Anthos Service Mesh e Traffic Director sono ora Cloud Service Mesh. Per saperne di più, consulta la panoramica di Cloud Service Mesh.

Questa pagina è stata tradotta dall'API Cloud Translation.

Installa Cloud Service Mesh nel cluster su GKE

Questa pagina spiega come installare Cloud Service Mesh nel cluster non gestito su GKE:

Esegui asmcli per eseguire una nuova installazione di Cloud Service Mesh 1.23.2-asm.2.
(Facoltativo) Esegui il deployment di un gateway in entrata.
Esegui il deployment o il nuovo deployment dei carichi di lavoro per iniettare i proxy sidecar.

Tieni presente che, per i carichi di lavoro Kubernetes Google Cloud, il provisioning di un piano di controllo gestito

Per istruzioni su come preparare un'installazione offline di Cloud Service Mesh: vedi Prepara un'installazione offline di Cloud Service Mesh Durante l'esecuzione, dovrai specificare le opzioni --offline e --output_dir asmcli install.

Limitazioni

Nota. Vi sono delle limitazioni:

Per utilizzare Cloud Service Mesh, tutti i cluster Cloud Service Mesh per un mesh devono essere registrati sempre nello stesso parco risorse. Gli altri cluster nel progetto di un cluster Cloud Service Mesh non devono essere registrati in un parco risorse diverso.
Per i cluster GKE Autopilot è supportato solo Cloud Service Mesh gestito. Il supporto di Cloud Service Mesh per GKE Autopilot è disponibile solo con le versioni 1.21.3 e successive.
Lo strumento asmcli deve avere accesso a Google Kubernetes Engine (GKE) endpoint. Puoi configurare l'accesso tramite una "jump" server, ad esempio un VM di Compute Engine all'interno del Virtual Private Cloud (VPC) che fornisce l'accesso.

Prima di iniziare

Prima di iniziare, assicurati di:

Esamina i prerequisiti.
Esamina le informazioni riportate in Pianificare l'installazione.
Installa gli strumenti necessari.
Scarica asmcli.
Concedi le autorizzazioni di amministratore del cluster.
Convalida il progetto e il cluster.

Ruoli necessari per installare Cloud Service Mesh nel cluster

La tabella seguente descrive i ruoli necessari per installare Cloud Service Mesh nel cluster.

Nome del ruolo	ID ruolo	Posizione concessione	Descrizione
Amministratore GKE Hub	roles/gkehub.admin	Progetto parco risorse	Accesso completo a GKE Hub e alle risorse correlate.
Kubernetes Engine Admin	roles/container.admin	Progetto cluster. Tieni presente che questo ruolo deve essere concesso sia nel progetto del parco risorse sia nel progetto del cluster per le associazioni tra progetti.	Fornisce l'accesso alla gestione completa dei cluster di container e dei relativi oggetti API di Kubernetes.
Mesh Config Admin	roles/meshconfig.admin	Progetto cluster e parco risorse	Fornisce le autorizzazioni necessarie per inizializzare i componenti gestiti di Cloud Service Mesh, come l'autorizzazione di backend e piano di controllo gestito che consente ai carichi di lavoro di comunicare con Stackdriver con autorizzazione individuale (per i piani di controllo gestiti e in-cluster).
Amministratore IAM progetto	roles/resourcemanager.projectIamAdmin	Progetto cluster	Fornisce le autorizzazioni per amministrare i criteri IAM nei progetti.
Amministratore account di servizio	roles/iam.serviceAccountAdmin	Progetto parco risorse	Autentica come account di servizio.
Amministratore Service Management	roles/servicemanagement.admin	Progetto parco risorse	Controllo completo delle risorse Google Service Management.
Amministratore Service Usage	roles/serviceusage.serviceUsageAdmin	Progetto parco risorse	Possibilità di abilitare, disabilitare e ispezionare gli stati dei servizi, ispezionare operazioni e il consumo di quota e fatturazione per un consumer progetto.^{(Nota 1)}
CA Service Admin ^Beta	roles/privateca.admin	Progetto parco risorse	Accesso completo a tutte le risorse del servizio CA. ^{(Nota 2)}

Note:

Amministratore di Utilizzo dei servizi: questo ruolo è necessario come prerequisito per abilitare l'API mesh.googleapis.com al momento del provisioning iniziale di Cloud Service Mesh gestito.
Amministratore servizio CA - Questo ruolo è necessario solo se si stanno integrando con CA Service.

