Versi 1.20

Versi yang tersedia

1.20 (terbaru)
1.19
1.18
1.17
1.16
1.15
1.14
1.13
1.12
1.12

219}

Halaman ini diterjemahkan oleh Cloud Translation API.

Menginstal Cloud Service Mesh dalam cluster di GKE

Halaman ini menjelaskan cara menginstal Cloud Service Mesh dalam cluster yang tidak dikelola di GKE:

Jalankan asmcli untuk melakukan penginstalan baru Cloud Service Mesh 1.20.4-asm.0.
Secara opsional, deploy gateway masuk.
Deploy atau deploy ulang workload Anda untuk memasukkan proxy file bantuan.

Perlu diperhatikan bahwa untuk workload Kubernetes di Google Cloud, sebaiknya sediakan bidang kontrol terkelola

Untuk petunjuk cara menyiapkan penginstalan offline Cloud Service Mesh, lihat Menyiapkan penginstalan offline Cloud Service Mesh Anda harus menentukan opsi --offline dan --output_dir saat menjalankan asmcli install.

Batasan

Perhatikan batasan berikut:

Semua cluster Cloud Service Mesh untuk satu mesh harus selalu terdaftar ke jaringan yang sama agar dapat menggunakan Cloud Service Mesh. Cluster lain dalam project cluster Cloud Service Mesh tidak boleh didaftarkan ke fleet lain.
Untuk cluster GKE Autopilot, hanya Cloud Service Mesh terkelola yang didukung. Dukungan Cloud Service Mesh untuk GKE Autopilot hanya tersedia pada versi 1.21.3+.
Alat asmcli harus memiliki akses ke endpoint Google Kubernetes Engine (GKE). Anda dapat mengonfigurasi akses melalui server"lompat", seperti VM Compute Engine dalam Virtual Private Cloud (VPC) yang memberikan akses tertentu.

Sebelum memulai

Sebelum memulai, pastikan Anda:

Tinjau prasyarat.
Tinjau informasi di bagian Merencanakan penginstalan.
Instal alat yang diperlukan.
Download asmcli.
Memberikan izin admin cluster.
Validasi project dan cluster.

Peran yang diperlukan untuk menginstal Cloud Service Mesh dalam cluster

Tabel berikut menjelaskan peran yang diperlukan untuk menginstal Cloud Service Mesh dalam cluster.

Nama peran	ID Peran	Berikan lokasi	Deskripsi
GKE Hub Admin	roles/gkehub.admin	Project fleet	Akses penuh ke GKE Hub dan resource terkait.
Kubernetes Engine Admin	roles/container.admin	Project cluster. Perhatikan bahwa peran ini harus diberikan baik di Fleet maupun project cluster untuk binding lintas project.	Memberikan akses ke pengelolaan penuh Cluster Container dan objek Kubernetes API-nya.
Admin Konfigurasi Mesh	peran/meshconfig.admin	Project fleet dan cluster	Memberikan izin yang diperlukan untuk menginisialisasi komponen terkelola Cloud Service Mesh, seperti bidang kontrol terkelola dan izin backend yang memungkinkan workload berkomunikasi dengan Stackdriver tanpa izin satu per satu (untuk bidang kontrol terkelola dan dalam cluster).
Project IAM Admin	roles/resourcemanager.projectIamAdmin	Project cluster	Memberikan izin untuk mengelola kebijakan IAM pada project.
Service Account Admin	roles/iam.serviceAccountAdmin	Project fleet	Autentikasi sebagai akun layanan.
Admin Pengelolaan Layanan	roles/servicemanagement.admin	Project fleet	Kontrol penuh atas resource Google Service Management.
Service Usage Admin	roles/serviceusage.serviceUsageAdmin	Project fleet	Kemampuan untuk mengaktifkan, menonaktifkan, dan memeriksa status layanan, memeriksa operasi, serta menggunakan kuota dan penagihan untuk project konsumen.^{(Catatan 1)}
CA Service Admin ^Beta	roles/privateca.admin	Project fleet	Akses penuh ke semua resource CA Service. ^{(Catatan 2)}

Catatan:

Service Usage Admin - Peran ini diperlukan sebagai prasyarat untuk mengaktifkan mesh.googleapis.com API saat pada awalnya menyediakan Cloud Service Mesh yang terkelola.
CA Service Admin - Peran ini hanya diperlukan jika Anda berintegrasi dengan CA Service.

