（サポート対象外）

認可ポリシー

機能	マネージド（TD）	マネージド（istiod）
認証 v1beta1 ポリシー	†
CUSTOM 認可ポリシー	§

† TRAFFIC_DIRECTOR コントロールプレーンの実装では、rules.from.source.RemoteIp フィールドと rules.from.source.NotRemoteIp フィールドはサポートされていません。

ピア認証

機能	マネージド（TD）	マネージド（istiod）
自動 mTLS
mTLS PERMISSIVE モード
mTLS の STRICT モード	*	*
mTLS 無効モード

認証のリクエスト

機能	マネージド（TD）	マネージド（istiod）
JWT 認証^{（注 1）}
JWT Claim Based Routing
JWT Copy Claim to Headers

注:

サードパーティの JWT はデフォルトで有効になっています。
RequestAuthentication API を定義するときに、完全な fqdn/ホスト名を JWKSURI に追加します。
マネージドコントロールプレーンでは、JWKS URI を指定するときに Envoy が JWKS を取得します。

Telemetry

指標

機能	マネージド（TD）	マネージド（istiod）
Cloud Monitoring（HTTP プロキシ内指標）
Cloud Monitoring（TCP プロキシ内指標）
Prometheus 指標の Grafana へのエクスポート（Envoy 指標のみ）	*	*
Prometheus の指標を Kiali にエクスポート
Google Cloud Managed Service for Prometheus（Cloud Service Mesh ダッシュボード以外）	*	*
Istio Telemetry API	†
カスタムアダプタ / バックエンド（プロセス内またはプロセス外）
任意のテレメトリーとロギングバックエンド

† TRAFFIC_DIRECTOR コントロールプレーンは、アクセスログとトレースの構成に使用される Istio テレメトリー API のサブセットをサポートしています。

プロキシリクエストのロギング

機能	マネージド（TD）	マネージド（istiod）
トラフィックログ
アクセスログ	*	*

トレース

機能	マネージド（TD）	マネージド（istiod）
Cloud Trace	*	*
Jaeger トレース（顧客管理の Jaeger の使用を許可する）		互換
Zipkin トレース（顧客管理の Zipkin の使用を許可する）		互換

ネットワーキング

トラフィックのインターセプトとリダイレクトのメカニズム

機能	マネージド（TD）	マネージド（istiod）
`CAP_NET_ADMIN` と `init` コンテナを使用する `iptables` の従来のユースケース
Istio Container Network Interface（CNI）
ホワイトボックスサイドカー

プロトコルサポート

機能	マネージド（TD）	マネージド（istiod）
IPv4
HTTP/1.1
HTTP/2
TCP バイトストリーム（注 1）
gRPC
IPv6	†

注:

TCP はネットワーキング対応のプロトコルで、TCP 指標は収集されますが、報告されません。指標は、Google Cloud コンソール内の HTTP サービスにのみ表示されます。
レイヤ 7 機能で WebSocket、MongoDB、Redis、Kafka、Cassandra、RabbitMQ、Cloud SQL のプロトコル向けに構成されているサービスはサポートされません。TCP バイトストリームのサポートを使用して、プロトコルを機能させることができます。TCP バイトストリームがプロトコルをサポートできない場合（たとえば、Kafka がプロトコル固有の応答でリダイレクトアドレスを送信し、このリダイレクトが Cloud Service Mesh のルーティングロジックに対応していない場合）、プロトコルはサポートされません。
† IPv6 は、デュアルスタックネットワーキングのプレビュー機能として使用できます。プロキシレス gRPC では、デュアルスタック機能は C++ と Python の gRPC 1.66.1 以降でのみサポートされています。デュアルスタックをサポートしていないバージョンの gRPC でデュアルスタック機能を構成しようとすると、クライアントは Traffic Director から送信された最初のアドレスのみを使用します。

Envoy のデプロイ

機能	マネージド（TD）	マネージド（istiod）
サイドカー
Ingress ゲートウェイ
サイドカーから直接の下り（外向き）
Egress ゲートウェイを使用した下り（外向き）	*	*

CRD サポート

機能	マネージド（TD）	マネージド（istiod）
サイドカーリソース
サービスエントリリソース
割合、フォールトインジェクション、パスマッチング、リダイレクト、再試行、書き換え、タイムアウト、再試行、ミラーリング、ヘッダー操作、CORS ルーティングルール
「EnvoyFilter」API	§
wamPlugin API
Istio Operator

Istio Ingress ゲートウェイのロードバランサ

機能	マネージド（TD）	マネージド（istiod）
サードパーティの外部ロードバランサ
Google Cloud 内部ロードバランサ	*	*

サービスメッシュクラウドゲートウェイ

機能	マネージド（TD）	マネージド（istiod）
サービスメッシュクラウドゲートウェイ

Kubernetes Gateway API

機能	マネージド（TD）	マネージド（istiod）
Kubernetes Gateway API

負荷分散ポリシー

機能	マネージド（TD）	マネージド（istiod）
ラウンドロビン
最小接続
ランダム
パススルー
コンシステントハッシュ
局所性

サービスエントリ

機能	マネージド（TD）	マネージド（istiod）
ServiceEntry v1beta1	†

† TRAFFIC_DIRECTOR コントロールプレーンの実装では、次のフィールドとフィールド内の値はサポートされていません。

workloadSelector フィールド
endpoints[].network フィールド
endpoints[].locality フィールド
endpoints[].weight フィールド
endpoints[].serviceAccount フィールド
resolution フィールドの DNS_ROUND_ROBIN 値
location フィールドの MESH_INTERNAL 値
endpoints[].address フィールドの Unix ドメインソケットアドレス
subjectAltNames フィールド

宛先ルール

機能	マネージド（TD）	マネージド（istiod）
宛先ルール v1beta1	†

† TRAFFIC_DIRECTOR コントロールプレーンの実装では、trafficPolicy.loadBalancer.localityLbSetting フィールドと trafficPolicy.tunnel フィールドはサポートされていません。また、TRAFFIC_DIRECTOR コントロールプレーンの実装では、サブセットを定義する宛先ルールは、Kubernetes Service または ServiceEntry と同じ名前空間とクラスタに存在する必要があります。

Sidecar

機能	マネージド（TD）	マネージド（istiod）
Sidecar v1beta1	†