版本 1.11

规划安装

本页面提供的信息可帮助您规划 Anthos Service Mesh 的新安装。

自定义控制层面

Anthos Service Mesh 支持的功能因平台而异。我们建议您查看支持的功能,了解您的平台支持哪些功能。某些功能默认启用,其他功能可以通过创建 IstioOperator叠加文件视需要启用。运行 asmcli install 时,您可以通过使用叠加文件指定 --custom_overlay 选项来自定义控制层面。 我们建议的最佳做法是将叠加文件保存在您的版本控制系统中。

GitHub 中的 anthos-service-mesh 软件包包含许多叠加层文件。这些文件包含默认配置的常见自定义。您可以按原样使用这些文件,也可以根据需要对这些文件进行其他更改。启用可选的 Anthos Service Mesh 功能需要一些文件。当您运行 asmcli验证项目和集群时,系统会下载 anthos-service-mesh 软件包。

使用 asmcli install 安装 Anthos Service Mesh 时,您可以使用 --option--custom_overlay 指定一个或多个叠加层文件。如果您不需要对 anthos-service-mesh 代码库中的文件进行任何更改,则可以使用 --option,该脚本将从 GitHub 中提取文件。否则,您可以更改叠加文件,然后使用 --custom_overlay 选项将其传递给 asmcli

选择证书授权机构

您可以使用 Anthos Service Mesh 证书授权机构 (Mesh CA),或Istio CA作为颁发证书的证书授权机构 (CA)双向 TLS (mTLS)证书。

除非您需要自定义 CA(例如 HashiCorp Vault),否则我们建议您使用 Mesh CA,原因如下:

  • Mesh CA 是一项高度可靠的可扩缩服务,针对 Google Cloud 上动态扩缩的工作负载进行了优化。
  • 通过 Mesh CA,Google 负责管理 CA 后端的安全性和可用性。
  • Mesh CA 让您可在集群中依赖单个信任根。

来自 Mesh CA 的证书包含有关应用的服务的以下数据:

  • Google Cloud 项目 ID
  • GKE 命名空间
  • GKE 服务帐号名称

准备网关配置

Anthos Service Mesh 允许您将网关部署和管理为服务网格的一部分。网关描述了在网格边缘运行的负载平衡器,用于接收传入或传出 HTTP/TCP 连接。网关是 Envoy 代理,可让您精确控制进出网格的流量。

默认情况下,asmcli 不会安装 istio-ingressgateway。我们建议您单独部署和管理控制层面和网关。如需了解详情,请参阅安装和升级网关。如果您需要随集群内控制层面安装的默认 istio-ingressgateway,请添加 --option legacy-default-ingressgateway 参数。

后续步骤