Menginstal Cloud Service Mesh

Berikut adalah penjelasan cara menginstal Cloud Service Mesh:

Jalankan asmcli install untuk menginstal bidang kontrol dalam cluster pada satu cluster. Lihat bagian berikut untuk mengetahui contoh command line. Contoh ini berisi argumen wajib dan argumen opsional yang mungkin berguna. Sebaiknya selalu tentukan argumen output_dir agar Anda dapat menemukan gateway dan alat contoh seperti istioctl. Lihat menu navigasi di sebelah kanan untuk melihat daftar contoh.
Cluster GKE pribadi memerlukan langkah konfigurasi firewall tambahan untuk mengizinkan traffic ke istiod.
Atau, instal gateway masuk. Secara default, asmcli tidak menginstal istio-ingressgateway. Sebaiknya deploy dan kelola bidang kontrol dan gateway secara terpisah. Jika Anda harus menginstal istio-ingressgateway default dengan bidang kontrol dalam cluster, sertakan argumen --option legacy-default-ingressgateway.
Untuk menyelesaikan penyiapan Cloud Service Mesh, Anda harus mengaktifkan injeksi file bantuan otomatis dan men-deploy atau men-deploy ulang workload.
Jika Anda menginstal Cloud Service Mesh di lebih dari satu cluster, jalankan asmcli install di setiap cluster. Saat menjalankan asmcli install, pastikan menggunakan FLEET_PROJECT_ID yang sama untuk setiap cluster. Setelah Cloud Service Mesh diinstal, lihat petunjuk untuk menyiapkan mesh multi-cluster di GKE.
Jika cluster berada di jaringan yang berbeda (karena berada dalam mode pulau, Anda harus meneruskan nama jaringan yang unik ke asmcli menggunakan tanda --network_id.

Menginstal fitur default dan Mesh CA

Bagian ini menunjukkan cara menjalankan asmcli untuk menginstal Cloud Service Mesh dengan fitur yang didukung default untuk platform Anda dan mengaktifkan certificate authority Cloud Service Mesh sebagai certificate authority.

Jalankan perintah berikut untuk menginstal bidang kontrol dengan fitur default dan certificate authority Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca mesh_ca

--project_id, --cluster_name, dan --cluster_location Menentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.
--fleet_id Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini, asmcli akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.
--output_dir Sertakan opsi ini untuk menentukan direktori tempat asmcli mendownload paket anthos-service-mesh dan mengekstrak file penginstalan, yang berisi istioctl, sampel, dan manifes. Jika tidak, asmcli akan mendownload file ke direktori tmp. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan $PWD tidak berfungsi di sini.
Catatan: Catat direktori --output_dir ini. Anda harus mereferensikannya saat men-deploy gateway.
--enable_all Mengizinkan skrip untuk:
- Memberikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Berikan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca Gunakan certificate authority Cloud Service Mesh sebagai certificate authority. asmclimengonfigurasi certificate authority Cloud Service Mesh untuk menggunakan identitas workload fisik

Instal fitur default dan Layanan Certificate Authority (CA)

Bagian ini menunjukkan cara menjalankan asmcli untuk menginstal Cloud Service Mesh dengan fitur yang didukung default untuk platform Anda dan mengaktifkan CA Service sebagai certificate authority.

Catatan platform: CA Service hanya didukung di platform berikut: Cluster GKE di Google Cloud, GKE di VMware, dan GDCV untuk Bare Metal. Jika Anda menjalankan asmcli install dan menentukan --ca gcp_cas di platform lain, penginstalan akan tampak berhasil, tetapi workload Anda akan gagal dimulai.

Selain certificate authority Cloud Service Mesh, Anda dapat mengonfigurasi Cloud Service Mesh untuk menggunakan Certificate Authority Service. Panduan ini memberi Anda peluang untuk berintegrasi dengan CA Service, yang direkomendasikan untuk kasus penggunaan berikut:

Jika Anda memerlukan certificate authority yang berbeda untuk menandatangani sertifikat workload di cluster yang berbeda.
Jika Anda perlu mendukung kunci penandatanganan di HSM terkelola.
Jika Anda berada di industri yang diatur dengan regulasi ketat dan harus mematuhi kebijakan.
Jika Anda ingin merangkai CA Cloud Service Mesh CA ke root certificate perusahaan kustom untuk menandatangani sertifikat workload.

