Planejar uma instalação

Observação :este guia só oferece suporte ao Cloud Service Mesh com APIs do Istio e que não são compatíveis com as APIs do Google Cloud. Para mais informações, consulte Visão geral do Cloud Service Mesh.

Nesta página, você encontra informações para ajudar a planejar uma nova instalação do Cloud Service Mesh no cluster do GKE.

Observação: se você precisar instalar o Cloud Service Mesh de um registro de contêiner particular ou personalizado, consulte Instalar o Cloud Service Mesh de um registro de contêiner personalizado.

Personalizar o plano de controle

Os recursos compatíveis com o Cloud Service Mesh são diferentes entre as plataformas. Recomendamos que você revise os Recursos compatíveis para saber quais recursos são compatíveis com sua plataforma. Alguns recursos estão ativados por padrão, além de outros que podem ser ativados opcionalmente criando um IstioOperator arquivo de sobreposição. Ao executar asmcli install, é possível personalizar o plano de controle especificando a opção --custom_overlay com o arquivo de sobreposição. Como prática recomendada, salve os arquivos de sobreposição no seu sistema de controle de versões.

O anthos-service-mesh no GitHub contém muitos arquivos de sobreposição. Esses arquivos contêm personalizações comuns da configuração padrão. É possível usar esses arquivos como estão ou fazer outras alterações neles conforme necessário. Alguns dos arquivos são obrigados a ativar os recursos opcionais do Cloud Service Mesh. O pacote anthos-service-mesh é transferido por download ao executar asmcli para validar o projeto e o cluster.

Ao instalar o Cloud Service Mesh usando asmcli install, é possível especificar um ou mais arquivos de sobreposição com --option ou --custom_overlay. Caso você não precise fazer mudanças nos arquivos no repositório anthos-service-mesh, use --option e o script buscará o arquivo no GitHub para você. Caso contrário, você pode fazer alterações no arquivo de sobreposição e usar a opção --custom_overlay para passá-la para asmcli.

Escolher uma autoridade de certificação

Dependendo do caso de uso e da plataforma, é possível escolher uma das seguintes opções como a autoridade certificadora (AC) para emitir certificados TLS mútuos (mTLS):

• Autoridade de certificação do Cloud Service Mesh
• Certificate Authority Service
• CA do Istio

Nesta seção, você encontra informações de alto nível sobre cada uma dessas opções de CA e os respectivos casos de uso.

CA da malha

A menos que você precise de uma AC personalizada, recomendamos usar Autoridade de certificação do Cloud Service Mesh pelos seguintes motivos:

• A autoridade certificadora do Cloud Service Mesh é um serviço altamente confiável e escalonável otimizada para cargas de trabalho escalonadas dinamicamente.
• Com a autoridade certificadora do Cloud Service Mesh, o Google gerencia a segurança e a disponibilidade do back-end da AC.
• A autoridade certificadora do Cloud Service Mesh permite contar com uma única raiz de confiança entre os clusters.

Os certificados da autoridade certificadora do Cloud Service Mesh incluem os seguintes dados sobre os serviços do aplicativo:

• O ID do projeto do Google Cloud
• O namespace do GKE
• O nome da conta de serviço do GKE

Importante :os certificados emitidos pela autoridade de certificação do Cloud Service Mesh só devem ser usados para ativar comunicação segura entre serviços na malha de serviço e não podem para qualquer outra finalidade. Esses certificados são enviados sempre que os serviços tentam se comunicar usando a TLS mútua. Ao usar esses certificados para se comunicar fora da malha de serviço, certifique-se de não expor informações confidenciais inadvertidamente.

Serviço de CA

Observação sobre a plataforma: o serviço de CA é compatível apenas com as seguintes plataformas: clusters do GKE no Google Cloud, Google Distributed Cloud (somente software) para VMware e Distributed Cloud. Se você executar asmcli install e especificar --ca gcp_cas em outras plataformas, a instalação será bem-sucedida, mas suas cargas de trabalho não serão iniciadas.

Além da autoridade certificadora do Cloud Service Mesh, é possível configurar o Cloud Service Mesh para usar o Certificate Authority Service. Este guia oferece uma oportunidade de integração com o serviço de CA, o que é recomendado para os seguintes casos de uso:

• Se você precisar de autoridades de certificação diferentes para assinar certificados de carga de trabalho em clusters diferentes.
• Se você precisar fazer backup das chaves de assinatura em um HSM gerenciado.
• sua empresa é altamente regulada e está sujeita a conformidade.
• Se você quiser encadear a CA do Cloud Service Mesh a uma raiz corporativa personalizada para assinar certificados de carga de trabalho.

O custo da autoridade certificadora do Cloud Service Mesh está incluído no preço do Cloud Service Mesh. O O CA Service não está incluído no preço base do Cloud Service Mesh e é cobrados separadamente. Além disso, CA Service vem com um SLA explícito, mas a autoridade de certificação do Cloud Service Mesh não faz isso.

CA do Istio

Recomendamos que você use a CA do Istio se atender aos seguintes critérios:

• Sua malha já usa a CA do Istio e você não precisa dos benefícios ativados pelo Autoridade de certificação do Cloud Service Mesh ou serviço de AC.
• Você precisa de uma CA raiz personalizada.
• Você tem cargas de trabalho fora do Google Cloud em que um serviço de CA gerenciado pelo Google Cloud não é aceitável.

Preparar a configuração do gateway

O Cloud Service Mesh oferece a opção de implantar e gerenciar gateways como parte e da malha de serviço. Um gateway descreve um balanceador de carga operando na borda da malha que recebe conexões HTTP/TCP de entrada ou saída. Os gateways são proxies Envoy que fornecem um controle refinado sobre o tráfego que entra e sai da malha.

O app asmcli não instala o istio-ingressgateway. Recomendamos que você implante e gerencie o plano de controle e os gateways separadamente. Para mais informações, consulte Como instalar e fazer upgrade de gateways.

A seguir

• Instale ferramentas dependentes e valide o cluster