Prepararsi alla configurazione con l'API GKE Gateway

Anteprima

Questo prodotto o funzionalità è soggetto ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici del servizio. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

La configurazione descritta in questo documento è supportata per i clienti Preview, ma non è consigliata per i nuovi utenti di Cloud Service Mesh. Per ulteriori informazioni, consulta la panoramica di Cloud Service Mesh.

Questa guida spiega come preparare l'ambiente per l'utilizzo dell'API Gateway di Google Kubernetes Engine con Cloud Service Mesh. A livello generale, devi eseguire i seguenti passaggi:

1. Abilita i servizi API Google Cloud richiesti.
2. Esegui il deployment di un cluster GKE.
3. Configura le autorizzazioni IAM.
4. Installa le definizioni di risorse personalizzate (CRD) richieste.
5. Registra il cluster in un parco risorse.
6. [Facoltativo] Attiva i servizi multi-cluster (Multi-Cluster Service Discovery).
7. Attiva il mesh di servizi.

Se non utilizzi GKE, utilizza le API di routing dei servizi e crea una risorsa Mesh.

Prima di iniziare

Assicurati che i componenti del deployment soddisfino i seguenti requisiti:

• GKE deve essere versione 1.20 o successiva.
• Sono supportati solo i piani dati con l'API xDS versione 3 e versioni successive.
  • Versione minima di Envoy 1.20.0
  • Versione minima del generatore di bootstrap gRPC 0.14.0
• I cluster GKE devono essere in modalità VPC nativa (IP alias).
• I cluster Kubernetes autogestiti su Compute Engine, diversamente da GKE, non sono supportati.
• Eventuali restrizioni aggiuntive elencate per la funzionalità Gateway su GKE si applicano all'integrazione di Cloud Service Mesh con l'API GKE Gateway.
• L'account di servizio per i nodi e i pod GKE deve avere l'autorizzazione per accedere all'API Traffic Director. Per ulteriori informazioni sulle autorizzazioni richieste, consulta Attivare l'accesso dell'account di servizio all'API Traffic Director.
• Si applicano limitazioni all'utilizzo delle risorse per progetto e alle quote dei servizio di backend.

Abilita i servizi API Google Cloud richiesti

1. Esegui il seguente comando per abilitare le API richieste, se non sono già attivate nel tuo progetto:

   gcloud services enable --project=PROJECT_ID \
     container.googleapis.com \
     gkehub.googleapis.com \
     multiclusteringress.googleapis.com \
     trafficdirector.googleapis.com \
     networkservices.googleapis.com
   

2. Se prevedi di includere più di un cluster nel tuo parco risorse, abilita l'API multiclusterservicediscovery:

   gcloud services enable --project=PROJECT_ID \
      multiclusterservicediscovery.googleapis.com
   

esegui il deployment di un cluster GKE

Segui queste istruzioni per eseguire il deployment di un cluster GKE.

1. Crea un cluster GKE denominato gke-1 nella zona us-west1-a:

   gcloud container clusters create gke-1 \
     --zone=us-west1-a \
     --enable-ip-alias \
     --workload-pool=PROJECT_ID.svc.id.goog \
     --scopes=https://www.googleapis.com/auth/cloud-platform \
     --enable-mesh-certificates \
     --release-channel=regular \
     --project=PROJECT_ID
   

   • --enable-ip-alias: questo flag crea un cluster nativo di VPC e rende instradabili gli indirizzi IP dei pod all'interno della rete VPC.
   • --workload-pool: questo flag consente al cluster di partecipare al pool di identità del workload del progetto.
   • --scopes: questo flag specifica gli ambiti OAuth assegnati ai nodi del cluster.
   • --release-channel: questo indicatore indica il canale regular.
   • --enable-mesh-certificates: questo flag attiva la funzionalità mTLS automatica di Cloud Service Mesh se diventa potenzialmente disponibile in futuro.

