Funciones admitidas mediante las APIs de Istio (plano de control administrado)

{b> En esta página, se describen las funciones y limitaciones admitidas para Cloud Service Mesh mediante el uso de Cloud Service Mesh o istiod como el plano de control y las diferencias entre cada implementación. Ten en cuenta que estas no son opciones que puedas elegir. La implementación de istiod solo está disponible para los usuarios existentes. Las instalaciones nuevas usan la implementación de Cloud Service Mesh.

Si deseas obtener la lista de las funciones compatibles de Cloud Service Mesh para un plano de control en el clúster, consulta Usa las APIs de Istio (plano de control istiod en el clúster). Si no sabes qué plano de control de Cloud Service Mesh estás usando, puedes verificar la implementación del plano de control mediante las instrucciones que se indican en Cómo identificar la implementación del plano de control.

Limitaciones

Precaución: Todos los clústeres de Cloud Service Mesh de una malla deben estar registrados en la misma flota en todo momento para poder usar Cloud Service Mesh. Otros clústeres del proyecto de un clúster de Cloud Service Mesh no se deben registrar en una flota diferente.

Se aplica la siguiente limitación:

• Los clústeres de GKE deben estar en una de las regiones admitidas.
• La versión de GKE debe ser una versión compatible.
• Solo se admiten las plataformas que se mencionan en Entornos.
• No se admite el cambio de los canales de versiones.
• No se admiten las migraciones de Cloud Service Mesh administrado con asmcli a Cloud Service Mesh con la API de flota. Del mismo modo, no se admite el aprovisionamiento de Cloud Service Mesh administrado con la API de flota de --management manual a --management automatic.
• Las migraciones y las actualizaciones solo son compatibles con las versiones 1.9 o posteriores de Cloud Service Mesh en el clúster instaladas con la CA de Mesh. Las instalaciones con la CA de Istio (antes conocida como Citadel) primero se deben migrar a la CA de Mesh.
• El escalamiento se limita a 1,000 servicios y 5,000 cargas de trabajo por clúster.
• Solo se admite la opción de implementación de varias instancias para varios clústeres; no se admite la opción de implementación principal remota para varios clústeres.
• istioctl ps no es compatible. En su lugar, puedes usar los comandos de gcloud beta container fleet mesh debug como se describe en Solución de problemas.

• APIs no compatibles:

  • API EnvoyFilter

  • API WasmPlugin

  • API IstioOperator

  • API Kubernetes Ingress

  • API Kubernetes Gateway

  Nota: Aún puedes habilitar funciones opcionales sin usar la API de IstioOperator. Consulta Habilita funciones opcionales en Cloud Service Mesh administrado. También puedes usar la herramienta de migración incluida con asmcli para convertir automáticamente otras funciones opcionales de IstioOperator a fin de que sean compatibles con el plano de control administrado. Si quieres obtener más información, consulta la documentación para migrar desde IstioOperator.

• Puedes usar el plano de control administrado sin una suscripción a GKE Enterprise, pero ciertos elementos y funciones de la IU en Google Cloud Console solo están disponibles para los suscriptores de GKE Enterprise. Si deseas obtener información sobre lo que está disponible para suscriptores y no suscritos, consulta las diferencias en la IU de GKE Enterprise y Cloud Service Mesh.

• Durante el proceso de aprovisionamiento de un plano de control administrado, las CRD de Istio correspondientes al canal seleccionado se instalan en el clúster especificado. Si hay CRD de Istio existentes en el clúster, se reemplazarán.

• La malla de servicios administrados solo admite el dominio DNS predeterminado .cluster.local.

• A partir del 14 de noviembre de 2023, las instalaciones nuevas de Cloud Service Mesh administrado en el canal de versiones rápido recuperan JWKS solo mediante Envoy. Esto equivale a la opción PILOT_JWT_ENABLE_REMOTE_JWKS=envoy de Istio. En comparación con las instalaciones en los canales de versiones normales y estable, o las del canal de versiones rápido antes del 14 de noviembre de 2023, es posible que necesites parámetros de configuración adicionales de ServiceEntry y DestinationRule. Para ver un ejemplo, consulta requestauthn-with-se.yaml.tmpl.

Diferencias del plano de control

Existen diferencias en las funciones compatibles entre las implementaciones del plano de control de istiod y Cloud Service Mesh. Para verificar qué implementación estás usando, consulta Identifica la implementación del plano de control.