Installa Cloud Service Mesh

Di seguito viene descritto come installare Cloud Service Mesh:

Esegui asmcli install per installare il piano di controllo in-cluster su un singolo cluster. Consulta le sezioni seguenti per alcuni esempi di riga di comando. Gli esempi contengono sia argomenti obbligatori sia argomenti facoltativi che potresti trovare utili. Ti consigliamo di specificare sempre l'argomento output_dir in modo che che puoi individuare gateway e strumenti di esempio come istioctl. Consulta le barra di navigazione a destra per un elenco di esempi.
I cluster GKE privati richiedono un ulteriore passaggio di configurazione del firewall per permitire il traffico verso istiod.
Facoltativamente, installa un gateway in entrata. Per impostazione predefinita, asmcli non installa istio-ingressgateway. Ti consigliamo di il deployment e la gestione del piano di controllo e dei gateway separatamente. Se hai bisogno istio-ingressgateway per impostazione predefinita installato con il piano di controllo nel cluster, includi l'argomento --option legacy-default-ingressgateway.
Per completare la configurazione di Cloud Service Mesh, devi attivare l'iniezione automatica dei sidecar e eseguire il deployment o il redeployment dei carichi di lavoro.
Se stai installando Cloud Service Mesh su più di un cluster, esegui asmcli install su ogni cluster. Quando esegui asmcli install, assicurati di utilizzare lo stesso FLEET_PROJECT_ID per ogni cluster. Dopo aver installato Cloud Service Mesh, consulta le istruzioni per configura una rete mesh multi-cluster su GKE.
Se i cluster si trovano su reti diverse (come accade in modalità isola), devi passare un nome di rete univoco a asmcli utilizzando il flag --network_id.

Installa le funzionalità predefinite e la Mesh CA

Questa sezione mostra come eseguire asmcli per installare Cloud Service Mesh con le funzionalità supportate predefinite per la tua piattaforma e abilita Autorità di certificazione Cloud Service Mesh come autorità di certificazione.

Esegui il comando seguente per installare il control plane con le funzionalità predefinite e l'autorità di certificazione Cloud Service Mesh. Inserisci i valori nei segnaposto forniti.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca mesh_ca

--project_id, --cluster_name e --cluster_location Specifica l'ID progetto che il cluster si trova il nome del cluster e la zona o la regione del cluster.
--fleet_id L'ID del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
--output_dir Includi questa opzione per specificare una directory dove asmcli scarica anthos-service-mesh pacchetto ed estrae il file di installazione, contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
Nota: prendi nota di questa directory --output_dir. Dovrai farvi riferimento quando il deployment dei gateway.
--enable_all Consente allo script di:
- Concedi le autorizzazioni IAM richieste.
- Abilita le API di Google richieste.
- Imposta un'etichetta sul cluster che identifichi il mesh.
- Registra il cluster nel parco risorse, se non è già registrato.
--ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. asmcliconfigura Autorità di certificazione Cloud Service Mesh da utilizzare flotta Workload Identity

Installa le funzionalità predefinite e il servizio Certificate Authority (CA)

Questa sezione mostra come eseguire asmcli per installare Cloud Service Mesh con l'impostazione predefinita funzionalità supportate per la tua piattaforma abilitare CA Service come autorità di certificazione.

Nota sulla piattaforma: il servizio CA è supportato solo sulle seguenti piattaforme: cluster GKE su Google Cloud, Google Distributed Cloud (solo software) per VMware e Distributed Cloud. Se esegui asmcli install e specifichi --ca gcp_cas su altre piattaforme, l'installazione sembra essere andata a buon fine, ma i carichi di lavoro non riusciranno a essere avviati.