2. Recupera le credenziali del cluster:

   gcloud container clusters get-credentials gke-1 --zone=us-west1-a
   

3. Rinomina il contesto del cluster:

   kubectl config rename-context gke_PROJECT_ID_us-west1-a_gke-1 gke-1
   

Configura le autorizzazioni IAM per il piano dati

Per questo deployment di dimostrazione, concedi il ruolo client Cloud Service Meshroles/trafficdirector.client a tutti gli utenti autenticati, inclusi tutti gli account servizio, nel cluster GKE. Questo ruolo IAM è obbligatorio per autorizzare i client Cloud Service Mesh nel piano dati, ad esempio Envoy, a ricevere la configurazione da Cloud Service Mesh.

Se non vuoi concedere il ruolo client a tutti gli utenti autenticati e preferisci limitare il ruolo agli account di servizio, consulta la guida di Workload Identity di GKE per configurare un account di servizio Kubernetes specializzato con il ruolo roles/trafficdirector.client per i tuoi servizi.

1. Concedi il ruolo client agli account di servizio:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member "group:PROJECT_ID.svc.id.goog:/allAuthenticatedUsers/" \
     --role "roles/trafficdirector.client"
   

Installa le definizioni di risorse personalizzate richieste

1. Installa le definizioni di risorse personalizzate (CRD) necessarie per l'utilizzo dell'API Gateway con Cloud Service Mesh:

   kubectl apply -k "github.com/kubernetes-sigs/gateway-api/config/crd/experimental?ref=v0.6.0"
   

   kubectl kustomize "https://github.com/GoogleCloudPlatform/gke-networking-recipes.git/gateway-api/config/mesh/crd" \
   | kubectl apply -f -
   

2. Verifica che i CRD richiesti siano installati automaticamente nel cluster eseguendo il seguente comando:

   kubectl get crds
   

   L'output elenca i seguenti CRD e altri non correlati all'API Gateway, tutti con date di creazione diverse:

   NAME                                             CREATED AT
   gatewayclasses.gateway.networking.k8s.io                           2023-08-08T05:29:03Z
   gateways.gateway.networking.k8s.io                                 2023-08-08T05:29:03Z
   grpcroutes.gateway.networking.k8s.io                               2023-08-08T05:29:03Z
   httproutes.gateway.networking.k8s.io                               2023-08-08T05:29:03Z
   referencegrants.gateway.networking.k8s.io                          2023-08-08T05:29:04Z
   tcproutes.gateway.networking.k8s.io                                2023-08-08T05:29:04Z
   tdgrpcroutes.net.gke.io                                            2023-08-08T05:29:23Z
   tdmeshes.net.gke.io                                                2023-08-08T05:29:23Z
   tlsroutes.gateway.networking.k8s.io                                2023-08-08T05:29:05Z
   udproutes.gateway.networking.k8s.io                                2023-08-08T05:29:05Z
   

Le risorse personalizzate tdmeshes.net.gke.io e tdgrpcroutes.net.gke.io sono installate nel passaggio precedente.

I CRD che fanno parte del gruppo di API net.gke.io sono specifici per GKE. Queste risorse non fanno parte dell'implementazione dell'API Gateway OSS, che si trova nel gruppo di API networking.k8s.io.

Registra il cluster in un parco risorse

Dopo aver creato il cluster, devi registrarlo in un parco risorse. La registrazione del cluster in un parco risorse ti consente di attivare in modo selettivo le funzionalità sul cluster registrato.

1. Registra il cluster nel parco risorse:

   gcloud container hub memberships register gke-1 \
     --gke-cluster us-west1-a/gke-1 \
     --location global \
     --project=PROJECT_ID
   

2. Verifica che il cluster sia registrato nel parco risorse:

   gcloud container hub memberships list --project=PROJECT_ID
   

   L'output è simile al seguente:

   NAME   EXTERNAL_ID
   gke-1  657e835d-3b6b-4bc5-9283-99d2da8c2e1b
   

(Facoltativo) Attivare Multi-Cluster Service Discovery

La funzionalità Service Discovery multi-cluster ti consente di esportare i servizi locali del cluster in tutti i cluster registrati nel parco risorse. Questo passaggio è facoltativo se non prevedi di includere più di un cluster nel tuo parco risorse.

