Pianificazione di un'installazione

Questa pagina fornisce informazioni utili per pianificare una nuova installazione di Cloud Service Mesh in-cluster su GKE.

Personalizzare il piano di controllo

Le funzionalità supportate da Cloud Service Mesh variano a seconda della piattaforma. Ti consigliamo di esaminare le funzionalità supportate per scoprire quali sono supportate sulla tua piattaforma. Alcune funzionalità sono attivate per impostazione predefinita, mentre altre possono essere attivate facoltativamente creando un file di overlay IstioOperator. Quando esegui asmcli install, puoi personalizzare il piano di controllo specificando --custom_overlay con il file di overlay. Come best practice, ti consigliamo di risparmiare i file degli overlay nel sistema di controllo della versione.

La anthos-service-mesh in GitHub contiene molti file di overlay. Questi file contengono personalizzazioni alla configurazione predefinita. Puoi utilizzare questi file mentre o apportare modifiche aggiuntive in base alle esigenze. Alcuni file sono tenuti a abilitare le funzionalità facoltative di Cloud Service Mesh. Il pacchetto anthos-service-mesh viene scaricato quando esegui asmcli per convalidare il progetto e il cluster.

Quando installi Cloud Service Mesh utilizzando asmcli install, puoi specificare uno o più file di overlay con --option o --custom_overlay. Se non devi apportare modifiche ai file nel repository anthos-service-mesh, puoi utilizzare --option e lo script recupererà il file da GitHub per te. In caso contrario, puoi apportare modifiche al file overlay e utilizzare l'opzione --custom_overlay per trasmetterlo a asmcli.

Scegli un'autorità di certificazione

A seconda del caso d'uso e della piattaforma, puoi scegliere una delle seguenti opzioni l'autorità di certificazione (CA) per il TLS reciproco (mTLS) certificati:

Questa sezione fornisce informazioni di alto livello su ciascuna di queste opzioni di CA e sui relativi casi d'uso.

Mesh CA

A meno che tu non abbia bisogno di una CA personalizzata, ti consigliamo di utilizzare l'autorità di certificazione Cloud Service Mesh per i seguenti motivi:

  • L'autorità di certificazione Cloud Service Mesh è un servizio estremamente affidabile e scalabile ottimizzato per i carichi di lavoro con scalabilità dinamica.
  • Con l'autorità di certificazione Cloud Service Mesh, Google gestisce la sicurezza e la disponibilità del backend dell'autorità di certificazione.
  • L'autorità di certificazione Cloud Service Mesh ti consente di affidarti a un'unica radice di attendibilità tra cluster.

I certificati dell'autorità di certificazione Cloud Service Mesh includono i seguenti dati sui servizi della tua applicazione:

  • ID del progetto Google Cloud
  • Lo spazio dei nomi GKE
  • Il nome dell'account di servizio GKE

Servizio CA

Oltre all'autorità di certificazione Cloud Service Mesh, puoi configurare Cloud Service Mesh in modo da utilizzare Certificate Authority Service. Questo offre l'opportunità di eseguire l'integrazione con CA Service, consigliato per i seguenti casi d'uso:

  • Se sono necessarie autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
  • Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
  • Se operi in un settore altamente regolamentato e sei soggetto a conformità.
  • Se vuoi collegare la CA Cloud Service Mesh a un certificato radice aziendale personalizzato per firmare i certificati del carico di lavoro.

Il costo dell'autorità di certificazione Cloud Service Mesh è incluso nella Prezzi di Cloud Service Mesh. La CA Service non è incluso nel prezzo base di Cloud Service Mesh ed è con un addebito separato. Inoltre, CA Service include SLA esplicito, al contrario dell'autorità di certificazione Cloud Service Mesh.

CA Istio

Ti consigliamo di utilizzare Istio CA se soddisfi i seguenti criteri:

  • Il tuo mesh utilizza già la CA Istio e non hai bisogno dei vantaggi abilitati dall'autorità di certificazione Cloud Service Mesh o dal servizio CA.
  • Hai bisogno di una CA radice personalizzata.
  • Hai carichi di lavoro esterni a Google Cloud per i quali un servizio CA gestito da Google Cloud non è accettabile.

Prepara la configurazione del gateway

Cloud Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway come parte mesh di servizi. Un gateway descrive un bilanciatore del carico che opera a livello perimetrale mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono proxy Envoy che ti offrono un controllo granulare sul traffico in entrata e in uscita dal mesh.

asmcli non installa istio-ingressgateway. Ti consigliamo di eseguire il deployment e gestire il piano di controllo e i gateway separatamente. Per maggiori informazioni consulta Installazione e upgrade dei gateway.

Passaggi successivi