Oltre all'autorità di certificazione Cloud Service Mesh, puoi configurare Cloud Service Mesh per utilizzare Certificate Authority Service. Questa guida ti offre l'opportunità di eseguire l'integrazione con CA Service, consigliato per i seguenti casi d'uso:

Se hai bisogno di autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
Se operi in un settore altamente regolamentato e sei soggetto a conformità.
Se vuoi collegare la tua CA Cloud Service Mesh a una radice aziendale personalizzata per firmare i certificati dei carichi di lavoro.

Il costo dell'autorità di certificazione Cloud Service Mesh è incluso nella Prezzi di Cloud Service Mesh. Il servizio CA non è incluso nel prezzo base di Cloud Service Mesh e viene addebitato separatamente. Inoltre, il servizio CA è dotato di un SLA esplicito, ma l'autorità di certificazione Cloud Service Mesh no.

Configura CA Service

Crea il pool di CA nel livello DevOps e nella stessa regione del cluster a cui serve per evitare problemi di latenza eccessiva o potenziali interruzioni tra regioni. Per saperne di più, vedi Livelli ottimizzati per il carico di lavoro.
Crea la CA avere almeno un'autorità di certificazione attiva nel pool di CA in stesso progetto del cluster GKE. Utilizza CA subordinate per firmare Certificati per i carichi di lavoro di Cloud Service Mesh. Prendi nota del pool di CA corrispondente alla CA subordinata.

Se intendi utilizzare solo certificati di servizio per i carichi di lavoro di Cloud Service Mesh, imposta i seguenti criteri di emissione per il pool di CA:

policy.yaml

baselineValues:
  keyUsage:
    baseKeyUsage:
      digitalSignature: true
      keyEncipherment: true
    extendedKeyUsage:
      serverAuth: true
      clientAuth: true
  caOptions:
    isCa: false
identityConstraints:
  allowSubjectPassthrough: false
  allowSubjectAltNamesPassthrough: true
  celExpression:
    expression: subject_alt_names.all(san, san.type == URI && san.value.startsWith("spiffe://PROJECT_ID.svc.id.goog/ns/") )

Per aggiornare il criterio di emissione del pool di CA, utilizza il seguente comando:
```
gcloud privateca pools update CA_POOL --location ca_region --issuance-policy policy.yaml
```
Per informazioni sull'impostazione di un criterio su un pool, consulta Utilizzo di un criterio di emissione dei certificati.
Se utilizzi un modello di certificato, configuralo ora. Per saperne di più, consulta la guida di CA Service per i certificati Workload Identity. Assicurati che il modello di certificato sia creato nella stessa regione del pool di CA. Se sono presenti più regioni per i pool di CA, crea un modello di certificato per regione.

Configura Cloud Service Mesh per utilizzare il servizio CA

Esegui i seguenti comandi su Google Distributed Cloud (solo software) per VMware o su Google Distributed Cloud (solo software) per bare metal per installare il control plane con le funzionalità predefinite e il servizio Certificate Authority. Inserisci i valori negli appositi segnaposto.

Imposta il contesto attuale sul cluster utente:
```
kubectl config use-context CLUSTER_NAME
```
Esegui asmcli install:
```
./asmcli install \
  --kubeconfig KUBECONFIG_FILE \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca gcp_cas \
  --platform multicloud \
  --ca_pool  projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
```
- --fleet_id L'ID del progetto progetto host del parco risorse.
- --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano "~" non funzioneranno.
- --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, i sample e i manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. Ambiente la variabile $PWD non funziona qui.
- --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
- --enable_all Consente allo script di:
  - Concedi le autorizzazioni IAM richieste.
  - Abilita le API di Google richieste.
  - Imposta un'etichetta sul cluster che identifichi il mesh.
  - Registra il cluster nel parco risorse, se non è già registrato.
- --ca gcp_cas Utilizza Certificate Authority Service come autorità di certificazione. La modifica delle autorità di certificazione durante un upgrade causa un tempo di riposo. asmcliconfigura il servizio Certificate Authority Service in modo da utilizzare l'identità per i carichi di lavoro del parco risorse
- --ca_pool L'identificatore completo del Pool di CA di Certificate Authority Service. Se utilizzi un modello di certificato, aggiungi l'ID del modello separato da :. Ad esempio:
```
  --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
  