Biaya certificate authority Cloud Service Mesh termasuk dalam harga Cloud Service Mesh. Layanan CA tidak termasuk dalam harga Cloud Service Mesh dasar dan dikenai biaya secara terpisah. Selain itu, CA Service dilengkapi dengan SLA eksplisit, tetapi certificate authority Cloud Service Mesh tidak.

Mengonfigurasi CA Service

Buat kumpulan CA di tingkat DevOps dan di region yang sama dengan cluster yang dilayaninya untuk menghindari masalah latensi yang berlebihan atau potensi pemadaman layanan lintas region. Untuk informasi selengkapnya, lihat Tingkatan yang dioptimalkan untuk beban kerja.
Buat CA untuk memiliki setidaknya satu certificate authority aktif dalam kumpulan CA dalam project yang sama dengan cluster GKE. Gunakan CA subordinate untuk menandatangani sertifikat workload Cloud Service Mesh. Catat kumpulan CA yang sesuai dengan CA subordinat.

Jika dimaksudkan hanya untuk melayani sertifikat workload Cloud Service Mesh, siapkan kebijakan penerbitan berikut untuk kumpulan CA:

policy.yaml

baselineValues:
  keyUsage:
    baseKeyUsage:
      digitalSignature: true
      keyEncipherment: true
    extendedKeyUsage:
      serverAuth: true
      clientAuth: true
  caOptions:
    isCa: false
identityConstraints:
  allowSubjectPassthrough: false
  allowSubjectAltNamesPassthrough: true
  celExpression:
    expression: subject_alt_names.all(san, san.type == URI && san.value.startsWith("spiffe://PROJECT_ID.svc.id.goog/ns/") )

Untuk memperbarui kebijakan penerbitan kumpulan CA, gunakan perintah berikut:
```
gcloud privateca pools update CA_POOL --location ca_region --issuance-policy policy.yaml
```
Untuk informasi tentang cara menetapkan kebijakan pada kumpulan, lihat Menggunakan kebijakan penerbitan sertifikat.
Jika Anda menggunakan template sertifikat, konfigurasi sekarang. Untuk informasi selengkapnya, ikuti Panduan Layanan CA untuk sertifikat workload identity. Pastikan template sertifikat dibuat di region yang sama dengan kumpulan CA. Jika ada beberapa region untuk kumpulan CA, buat template sertifikat per region.

Mengonfigurasi Cloud Service Mesh untuk menggunakan CA Service

Jalankan perintah berikut di GKE di VMware atau Google Distributed Cloud Virtual untuk Bare Metal untuk menginstal bidang kontrol dengan fitur default dan Certificate Authority Service. Masukkan nilai Anda di placeholder yang disediakan.

Tetapkan konteks saat ini ke cluster pengguna Anda:
```
kubectl config use-context CLUSTER_NAME
```
Jalankan asmcli install:
```
./asmcli install \
  --kubeconfig KUBECONFIG_FILE \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca gcp_cas \
  --platform multicloud \
  --ca_pool  projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
```
- --fleet_id Project ID dari project host fleet.
- --kubeconfig Jalur lengkap ke file kubeconfig. Variabel lingkungan $PWD tidak berfungsi di sini. Selain itu, lokasi file kubeconfig relatif yang menggunakan `~` tidak akan berfungsi.
- --output_dir Sertakan opsi ini untuk menentukan direktori tempat asmcli mendownload paket anthos-service-mesh dan mengekstrak file penginstalan, yang berisi istioctl, sampel, dan manifes. Jika tidak, asmcli akan mendownload file ke direktori tmp. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan $PWD tidak berfungsi di sini.
- --platform multicloud Menentukan bahwa platform tersebut adalah sesuatu yang selain Google Cloud, seperti infrastruktur lokal atau multi-cloud.
- --enable_all Mengizinkan skrip untuk:
  - Memberikan izin IAM yang diperlukan.
  - Aktifkan Google API yang diperlukan.
  - Berikan label pada cluster yang mengidentifikasi mesh.
  - Daftarkan cluster ke fleet jika belum terdaftar.
- --ca gcp_cas Gunakan Certificate Authority Service sebagai certificate authority. Mengubah certificate authority selama proses upgrade menyebabkan periode nonaktif. asmclimengonfigurasi Certificate Authority Service untuk menggunakan identitas workload fisik
- --ca_pool ID lengkap untuk kumpulan CA Certificate Authority Service. Jika Anda menggunakan template sertifikat, tambahkan ID template yang dipisahkan dengan :. Contoh:
```
  --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
  