• : Indica que la función está disponible y habilitada de forma predeterminada.
• †: Indica que las APIs de funciones pueden tener diferencias entre varias plataformas.
• *: Indica que la función es compatible con la plataforma y se puede habilitar, como se describe en Cómo habilitar funciones opcionales o en la guía de funciones vinculada en la tabla de funciones.
• §: Indica que la función es compatible con la lista de entidades permitidas. Comunícate con el equipo de Asistencia de Google Cloud para solicitar acceso.
• : Indica que la función no está disponible o no se admite.

Las funciones predeterminadas y opcionales tienen una compatibilidad total con la asistencia de Google Cloud. Las funciones que no aparecen en las tablas de manera explícita reciben la mejor asistencia posible.

Qué determina la implementación del plano de control

Cuando aprovisionas Cloud Service Mesh administrado la primera vez en una flota, determinamos qué implementación del plano de control usar. Se usa la misma implementación para todos los clústeres que aprovisionan Cloud Service Mesh administrado en esa flota.

Las flotas nuevas que se integran a Cloud Service Mesh administrado reciben la implementación del plano de control de TRAFFIC_DIRECTOR, con ciertas excepciones:

• Si eres usuario existente de Cloud Service Mesh administrado, recibirás la implementación del plano de control ISTIOD cuando incorpores una flota nueva en la misma organización de Google Cloud a Cloud Service Mesh administrado, hasta al menos el 24 de junio de 2024. Si eres uno de esos usuarios, puedes comunicarte con el equipo de asistencia para perfeccionar este comportamiento.
• Si algún clúster de tu flota usa Certificate Authority Service cuando aprovisionas Cloud Service Mesh administrado, recibirás la implementación del plano de control de ISTIOD. Antes de la integración con Certificate Authority Service por primera vez, comunícate con el equipo de asistencia para descubrir las formas de reducir la carga de la migración del plano de control en el futuro.
• Si algún clúster de la flota contiene un plano de control de Cloud Service Mesh dentro del clúster cuando aprovisiones Cloud Service Mesh administrado, recibirás la implementación del plano de control ISTIOD.
• Si algún clúster de tu flota usa GKE Sandbox, cuando aprovisiones Cloud Service Mesh administrado, recibirás la implementación del plano de control ISTIOD.

Identifica la implementación del plano de control

Ejecuta el siguiente comando para identificar la implementación del plano de control:

  gcloud container fleet mesh describe --project FLEET_PROJECT_ID

Ten en cuenta que, si usas Cloud Service Mesh con las APIs de Google Cloud (consulta Acerca de Cloud Service Mesh), este comando no funcionará.

El resultado es similar al siguiente:

  ...
  membershipSpecs:
    projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
      mesh:
        management: MANAGEMENT_AUTOMATIC
  membershipStates:
    projects/746296320118/locations/us-central1/memberships/demo-cluster-1:
      servicemesh:
        controlPlaneManagement:
          details:
          - code: REVISION_READY
            details: 'Ready: asm-managed'
          state: ACTIVE
          implementation: TRAFFIC_DIRECTOR
  ...

Los valores posibles implementation son los siguientes:

• TRAFFIC_DIRECTOR: La infraestructura principal de Google Cloud funciona como el plano de control de Cloud Service Mesh.
• ISTIOD: La instancia administrada de istiod funciona como el plano de control de Cloud Service Mesh.
• UPDATING: El clúster se está migrando entre implementaciones. Pronto tendrás la implementación de TRAFFIC_DIRECTOR.

Funciones admitidas por el plano de control administrado

Instalación, actualización y reversión

Atributo	Gestionada (TD)	Administrado (istiod)
Instalación en clústeres de GKE mediante la API de la función de flota
Actualizaciones de las versiones de ASM 1.9 que usan CA de Mesh
Actualizaciones directas (a nivel de omisión) de las versiones de Cloud Service Mesh anteriores a la 1.9 (consulta las notas sobre actualizaciones indirectas)
Actualizaciones directas (nivel de omisión) de Istio OSS (consulta las notas para las actualizaciones indirectas)
Actualizaciones directas (nivel de omisión) del complemento Istio-on-GKE (consulta las notas para las actualizaciones indirectas)
Habilita funciones opcionales

Nota: Se admiten actualizaciones y migraciones indirectas, lo que significa que puedes seguir las rutas de actualización estándar de Cloud Service Mesh en cada versión hasta llegar a Cloud Service Mesh con un plano de control en el clúster y, luego, puedes migrar al plano de control administrado. Las migraciones directas y las actualizaciones solo son compatibles con las versiones 1.9 o posteriores de Cloud Service Mesh instaladas con la CA de Mesh. Las instalaciones con la CA de Istio primero se deben migrar a la CA de Mesh.