```
Per visualizzare gli SLO e le metriche di infrastruttura nell'interfaccia utente di Cloud Service Mesh, devi anche eseguire i primi tre passaggi di Attivare il monitoraggio e il logging delle applicazioni. Se la registrazione e il monitoraggio non sono attivati e non ricevi log e metriche personalizzate, la dashboard di Cloud Service Mesh non mostrerà SLO, log di errore o metriche di CPU e memoria.

Installa le funzionalità predefinite con Istio CA

Questa sezione spiega come:

Genera certificati e chiavi per la CA Istio che Cloud Service Mesh utilizza per firma i tuoi carichi di lavoro.
Esegui asmcli per installare Cloud Service Mesh con le funzionalità predefinite e abilitarlo CA Istio.

Per impostazione predefinita, gli ambienti che installano Cloud Service Mesh con Istio CA registrano le metriche in Prometheus. Se vuoi utilizzare le dashboard di Cloud Service Mesh, devi attivare Stackdriver. Per ulteriori informazioni, vedi Installare con funzionalità facoltative.

Per la migliore sicurezza, consigliamo vivamente di mantenere una CA radice offline utilizzando le CA subordinate per emettere certificati per ciascun cluster. Per ulteriori informazioni, consulta Collegare i certificati CA. In questa configurazione, tutti i carichi di lavoro nel servizio mesh utilizzano la stessa autorità di certificazione (CA) principale. Ogni CA Cloud Service Mesh utilizza una chiave di firma e un certificato CA intermedia, firmati dalla CA radice. Quando esistono più CA all'interno di un mesh, viene stabilita una gerarchia di attendibilità tra le CA. Puoi ripeti questi passaggi per eseguire il provisioning di certificati e chiavi per le autorità di certificazione.

Il file Makefile per generare i certificati si trova nella sottodirectory istio-1.23.2-asm.2 della directory --output_dir specificata nel comando asmcli validate. Se non hai eseguito asmcli validate o se non hai la directory scaricata localmente, puoi ottenere il file Makefile scaricando il file di installazione di Cloud Service Mesh ed estraendo i contenuti.

Passa alla directory istio-1.23.2-asm.2.
Crea una directory per i certificati e le chiavi:
```
mkdir -p certs && \
pushd certs
```
Genera un certificato e una chiave radice:
```
make -f ../tools/certs/Makefile.selfsigned.mk root-ca
```
Vengono generati i seguenti file:
- root-cert.pem: il certificato radice
- root-key.pem: la chiave principale
- root-ca.conf: la configurazione per openssl per generare il certificato radice
- root-cert.csr: la CSR per il certificato radice
Genera un certificato e una chiave intermedi:
```
make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts
```
Questa operazione genera i seguenti file in una directory denominata cluster1:
- ca-cert.pem: i certificati intermedi
- ca-key.pem: la chiave intermedia
- cert-chain.pem: la catena di certificati utilizzata da istiod
- root-cert.pem: il certificato radice
Nota: puoi sostituire cluster1 con un altro nome. Ad esempio, make mycluster-cacerts crea una directory denominata mycluster.

Se esegui questi passaggi utilizzando un computer offline, copia a un computer con accesso ai cluster.
Torna alla directory precedente:
```
popd
```
Esegui questo comando per installare il piano di controllo con impostazione e Istio CA. Inserisci i valori negli appositi segnaposto.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH

--project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
--fleet_id L'ID del progetto progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
--output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, i sample e i manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento al momento del deployment dei gateway.
--enable_all Consente allo script di:
- Concedi le autorizzazioni IAM richieste.
- Abilita le API di Google richieste.
- Imposta un'etichetta sul cluster che identifichi il mesh.
- Registra il cluster nel parco risorse, se non è già registrato.
-ca citadel Utilizza la CA Istio come autorità di certificazione.
--ca_cert Il certificato intermedio
--ca_key La chiave per il certificato intermedio
--root_cert Il certificato radice
--cert_chain La catena di certificati

Installa con Istio CA con Google Cloud Observability abilitato

Per utilizzare le dashboard di Cloud Service Mesh, devi abilitare Stackdriver.