```
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di bagian Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.

Menginstal fitur default dengan Istio CA

Bagian ini menjelaskan cara:

Buat sertifikat dan kunci untuk Istio CA yang digunakan Cloud Service Mesh untuk menandatangani workload Anda.
Jalankan asmcli untuk menginstal Cloud Service Mesh dengan fitur default dan mengaktifkan Istio CA.

Secara default, lingkungan yang menginstal metrik laporan Cloud Service Mesh dengan Istio CA ke Prometheus. Jika ingin menggunakan dasbor Cloud Service Mesh, Anda harus mengaktifkan Stackdriver. Untuk mengetahui informasi selengkapnya, lihat Menginstal dengan fitur opsional.

Untuk keamanan terbaik, sebaiknya Anda mempertahankan root CA offline dan menggunakan CA subordinat untuk menerbitkan sertifikat bagi setiap cluster. Untuk informasi selengkapnya, lihat Mencolokkan Sertifikat CA. Dalam konfigurasi ini, semua workload dalam mesh layanan menggunakan root certificate authority (CA) yang sama. Setiap Cloud Service Mesh CA menggunakan sertifikat dan kunci penandatanganan CA perantara, yang ditandatangani oleh CA root. Jika ada beberapa CA di dalam mesh, hal ini akan menetapkan hierarki kepercayaan di antara CA tersebut. Anda dapat mengulangi langkah-langkah ini untuk menyediakan sertifikat dan kunci bagi sejumlah certificate authority.

Makefile untuk membuat sertifikat terletak di subdirektori istio-1.20.4-asm.0 di direktori --output_dir yang Anda tentukan dalam perintah asmcli validate. Jika Anda tidak menjalankan asmcli validate, atau tidak memiliki direktori yang didownload secara lokal, Anda bisa mendapatkan Makefile dengan mendownload file penginstalan Cloud Service Mesh dan mengekstrak isinya.

Ubah ke direktori istio-1.20.4-asm.0.
Buat direktori untuk sertifikat dan kunci:
```
mkdir -p certs && \
pushd certs
```
Buat kunci dan root certificate:
```
make -f ../tools/certs/Makefile.selfsigned.mk root-ca
```
Tindakan ini akan menghasilkan file berikut:
- root-cert.pem: root certificate
- root-key.pem: kunci root
- root-ca.conf: konfigurasi untuk openssl guna membuat root certificate
- root-cert.csr: CSR untuk root certificate
Buat intermediate certificate dan kunci:
```
make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts
```
Tindakan ini akan menghasilkan file ini di direktori bernama cluster1:
- ca-cert.pem: sertifikat perantara
- ca-key.pem: kunci perantara
- cert-chain.pem: rantai sertifikat yang digunakan istiod
- root-cert.pem: root certificate
Catatan: Anda dapat mengganti cluster1 dengan nama lain. Misalnya, make mycluster-cacerts membuat direktori bernama mycluster.

Jika Anda melakukan langkah-langkah ini menggunakan komputer offline, salin direktori yang dihasilkan ke komputer dengan akses ke cluster.
Kembali ke direktori sebelumnya:
```
popd
```
Jalankan perintah berikut untuk menginstal bidang kontrol dengan fitur default dan Istio CA. Masukkan nilai Anda di placeholder yang disediakan.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH

--project_id, --cluster_name, dan --cluster_location Menentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.
--fleet_id Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini, asmcli akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.
--output_dir Sertakan opsi ini untuk menentukan direktori tempat asmcli mendownload paket anthos-service-mesh dan mengekstrak file penginstalan, yang berisi istioctl, sampel, dan manifes. Jika tidak, asmcli akan mendownload file ke direktori tmp. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan $PWD tidak berfungsi di sini.
Catatan: Catat direktori --output_dir ini. Anda harus mereferensikannya saat men-deploy gateway.
--enable_all Mengizinkan skrip untuk:
- Memberikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Berikan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel Gunakan Istio CA sebagai certificate authority.
--ca_cert Intermediate certificate
--ca_key Kunci untuk intermediate certificate
--root_cert Root certificate
--cert_chain Rantai sertifikat

Menginstal dengan Istio CA dengan Google Cloud Observability diaktifkan

Jika ingin menggunakan dasbor Cloud Service Mesh, Anda harus mengaktifkan Stackdriver.

Jalankan perintah berikut untuk menginstal bidang kontrol dengan fitur default dan Istio CA. Masukkan nilai Anda di placeholder yang disediakan.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH

--project_id, --cluster_name, dan --cluster_location Menentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.
--fleet_id Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini, asmcli akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.
--output_dir Sertakan opsi ini untuk menentukan direktori tempat asmcli mendownload paket anthos-service-mesh dan mengekstrak file penginstalan, yang berisi istioctl, sampel, dan manifes. Jika tidak, asmcli akan mendownload file ke direktori tmp. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan $PWD tidak berfungsi di sini.
Catatan: Catat direktori --output_dir ini. Anda harus mereferensikannya saat men-deploy gateway.
--enable_all Mengizinkan skrip untuk:
- Memberikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Berikan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel Gunakan Istio CA sebagai certificate authority.
--ca_cert Intermediate certificate
--ca_key Kunci untuk intermediate certificate
--root_cert Root certificate
--cert_chain Rantai sertifikat
--option stackdriver Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan --option prometheus-and-stackdriver.

Instal dengan fitur opsional

File overlay adalah file YAML yang berisi resource kustom (CR) IstioOperator yang Anda teruskan ke asmcli untuk mengonfigurasi bidang kontrol. Anda dapat mengganti konfigurasi bidang kontrol default dan mengaktifkan fitur opsional dengan meneruskan file YAML ke asmcli. Anda dapat menambahkan lapisan pada lebih banyak overlay, dan setiap file overlay akan mengganti konfigurasi pada lapisan sebelumnya. Sebagai praktik terbaik, sebaiknya simpan file overlay di sistem kontrol versi.

Ada dua opsi untuk mengaktifkan fitur opsional: --option dan --custom_overlay.

Gunakan --option jika Anda tidak perlu mengubah file overlay. Dengan metode ini, asmcli akan mengambil file dari repositori GitHub untuk Anda.

Gunakan --custom_overlay saat Anda perlu menyesuaikan file overlay.

Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan fitur opsional pada bidang kontrol dalam cluster.

Jalankan perintah berikut untuk menginstal bidang kontrol dengan fitur opsional. Untuk menambahkan beberapa file, tentukan --custom_overlay dan nama file, misalnya: --custom_overlay overlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml Masukkan nilai Anda dalam placeholder yang disediakan.

./asmcli install \
--project_id PROJECT_ID \
--cluster_name CLUSTER_NAME \
--cluster_location CLUSTER_LOCATION \
--fleet_id FLEET_PROJECT_ID \
--output_dir DIR_PATH \
--enable_all \
--ca mesh_ca \
--custom_overlay OVERLAY_FILE

--project_id, --cluster_name, dan --cluster_location Menentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.
--fleet_id Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini, asmcli akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.
--output_dir Sertakan opsi ini untuk menentukan direktori tempat asmcli mendownload paket anthos-service-mesh dan mengekstrak file penginstalan, yang berisi istioctl, sampel, dan manifes. Jika tidak, asmcli akan mendownload file ke direktori tmp. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan $PWD tidak berfungsi di sini.
Catatan: Catat direktori --output_dir ini. Anda harus mereferensikannya saat men-deploy gateway.
--enable_all Mengizinkan skrip untuk:
- Memberikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Berikan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca Gunakan certificate authority Cloud Service Mesh sebagai certificate authority. Perlu diperhatikan bahwa asmclimengonfigurasi certificate authority Cloud Service Mesh untuk menggunakan identitas beban kerja fisik
--custom_overlay Tetapkan nama file overlay.