1. Attiva Service Discovery multi-cluster:

   gcloud container hub multi-cluster-services enable \
     --project PROJECT_ID
   

2. Concedi il ruolo IAM (Identity and Access Management) necessario per Service Discovery multi-cluster:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member "serviceAccount:PROJECT_ID.svc.id.goog[gke-mcs/gke-mcs-importer]" \
     --role "roles/compute.networkViewer"
   

3. Verifica che Service Discovery multi-cluster sia abilitato per il cluster registrato. Potrebbero essere necessari diversi minuti prima che vengano visualizzati tutti i cluster:

   gcloud container hub multi-cluster-services describe --project=PROJECT_ID
   

   Dovresti vedere le iscrizioni per gke-1, simili alle seguenti:

   createTime: '2021-04-02T19:34:57.832055223Z'
   membershipStates
     projects/PROJECT_NUM/locations/global/memberships/gke-1:
       state:
         code: OK
         description: Firewall successfully updated
         updateTime: '2021-05-27T11:03:07.770208064Z'
   name: projects/PROJECT_NUM/locations/global/features/multiclusterservicediscovery
   resourceState:
     state: ACTIVE
   spec: {}
   updateTime: '2021-04-02T19:34:58.983512446Z'
   

Attiva il mesh di servizi GKE di Cloud Service Mesh

In questa sezione, attivi la rete mesh di servizi.

1. Abilita il mesh di servizi GKE Cloud Service Mesh sul cluster registrato nel tuo parco risorse:

   gcloud container hub ingress enable \
   --config-membership=projects/PROJECT_ID/locations/global/memberships/gke-1 \
     --project=PROJECT_ID
   

2. Verifica che la funzionalità sia attivata:

   gcloud container hub ingress describe --project=PROJECT_ID
   

   Dovresti vedere un output simile al seguente:

   createTime: '2021-05-26T13:27:37.460383111Z'
   membershipStates:
     projects/PROJECT_NUM/locations/global/memberships/gke-1:
       state:
         code: OK
         updateTime: '2021-05-27T15:08:19.397896080Z'
   resourceState:
    state: ACTIVE
   spec:
     multiclusteringress:
       configMembership: projects/PROJECT_ID/locations/global/memberships/gke-1
   state:
     state:
       code: OK
       description: Ready to use
       updateTime: '2021-05-26T13:27:37.899549111Z'
   updateTime: '2021-05-27T15:08:19.397895711Z'
   

3. Concedi i seguenti ruoli di Identity and Access Management (IAM), obbligatori per il controller API Gateway:

   • roles/container.developer : questo ruolo consente al controller di gestire le risorse Kubernetes all'interno del cluster.
   • roles/compute.networkAdmin : questo ruolo consente al controller di gestire le configurazioni del mesh di servizi Cloud Service Mesh.

   export PROJECT_NUMBER=$(gcloud projects describe PROJECT_ID --format="value (projectNumber)")
   
   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member "serviceAccount:service-${PROJECT_NUMBER}@gcp-sa-multiclusteringress.iam.gserviceaccount.com" \
     --role "roles/container.developer"
   

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member "serviceAccount:service-${PROJECT_NUMBER}@gcp-sa-multiclusteringress.iam.gserviceaccount.com" \
     --role "roles/compute.networkAdmin"
   

Passaggi successivi

Per configurare un deployment di esempio, leggi queste guide:

• Configurare un service mesh sidecar Envoy
• Configura un mesh di servizi gRPC proxyless
• Configurare un mesh di servizi multi-cluster