Opsi untuk penyiapan Pod Google Kubernetes Engine menggunakan injeksi Envoy otomatis

Panduan ini memberi Anda informasi tentang opsi dan tugas tambahan untuk penginjek sidecar Envoy otomatis.

Catatan: Panduan ini hanya mendukung Cloud Service Mesh dengan Google Cloud API dan tidak mendukung Istio API. Untuk informasi selengkapnya, lihat ringkasan Cloud Service Mesh.

Menambahkan proxy sidecar ke workload yang ada

Setelah Anda menginstal injector sidecar ke cluster, proxy sidecar akan otomatis dimasukkan ke pod yang baru dibuat di namespace yang diaktifkan. Jika workload sudah berjalan sebelum mengaktifkan injector sidecar, Anda harus memulai ulang workload agar injeksi dapat dilakukan.

Untuk pod yang dikelola oleh pengontrol Deployment, DaemonSet, atau StatefulSet, Anda dapat menjalankan hal berikut:

# Deployment
kubectl rollout restart deployment/DEPLOYMENT_NAME --namespace NAMESPACE

# DaemonSet
kubectl rollout restart daemonset/DAEMONSET_NAME --namespace NAMESPACE

# StatefulSet
kubectl rollout restart statefulset/STATEFULSET_NAME --namespace NAMESPACE

Jika tidak menggunakan pengontrol di atas untuk men-deploy pod, Anda harus menghapus pod satu per satu. Setelah itu, proxy akan otomatis dibuat ulang dengan proxy sidecar baru.

kubectl delete pod POD_NAME -n NAMESPACE

Pastikan penampung proxy sidecar telah dimasukkan di setiap pod Anda:

kubectl get pods -n NAMESPACE

Misalnya, dengan klien busybox yang dibuat di atas, Anda akan melihat 2/2 pod berjalan, satu untuk aplikasi busybox itu sendiri dan satu untuk proxy sidecar Envoy yang dimasukkan:

NAME                      READY   STATUS    RESTARTS   AGE
busybox-c54f578c9-c9fk4   2/2     Running   183        7d15h

Penggantian injeksi

Secara default, mengaktifkan namespace akan mengaktifkan injeksi proxy sidecar untuk semua pod yang ada. Injeksi juga dapat dikonfigurasi secara selektif untuk cakupan yang berbeda agar sesuai dengan kebutuhan tertentu. Misalnya, penggantian harus digunakan untuk mencegah injeksi proxy sidecar untuk layanan gRPC tanpa proxy.

Perhatikan bahwa penggantian injeksi hanya berlaku jika namespace diaktifkan, dan berlaku dengan prioritas berikut: Pod Annotations > NeverInjectSelector > AlwaysInjectSelector > Default Policy

Mengaktifkan atau menonaktifkan injeksi untuk setiap pod tertentu

Gunakan anotasi pod berikut untuk mengaktifkan atau menonaktifkan injeksi untuk pod tertentu di namespace yang diaktifkan:

...
metadata:
  annotations:
    td-injection: "true" / "false"

Menyesuaikan perilaku intersepsi traffic

Secara default, semua traffic keluar dari aplikasi Anda akan dicegat dan diarahkan ke proxy sidecar Envoy. Proxy Envoy kemudian dapat menangani traffic sesuai dengan petunjuk yang diterima dari Cloud Service Mesh. Dalam beberapa kasus, Anda mungkin ingin mengubah perilaku ini untuk mengabaikan proxy sidecar.

Gunakan anotasi Pod berikut untuk mengecualikan traffic dari intersepsi dan pengalihan.

Mengecualikan dari intersepsi menurut rentang alamat IP keluar

Anda dapat mengecualikan traffic dari intersepsi menurut rentang alamat IP.

...
metadata:
  annotations:
    cloud.google.com/excludeOutboundCIDRs: "10.0.0.1/32,169.254.169.254/32"

Anotasi Pod cloud.google.com/excludeOutboundCIDRs adalah daftar rentang alamat IP keluar yang dipisahkan koma dalam format CIDR. Traffic keluar yang dituju ke rentang alamat IP ini tidak dialihkan ke sidecar Envoy.

Perhatikan bahwa Anda perlu mencantumkan 169.254.169.254/32 dalam anotasi Pod untuk memastikan aplikasi dapat berkomunikasi dengan server metadata. Jika Anda tidak menentukan anotasi Pod cloud.google.com/excludeOutboundCIDRs, intersepsi traffic akan dikonfigurasi untuk mengecualikan rentang CIDR keluar "169.254.169.254/32".