Instal gateway

Cloud Service Mesh memberi Anda opsi untuk men-deploy dan mengelola gateway sebagai bagian dari mesh layanan Anda. Gateway menjelaskan load balancer yang beroperasi di tepi mesh yang menerima koneksi HTTP/TCP masuk atau keluar. Gateway adalah proxy Envoy yang memberi Anda kontrol terperinci atas traffic yang masuk dan keluar dari mesh.

Buat namespace untuk gateway masuk jika Anda belum memilikinya. Gateway adalah workload pengguna, dan sebagai praktik terbaik, gateway tidak boleh di-deploy di namespace bidang kontrol. Ganti GATEWAY_NAMESPACE dengan nama namespace Anda.
```
kubectl create namespace GATEWAY_NAMESPACE
```
Output yang diharapkan:
```
namespace/GATEWAY_NAMESPACE created
```
Aktifkan injeksi otomatis di gateway. Langkah-langkah yang diperlukan bergantung pada apakah Anda ingin menggunakan label injeksi default (misalnya, istio-injection=enabled) atau label revisi di namespace gateway. Tag revisi dan label revisi default digunakan oleh webhook injektor file bantuan untuk mengaitkan proxy yang dimasukkan dengan revisi bidang kontrol tertentu.
Label injeksi default
Catatan: Jika Anda menggunakan revisi tag default untuk mengaktifkan injeksi otomatis di gateway, pastikan tag default ada di direktori yang Anda tentukan di --output_dir dan mengarah ke revisi yang baru diinstal. Jalankan perintah istioctl tag list.

Terapkan label injeksi default ke namespace.
```
kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-
```
Label revisi
1. Gunakan perintah berikut untuk menemukan label revisi di istiod:
```
kubectl get deploy -n istio-system -l app=istiod -o \
  "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"
```
  Perintah ini menghasilkan label revisi yang sesuai dengan versi Cloud Service Mesh, misalnya: asm-1204-0
2. Terapkan label revisi ke namespace. Dalam perintah berikut, REVISION adalah nilai label revisi istiod yang Anda catat di langkah sebelumnya.
```
kubectl label namespace GATEWAY_NAMESPACE \
  istio.io/rev=REVISION --overwrite
```
  Output yang diharapkan:
```
namespace/GATEWAY_NAMESPACE labeled
```
Anda dapat mengabaikan pesan "istio.io/rev" not found dalam output. Artinya, namespace sebelumnya tidak memiliki label istio.io/rev, yang akan Anda harapkan di penginstalan baru Cloud Service Mesh atau deployment baru. Karena injeksi otomatis gagal jika namespace memiliki label istio.io/rev dan istio-injection, semua perintah kubectl label dalam dokumentasi Cloud Service Mesh menentukan kedua label secara eksplisit.

Jika namespace gateway tidak diberi label, pod istio-ingressgateway akan gagal dengan error ImagePullBackOff saat gateway mencoba mengambil gambar auto. Gambar ini harus diganti dengan webhook.
Download contoh file konfigurasi .yaml gateway masuk dari repositori anthos-service-mesh-packages.

Terapkan contoh konfigurasi .yaml gateway masuk sebagaimana adanya, atau modifikasi sesuai kebutuhan.

kubectl apply -n GATEWAY_NAMESPACE \
  -f CONFIG_PATH/istio-ingressgateway

Output yang diharapkan:

deployment.apps/istio-ingressgateway created
poddisruptionbudget.policy/istio-ingressgateway created
horizontalpodautoscaler.autoscaling/istio-ingressgateway created
role.rbac.authorization.k8s.io/istio-ingressgateway created
rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created
service/istio-ingressgateway created
serviceaccount/istio-ingressgateway created

Pelajari lebih lanjut praktik terbaik untuk gateway.

Men-deploy dan men-deploy ulang workload

Cloud Service Mesh menggunakan proxy file bantuan untuk meningkatkan keamanan, keandalan, dan kemampuan observasi jaringan. Dengan Cloud Service Mesh, fungsi-fungsi ini diabstraksi dari container utama aplikasi dan diimplementasikan dalam proxy di luar proses umum yang dikirimkan sebagai container terpisah dalam Pod yang sama.