Entornos

Atributo	Gestionada (TD)	Administrado (istiod)
GKE 1.25 a 1.27 en una de las regiones compatibles
Clústeres de GKE 1.25-1.27 con Autopilot
Entornos fuera de Google Cloud (GKE Enterprise local, GKE Enterprise en otras nubes públicas, Amazon EKS, Microsoft AKS y otros clústeres de Kubernetes)

Escalabilidad

Atributo	Gestionada (TD)	Administrado (istiod)
1,000 servicios y 5,000 cargas de trabajo por clúster
50 ServicePorts por malla y 36 Pods por ServicePort

Nota: Este es un límite flexible para la cantidad de servicios y cargas de trabajo admitidos por clúster. Si superas este límite, comunícate con la Asistencia de Cloud.

Entorno de plataforma

Atributo	Gestionada (TD)	Administrado (istiod)
Una sola red
Varias redes
Un solo proyecto
Varios proyectos con VPC compartida

Implementación de varios clústeres

Atributo	Gestionada (TD)	Administrado (istiod)
Principales múltiples
Control principal
Descubrimiento de extremos de varios clústeres con una API declarativa
Descubrimiento de extremos de varios clústeres con secretos remotos

Notas sobre la terminología

• Una configuración de varias instancias principales implica que la configuración debe replicarse en todos los clústeres.
• Una configuración primaria-remota significa que un solo clúster contiene la configuración y se considera la fuente de información.
• Cloud Service Mesh usa una definición simplificada de red basada en la conectividad general. Las instancias de carga de trabajo están en la misma red si pueden comunicarse de forma directa, sin una puerta de enlace.

Imágenes base

Atributo	Gestionada (TD)	Administrado (istiod)
Imagen de proxy distroless	†

† La malla de servicios de Cloud con un plano de control administrado (TD) solo admite el tipo de imagen distroless. No puedes cambiarla.

Ten en cuenta que las imágenes distroless tienen objetos binarios mínimos, por lo que no puedes ejecutar los comandos habituales como Bash o curl porque no están presentes en la imagen distroless. Sin embargo, puedes usar contenedores efímeros para conectarte a un Pod de carga de trabajo en ejecución y poder inspeccionarlo y ejecutar comandos personalizados. Por ejemplo, consulta Recopila registros de Cloud Service Mesh.

Seguridad

Controles del servicio de VPC

Atributo	Gestionada (TD)	Administrado (istiod)
Vista previa de los Controles del servicio de VPC
DG de Controles del servicio de VPC

Mecanismos de distribución y rotación de certificados

Atributo	Gestionada (TD)	Administrado (istiod)
Administración de certificados de cargas de trabajo
Administración de certificados externos en puertas de enlace de entrada y salida.

Compatibilidad con autoridad certificada (CA)

Atributo	Gestionada (TD)	Administrado (istiod)
Autoridad certificadora de Cloud Service Mesh
Certificate Authority Service
CA de Istio
Integración con CA personalizadas

Funciones de seguridad

Además de ser compatible con las funciones de seguridad de Istio, Cloud Service Mesh proporciona aún más capacidades para ayudarte a proteger tus aplicaciones.

Atributo	Gestionada (TD)	Administrado (istiod)
Integración de IAP
Autenticación del usuario final
Modo de ejecución de prueba
Registro de denegación
Políticas de auditoría (no compatibles)

Política de autorización

Atributo	Gestionada (TD)	Administrado (istiod)
Política de autorización de v1beta1	†
Política de autorización CUSTOM	§

† La implementación del plano de control de Cloud Service Mesh no admite los campos rules.from.source.RemoteIp y rules.from.source.NotRemoteIp.