Esegui il seguente comando per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH

--project_id, --cluster_name e --cluster_location Specifica l'ID progetto che il cluster si trova il nome del cluster e la zona o la regione del cluster.
--fleet_id L'ID del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
--output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, i sample e i manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
Nota: prendi nota di questa directory --output_dir. Dovrai farvi riferimento al momento del deployment dei gateway.
--enable_all Consente allo script di:
- Concedi le autorizzazioni IAM richieste.
- Abilita le API di Google richieste.
- Imposta un'etichetta sul cluster che identifichi il mesh.
- Registra il cluster nel parco risorse, se non è già registrato.
-ca citadel Utilizza Istio CA come autorità di certificazione.
--ca_cert Il certificato intermedio
--ca_key La chiave per il certificato intermedio
--root_cert Il certificato radice
--cert_chain La catena di certificati
--option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche attivare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

Installazione con funzionalità facoltative

Un file overlay è un file YAML contenente una risorsa personalizzata IstioOperator (RP) che passi a asmcli per configurare il piano di controllo. Puoi override la configurazione predefinita del piano di controllo e attivare una funzionalità facoltativa passando il file YAML a asmcli. Puoi sovrapporre altri overlay e ogni overlay sostituisce la configurazione sui livelli precedenti. Come best practice, consigliamo di salvare i file di overlay nel sistema di controllo delle versioni.

Esistono due opzioni per attivare le funzionalità facoltative: --option e --custom_overlay.

Utilizza --option se non devi modificare il file di overlay. Con questo metodo, asmclirecupera il file dal Repository GitHub per te.

Utilizza --custom_overlay quando devi personalizzare il file di overlay.

Per ulteriori informazioni, vedi Abilitazione di funzionalità facoltative sul piano di controllo nel cluster.

Esegui il seguente comando per installare il piano di controllo con un'opzione facoltativa. Per aggiungere più file, specifica --custom_overlay e il relativo nome, ad esempio: --custom_overlay overlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml Inserisci i valori negli appositi segnaposto.

./asmcli install \
--project_id PROJECT_ID \
--cluster_name CLUSTER_NAME \
--cluster_location CLUSTER_LOCATION \
--fleet_id FLEET_PROJECT_ID \
--output_dir DIR_PATH \
--enable_all \
--ca mesh_ca \
--custom_overlay OVERLAY_FILE

--project_id, --cluster_name e --cluster_location Specifica l'ID progetto che il cluster si trova il nome del cluster e la zona o la regione del cluster.
--fleet_id L'ID del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
--output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, i sample e i manifest. Altrimenti asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento quando il deployment dei gateway.
--enable_all Consente allo script di:
- Concedi le autorizzazioni IAM richieste.
- Abilita le API di Google richieste.
- Imposta un'etichetta sul cluster che identifichi il mesh.
- Registra il cluster nel parco risorse, se non è già registrato.
--ca mesh_ca Utilizza l'autorità di certificazione Cloud Service Mesh come dell'autorità di certificazione. Tieni presente che asmcliconfigura la CA di Cloud Service Mesh per utilizzare l'identità per i carichi di lavoro del parco risorse
--custom_overlay Specifica il nome del file dell'overlay.

Installare i gateway

Cloud Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway come parte mesh di servizi. Un gateway descrive un bilanciatore del carico che opera a livello perimetrale mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono Envoy che forniscono un controllo granulare sul traffico in entrata e escono dalla rete.