Penginstalan belum selesai sampai Anda mengaktifkan injeksi proxy file bantuan otomatis (injeksi otomatis) dan memulai ulang Pod untuk semua workload yang berjalan di cluster sebelum menginstal Cloud Service Mesh.

Untuk mengaktifkan injeksi otomatis, beri label namespace dengan label injeksi default jika tag default disiapkan, atau label revisi yang ditetapkan pada istiod saat Anda menginstal Cloud Service Mesh. Tag revisi dan label revisi default digunakan oleh webhook injektor file bantuan untuk mengaitkan file bantuan yang dimasukkan dengan revisi istiod. Setelah menambahkan label, semua Pod yang ada dalam namespace harus dimulai ulang agar file bantuan dapat dimasukkan.

Sebelum Anda men-deploy workload baru di namespace baru, pastikan untuk mengonfigurasi injeksi otomatis sehingga Cloud Service Mesh dapat memantau dan mengamankan traffic.

Langkah-langkah yang diperlukan untuk mengaktifkan injeksi otomatis bergantung pada apakah Anda ingin menggunakan label injeksi default atau label revisi:
Label injeksi default
Catatan: Jika Anda menggunakan revisi tag default untuk mengaktifkan injeksi otomatis di gateway, pastikan tag default ada di direktori yang Anda tentukan di --output_dir dan mengarah ke revisi yang baru diinstal. Jalankan perintah DIR_PATH/istioctl tag list.

Dalam perintah berikut, NAMESPACE adalah nama namespace tempat Anda ingin mengaktifkan injeksi otomatis.
```
kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev-
```
Karena label injeksi default akan menginjeksikan revisi yang ditunjuk tag default, tidak perlu memberi label ulang namespace.
Label revisi
1. Gunakan perintah berikut untuk menemukan label revisi di istiod:
```
kubectl -n istio-system get pods -l app=istiod --show-labels
```
  Outputnya terlihat mirip dengan yang berikut ini:
```
NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-1204-0-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1204-0,istio=istiod,pod-template-hash=5788d57586
istiod-asm-1204-0-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1204-0,istio=istiod,pod-template-hash=5788d57586
```
  Dalam output, di bawah kolom LABELS, perhatikan nilai label revisi istiod, yang mengikuti awalan istio.io/rev=. Dalam contoh ini, nilainya adalah asm-1204-0.
2. Terapkan label revisi dan hapus label istio-injection jika ada. Dalam perintah berikut, NAMESPACE adalah nama namespace tempat Anda ingin mengaktifkan injeksi otomatis, dan REVISION adalah label revisi yang Anda catat pada langkah sebelumnya.
```
kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
```
  Anda dapat mengabaikan pesan "istio-injection not found" dalam output. Artinya, namespace sebelumnya tidak memiliki label istio-injection, yang akan Anda dapatkan di penginstalan baru Cloud Service Mesh atau deployment baru. Karena perilaku injeksi otomatis tidak ditentukan saat namespace memiliki istio-injection dan label revisi, semua perintah kubectl label dalam dokumentasi Cloud Service Mesh secara eksplisit memastikan bahwa hanya satu yang ditetapkan.
Jika workload berjalan di cluster sebelum Anda menginstal Cloud Service Mesh, mulai ulang Pod untuk memicu injeksi ulang.

Cara memulai ulang Pod bergantung pada aplikasi Anda dan lingkungan tempat cluster berada. Misalnya, di lingkungan staging, Anda cukup menghapus semua Pod, sehingga Pod akan dimulai ulang. Namun, di lingkungan production, Anda mungkin memiliki proses yang mengimplementasikan blue-green deployment sehingga Anda dapat memulai ulang Pod dengan aman untuk menghindari gangguan traffic.

Anda dapat menggunakan kubectl untuk melakukan mulai ulang berkelanjutan:
```
kubectl rollout restart deployment -n NAMESPACE
```

Apa langkah selanjutnya?

Jika mesh Anda seluruhnya terdiri dari cluster GKE, lihat Menyiapkan mesh multi-cluster di GKE.
Konfigurasikan alamat IP eksternal di infrastruktur lokal.
Men-deploy aplikasi contoh Online Boutique.