Menyertakan dalam intersepsi menurut rentang alamat IP keluar

Anda dapat menyertakan traffic dalam intersepsi menurut rentang alamat IP.

...
metadata:
  annotations:
    cloud.google.com/includeOutboundCIDRs: "10.0.0.1/32,169.254.169.254/32"

Anotasi Pod cloud.google.com/includeOutboundCIDRs adalah daftar rentang alamat IP keluar yang dipisahkan koma dalam format CIDR. Traffic keluar yang dituju ke rentang alamat IP ini dialihkan ke sidecar Envoy.

Karakter pengganti * dapat digunakan untuk mengalihkan semua traffic keluar. Daftar kosong akan menonaktifkan semua traffic keluar. Anotasi ditetapkan secara default ke *.

Mengecualikan dari intersepsi berdasarkan nomor port keluar

Anda dapat mengecualikan traffic dari intersepsi dan pengalihan berdasarkan nomor port keluar.

...
metadata:
  annotations:
    cloud.google.com/excludeOutboundPorts: "10001, 10002"

Anotasi Pod cloud.google.com/excludeOutboundPorts adalah daftar port keluar yang dipisahkan koma. Traffic keluar yang dituju ke port ini dikecualikan dari intersepsi dan pengalihan ke sidecar Envoy.

Jika Anda tidak menentukan anotasi cloud.google.com/excludeOutboundPorts, traffic keluar yang ditujukan ke port mana pun akan dicegat dan dialihkan ke sidecar Envoy. Hal ini setara dengan meneruskan anotasi cloud.google.com/excludeOutboundPorts dengan daftar kosong ("").

Menyertakan dalam intersepsi berdasarkan nomor port masuk

Anda dapat menyertakan traffic dalam intersepsi berdasarkan nomor port masuk.

...
metadata:
  annotations:
    cloud.google.com/includeInboundPorts: "10001, 10002"

Anotasi Pod cloud.google.com/includeInboundPorts adalah daftar port masuk yang dipisahkan koma yang traffic-nya akan dialihkan ke sidecar Envoy. Karakter pengganti * dapat digunakan untuk mengonfigurasi pengalihan untuk semua port. Nilai kosong akan menonaktifkan semua pengalihan masuk. Nilai defaultnya adalah string kosong ("").

Mengecualikan dari intersepsi berdasarkan nomor port masuk

Anda dapat mengecualikan traffic dari intersepsi berdasarkan nomor port masuk.

...
metadata:
  annotations:
    cloud.google.com/excludeInboundPorts: "10001, 10002"

Anotasi Pod cloud.google.com/excludeInboundPorts adalah daftar port masuk yang dipisahkan koma yang akan dikecualikan dari pengalihan ke sidecar Envoy. Anotasi hanya berlaku jika semua traffic masuk (*) dialihkan. Nilai defaultnya adalah string kosong ("").

Mengaktifkan sertifikat terkelola

Anda dapat mengaktifkan sertifikat workload terkelola.

...
metadata:
  annotations:
    cloud.google.com/enableManagedCerts: "true"

Jika anotasi Pod cloud.google.com/enableManagedCerts ditetapkan ke true, sertifikat workload yang dikelola GKE yang ditandatangani oleh Layanan Otoritas Sertifikat akan disisipkan dan dipasang di penampung sidecar. Nilai anotasi secara default adalah false.

Mengonfigurasi metadata proxy file bantuan

Untuk mendukung fitur Cloud Service Mesh tambahan, proxy sidecar dapat mewarisi metadata tertentu dari Pod yang mengenkapsulasinya. Ada dua cara untuk melakukannya. Kedua opsi tersebut menambahkan metadata dan membagikan metadata ke Cloud Service Mesh saat proxy sidecar terhubung ke Cloud Service Mesh. Opsi ini bersifat mutlak.

Opsi pertama memungkinkan Anda menentukan setiap key-value pair metadata. Misalnya, sertakan anotasi berikut dalam spesifikasi template Pod Anda untuk menerapkan label "version": "dev" ke proxy sidecar yang dimasukkan.

...
metadata:
  annotations:
    cloud.google.com/proxyMetadata: '{"version": "dev"}'

Opsi kedua menambahkan semua label Pod ke proxy sidecar yang dimasukkan Pod.