Crea un nome di spazio per il gateway di ingresso se non ne hai già uno. I gateway sono carichi di lavoro dell'utente e, come best practice, non dovrebbero essere di cui è stato eseguito il deployment nello spazio dei nomi del piano di controllo. Sostituisci GATEWAY_NAMESPACE con il nome dello spazio dei nomi.
```
kubectl create namespace GATEWAY_NAMESPACE
```
Output previsto:
```
namespace/GATEWAY_NAMESPACE created
```
Attiva l'iniezione automatica sul gateway. I passaggi richiesti variano a seconda che vuoi utilizzare etichette di inserimento predefinite (ad es. istio-injection=enabled) o etichetta di revisione sul gateway nello spazio dei nomi. Il tag di revisione e l'etichetta di revisione predefiniti vengono utilizzati dall'webhook dell'iniettore sidecar per associare i proxy iniettati a una determinata revisione del piano di controllo.
Etichette di inserimento predefinite
Nota: se hai utilizzato una revisione del tag predefinito per attivare l'iniezione automatica sul gateway, verifica che il tag predefinito esista nella directory specificata in --output_dir e che punti alla revisione appena installata. Esegui il comando istioctl tag list.

Applica le etichette di inserimento predefinite allo spazio dei nomi.
```
kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-
```
Etichetta revisione
1. Utilizza il seguente comando per individuare l'etichetta di revisione su istiod:
  kubectl get deploy -n istio-system -l app=istiod -o \ "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"
  Il comando restituisce l'etichetta di revisione che corrisponde Versione di Cloud Service Mesh, ad esempio: asm-1232-2
2. Applica l'etichetta di revisione allo spazio dei nomi. Nel comando seguente, REVISION è il valore della revisione istiod che hai annotato nel passaggio precedente.
  kubectl label namespace GATEWAY_NAMESPACE \ istio.io/rev=REVISION --overwrite
  Risultato previsto:
  namespace/GATEWAY_NAMESPACE labeled
Puoi ignorare il messaggio "istio.io/rev" not found nell'output. Ciò significa che in precedenza lo spazio dei nomi non aveva Etichetta istio.io/rev, prevista nelle nuove installazioni di Cloud Service Mesh o nuovi deployment. Poiché l'iniezione automatica non va a buon fine se uno spazio dei nomi ha sia l'etichetta istio.io/rev sia l'etichetta istio-injection, tutti i comandi kubectl label nella documentazione di Cloud Service Mesh specificano esplicitamente entrambe le etichette.

Se lo spazio dei nomi del gateway non è etichettato, i pod istio-ingressgateway non andranno a buon fine con un errore ImagePullBackOff quando il gateway tenta di estrarre l'immagine auto. Questa immagine deve essere sostituita dall'webhook.
Scarica il file di configurazione .yaml del gateway in entrata di esempio dal Repository anthos-service-mesh-packages.

Applica la configurazione .yaml del gateway in entrata di esempio così com'è o modificala come necessaria.

kubectl apply -n GATEWAY_NAMESPACE \
  -f CONFIG_PATH/istio-ingressgateway

Risultato previsto:

deployment.apps/istio-ingressgateway created
poddisruptionbudget.policy/istio-ingressgateway created
horizontalpodautoscaler.autoscaling/istio-ingressgateway created
role.rbac.authorization.k8s.io/istio-ingressgateway created
rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created
service/istio-ingressgateway created
serviceaccount/istio-ingressgateway created

Scopri di più sulle best practice per i gateway.

Esegui il deployment e il nuovo deployment dei carichi di lavoro

Cloud Service Mesh utilizza i proxy sidecar per migliorare la sicurezza, l'affidabilità e l'osservabilità della rete. Con Cloud Service Mesh, queste funzioni vengono rimosse dal contenitore principale dell'applicazione e implementate in un proxy out-of-process comune fornito come contenitore separato nello stesso pod.

L'installazione non sarà completa finché non attivi il proxy sidecar automatico l'iniezione automatica e riavvia i pod per tutti i carichi di lavoro erano in esecuzione sul tuo cluster prima dell'installazione di Cloud Service Mesh.