Autenticación entre pares

Atributo	Gestionada (TD)	Administrado (istiod)
Auto-mTLS
Modo PERMISSIVE de mTLS
Modo STRICT de mTLS	*	*
Modo INHABILITADO DE mTLS

Autenticación de solicitudes

Atributo	Gestionada (TD)	Administrado (istiod)
Autenticación de JWT ^(Nota 1)
Enrutamiento basado en reclamaciones de JWT
Reclamación de copia de JWT para los encabezados

Notas:

1. JWT de terceros está habilitado de forma predeterminada.
2. Agrega el fqdn/nombre de host completo a JWKSURI mientras defines la API de RequestAuthentication.
3. El plano de control administrado aplica de manera forzosa a Envoy que recupere JWKS cuando se especifica el URI de JWKS.

Telemetría

Métricas

Atributo	Gestionada (TD)	Administrado (istiod)
Cloud Monitoring (métricas en el proxy de HTTP)
Cloud Monitoring (métricas en el proxy de TCP)
Exportación de métricas de Prometheus a Grafana (solo métricas de Envoy)	*	*
Exportación de métricas de Prometheus a Kiali
Google Cloud Managed Service para Prometheus, sin incluir el panel de Cloud Service Mesh	*	*
API de telemetría de Istio	†
Adaptadores y backends personalizados, dentro o fuera del proceso
Telemetría arbitraria y backends de registro

† El plano de control de Cloud Service Mesh admite un subconjunto de la API de telemetría de Istio que se usa para configurar registros de acceso y trace.

Nota: Puedes configurar productos de telemetría de terceros (como Grafana y Prometheus), pero no podemos garantizar la compatibilidad en el futuro y la asistencia de Cloud no puede proporcionar ayuda para administrarlos.

Registro de solicitudes de proxy

Atributo	Gestionada (TD)	Administrado (istiod)
Registros de tráfico
Registros de acceso	*	*

Trace

Atributo	Gestionada (TD)	Administrado (istiod)
Cloud Trace	*	*
Seguimiento de Jaeger (permite el uso de Jaeger administrado por el cliente)		Compatible
Seguimiento de Zipkin (permite el uso de Zipkin administrado por el cliente)		Compatible

Nota: Puedes configurar productos de telemetría de terceros (como Jaeger, Zipkin y Grafana), pero no podemos garantizar la compatibilidad en el futuro, y la asistencia de Cloud no puede proporcionar ayuda para administrarlos.

Herramientas de redes

Mecanismos de intercepción de tráfico y redireccionamiento

Atributo	Gestionada (TD)	Administrado (istiod)
Uso tradicional de iptables mediante contenedores init con CAP_NET_ADMIN
Interfaz de red de contenedor (CNI) de Istio
Sidecar de caja blanca

Compatibilidad con protocolos

Atributo	Gestionada (TD)	Administrado (istiod)
IPv4
HTTP/1.1
HTTP/2
Transmisiones de bytes de TCP (Nota 1)
gRPC
IPv6

Notas:

1. Aunque TCP es un protocolo compatible con redes y se recopilan métricas de TCP, no se informan. Las métricas solo se muestran para los servicios HTTP en la consola de Google Cloud.
2. No se admiten los servicios configurados con funciones de la capa 7 para los siguientes protocolos: WebSocket, MongoDB, Redis, Kafka, Cassandra, RabbitMQ y Cloud SQL. Es posible que puedas hacer que el protocolo funcione mediante la compatibilidad con la transmisión de bytes de TCP. Si la transmisión de bytes de TCP no es compatible con el protocolo (por ejemplo, Kafka envía una dirección de redireccionamiento en una respuesta específica del protocolo y este redireccionamiento no es compatible con la lógica de enrutamiento de Cloud Service Mesh), el protocolo no es compatible.

Implementaciones de Envoy

Atributo	Gestionada (TD)	Administrado (istiod)
Sidecars
Puerta de enlace de entrada
Salida directa desde sidecars
Salida mediante puertas de enlace de salida	*	*

Compatibilidad con CRD

Atributo	Gestionada (TD)	Administrado (istiod)
Recurso de sidecar
Recurso de entrada del servicio
Porcentajes, inserción de errores, coincidencias de rutas de acceso, redireccionamientos, reintentos, reescrituras, tiempo de espera, reintentos, duplicaciones, manipulación de encabezados y reglas de enrutamiento de CORS
API de “EnvoyFilter”	§
API de "WasmPlugin"
Operador de Istio

Balanceador de cargas para la puerta de enlace de entrada de Istio

Atributo	Gestionada (TD)	Administrado (istiod)
Balanceador de cargas externo de terceros
Balanceador de cargas interno de Google Cloud	*	*