Per abilitare l'inserimento automatico, etichetta gli spazi dei nomi con il etichette di inserimento predefinite se è stato configurato il tag predefinito oppure se esiste un'etichetta di revisione impostato il giorno istiod quando hai installato Cloud Service Mesh. Il tag revisione e l'etichetta revisione predefiniti vengono utilizzati dall'webhook di iniezione di sidecar per associare i sidecar iniettati a una revisione istiod. Dopo aver aggiunto l'etichetta, i pod esistenti nello spazio dei nomi devono essere riavviati per poter inserire i file collaterali.

Prima di eseguire il deployment di nuovi carichi di lavoro in un nuovo spazio dei nomi, assicurati di configurare l'iniezione automatica in modo che Cloud Service Mesh possa monitorare e proteggere il traffico.

I passaggi necessari per abilitare l'inserimento automatico dipendono dall'utilizzo o meno le etichette di inserimento predefinite o l'etichetta di revisione:
Predefinita (opzione consigliata)
1. Se hai utilizzato una revisione del tag predefinita per attivare l'iniezione automatica sul gateway, verifica che il tag predefinito esista nella directory specificata in --output_dir e che punti alla revisione appena installata.
  DIR_PATH/istioctl tag list
2. Esegui questo comando. NAMESPACE è il nome del in cui vuoi abilitare l'inserimento automatico.
  kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev-
Le etichette di inserimento predefinite inseriscono la revisione a cui fa riferimento il tag predefinito.
Etichetta di revisione
1. Usa questo comando per individuare l'etichetta di revisione su istiod:
  kubectl -n istio-system get pods -l app=istiod --show-labels
  L'output è simile al seguente:
  NAME READY STATUS RESTARTS AGE LABELS istiod-asm-1232-2-5788d57586-bljj4 1/1 Running 0 23h app=istiod,istio.io/rev=asm-1232-2,istio=istiod,pod-template-hash=5788d57586 istiod-asm-1232-2-5788d57586-vsklm 1/1 Running 1 23h app=istiod,istio.io/rev=asm-1232-2,istio=istiod,pod-template-hash=5788d57586
  Nell'output, sotto la colonna LABELS, prendi nota del valore del parametro istiod etichetta di revisione, che segue il prefisso istio.io/rev=. In questo esempio, Il valore è asm-1232-2.
2. Applica l'etichetta di revisione e rimuovi l'etichetta istio-injection, se esistente. Nel comando seguente, NAMESPACE è il nome dello spazio dei nomi per cui vuoi abilitare l'inserimento automatico REVISION è l'etichetta di revisione che hai annotato in passaggio precedente.
  kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
  Puoi ignorare il messaggio "istio-injection not found" nell'output. Ciò significa che in precedenza lo spazio dei nomi non aveva l'etichetta istio-injection, che dovresti aspettarti nelle nuove installazioni di Cloud Service Mesh o nei nuovi deployment. Poiché l'inserimento automatico il comportamento non è definito quando uno spazio dei nomi ha sia istio-injection e l'etichetta di revisione, tutti i comandi kubectl label nella La documentazione di Cloud Service Mesh assicura esplicitamente che ne sia impostata una sola.
Se i carichi di lavoro erano in esecuzione sul cluster prima dell'installazione di Cloud Service Mesh, riavvia i pod per attivare la reintegrazione.

Il modo in cui riavvii i pod dipende dall'applicazione e dall'ambiente in cui si trova il cluster. Ad esempio, nel tuo ambiente di gestione temporanea, potresti eliminare tutti i pod, determinandone il riavvio. Ma nella tua produzione potrebbe essere presente un processo che implementa deployment blu/verde in modo da poter riavviare in sicurezza i pod per evitare interruzioni del traffico.

Puoi utilizzare kubectl per eseguire un riavvio graduale:
```
kubectl rollout restart deployment -n NAMESPACE
```

Passaggi successivi

Se il tuo mesh è costituito interamente da cluster GKE, consulta Configurare un mesh multi-cluster su GKE.
Configura un indirizzo IP esterno on-premise.
Esegui il deployment dell'applicazione di esempio Online Boutique.