Puerta de enlace de Cloud de la malla de servicios

Atributo	Gestionada (TD)	Administrado (istiod)
Puerta de enlace de Cloud de la malla de servicios

Políticas de balanceo de cargas

Atributo	Gestionada (TD)	Administrado (istiod)
Round robin
Conexiones mínimas
Aleatorio
Transferencia
Hash coherente
Localidad

Entrada de servicio

Atributo	Gestionada (TD)	Administrado (istiod)
ServiceEntry v1beta1	†

† La implementación del plano de control de Cloud Service Mesh no admite los siguientes campos y valores:

• Campo workloadSelector
• Campo endpoints[].network
• Campo endpoints[].locality
• Campo endpoints[].weight
• Campo endpoints[].serviceAccount
• Valor DNS_ROUND_ROBIN en el campo resolution
• Valor MESH_INTERNAL en el campo location
• Dirección del socket de dominio Unix en el campo endpoints[].address

Regla de destino

Atributo	Gestionada (TD)	Administrado (istiod)
DestinationRule v1beta1	†

† La implementación del plano de control de Cloud Service Mesh no admite los campos trafficPolicy.loadBalancer.localityLbSetting y trafficPolicy.tunnel. Además, la implementación del plano de control de Cloud Service Mesh requiere que la regla de destino que define subconjuntos esté en el mismo espacio de nombres y clúster con el servicio de Kubernetes o ServiceEntry.

Sidecar

Atributo	Gestionada (TD)	Administrado (istiod)
Archivo adicional v1beta1	†

† La implementación del plano de control de Cloud Service Mesh no admite los siguientes campos y valores:

• Campo ingress
• Campo egress.port
• Campo egress.bind
• Campo egress.captureMode
• Campo inboundConnectionPool

MeshConfig

Atributo	Gestionada (TD)	Administrado (istiod)
LocalityLB	§
ExtensionProviders	§
CACert
ImageType: distroless	§
OutboundTrafficPolicy	§
defaultProviders.accessLogging
defaultProviders.tracing
defaultConfig.tracing.stackdriver	§
accessLogFile	§

ProxyConfig

Atributo	Gestionada (TD)	Administrado (istiod)
Proxy de DNS (ISTIO_META_DNS_CAPTURE, ISTIO_META_DNS_AUTO_ALLOCATE)
Compatibilidad con HTTP/1.0 (ISTIO_META_NETWORK)
Selección de imágenes (distroless o imagen base)	†

† La imagen sin distro se usa para la inyección.

Regiones

Los clústeres de GKE deben estar en una de las siguientes regiones o en cualquier zona de las siguientes regiones.

Región	Ubicación
asia-east1	Taiwán
asia-east2	Hong Kong
asia-northeast1	Tokio, Japón
asia-northeast2	Osaka, Japón
asia-northeast3	Corea del Sur
asia-south1	Bombay, India
asia-south2	Delhi, India
asia-southeast1	Singapur
asia-southeast2	Yakarta
australia-southeast1	Sídney, Australia
australia-southeast2	Melbourne, Australia
europe-central2	Polonia
europe-north1	Finlandia
europe-southwest1	España
europe-west1	Bélgica
europe-west2	Inglaterra
europe-west3	Fráncfort, Alemania
europe-west4	Países Bajos
europe-west6	Suiza
europe-west8	Milán, Italia
europe-west9	Francia
europe-west10	Berlín, Alemania
europe-west12	Turín, Italia
me-central1	Doha
me-central2	Dammam, Arabia Saudita
me-west1	Tel Aviv
northamerica-northeast1	Montreal, Canadá
northamerica-northeast2	Toronto, Canadá
southamerica-east1	Brasil
southamerica-west1	Chile
us-central1	Iowa
us-east1	Carolina del Sur
us-east4	Virginia del Norte
us-east5	Ohio
us-south1	Dallas
us-west1	Oregón
us-west2	Los Ángeles
us-west3	Salt Lake City
us-west4	Las Vegas

Interfaz de usuario

Atributo	Gestionada (TD)	Administrado (istiod)
Paneles de Cloud Service Mesh en la consola de Google Cloud
Cloud Monitoring
Cloud Logging

Herramientas

Atributo	Gestionada (TD)	Administrado (istiod)
Herramienta de gcloud beta container fleet mesh debug