...
metadata:
  annotations:
    cloud.google.com/forwardPodLabels: "true"

Jika Anda tidak menentukan anotasi cloud.google.com/forwardPodLabels, label Pod tidak akan ditambahkan ke proxy sidecar. Perhatikan bahwa anotasi cloud.google.com/proxyMetadata dan cloud.google.com/forwardPodLabels tidak dapat terjadi secara bersamaan. Jika Anda menetapkan keduanya, cloud.google.com/forwardPodLabels akan diprioritaskan dan cloud.google.com/proxyMetadata akan diabaikan.

Pemfilteran konfigurasi kemudian memungkinkan Cloud Service Mesh membagikan subset konfigurasi hanya dengan proxy tertentu yang cocok dengan label "version": "dev" ini.

Deployment yang ada harus dimulai ulang agar konfigurasi ini diterapkan.

Anotasi pod yang didukung

Cloud Service Mesh mendukung anotasi Pod berikut untuk injeksi sidecar. Meskipun anotasi injektor sidecar tambahan mungkin berfungsi, daftar berikut mewakili anotasi yang didukung Cloud Service Mesh. Untuk menghindari kerusakan atau ketidakstabilan, jangan buat dependensi pada anotasi lain dalam deployment produksi Anda.

Nama Anotasi	Nilai	Deskripsi
td-injection	Boolean, direpresentasikan sebagai string. Misalnya: "true"	Menentukan apakah sidecar Envoy harus otomatis dimasukkan ke dalam workload atau tidak.
cloud.google.com/proxyMetadata	Peta JSON key-value pair. Misalnya: "'{"version": "dev"}'"	Menentukan key-value pair dalam peta JSON yang harus ditambahkan ke metadata Envoy.
cloud.google.com/forwardPodLabels	"true" atau "false"	Jika ditetapkan ke "true", semua label Pod akan ditambahkan ke metadata Envoy, dan anotasi "cloud.google.com/proxyMetadata" akan diabaikan. Default-nya adalah "false".
cloud.google.com/excludeOutboundPorts	Daftar port keluar yang dipisahkan koma	Traffic keluar yang menunjukkan salah satu port tujuan ini dikecualikan dari intersepsi/pengalihan ke sidecar Envoy. Traffic ini akan mengabaikan proxy Envoy dan tidak akan ditangani sesuai dengan konfigurasi Cloud Service Mesh. Default-nya adalah string kosong (yaitu "").
cloud.google.com/includeInboundPorts	Daftar port masuk yang dipisahkan koma	Daftar port masuk yang dipisahkan koma yang traffic-nya dialihkan ke sidecar Envoy. Gunakan karakter pengganti `*` untuk mengonfigurasi pengalihan untuk semua port. Nilai kosong akan menonaktifkan semua pengalihan masuk. Nilai defaultnya adalah string kosong ("").
cloud.google.com/excludeInboundPorts	Daftar port masuk yang dipisahkan koma	Daftar port masuk yang dipisahkan koma yang traffic-nya tidak dialihkan ke sidecar Envoy. Anotasi hanya berlaku saat semua traffic masuk (*) dialihkan. Nilai defaultnya adalah string kosong ("").
cloud.google.com/excludeOutboundCIDRs	Daftar rentang IP keluar yang dipisahkan koma dalam bentuk CIDR.	Traffic keluar yang menunjukkan salah satu IP tujuan ini dikecualikan dari intersepsi/pengalihan ke sidecar Envoy. Traffic ini akan mengabaikan proxy Envoy dan tidak akan ditangani sesuai dengan konfigurasi Cloud Service Mesh. Secara default "169.254.169.254/32", yang merupakan rentang yang diperlukan untuk berkomunikasi dengan server metadata. Perhatikan bahwa rentang ini diperlukan sehingga jika Anda menentukan anotasi `excludeOutboundCIDRs`, pastikan Anda juga menyertakan "169.254.169.254/32" selain CIDR lainnya. Pastikan tidak ada spasi dalam daftar yang dipisahkan koma.
cloud.google.com/includeOutboundCIDRs	Daftar rentang IP keluar yang dipisahkan koma dalam bentuk CIDR.	Traffic keluar yang menunjukkan salah satu IP tujuan ini disertakan dalam intersepsi/pengalihan ke sidecar Envoy. Traffic ini diarahkan ke proxy Envoy dan ditangani sesuai dengan konfigurasi Cloud Service Mesh. Secara default "169.254.169.254/32", yang merupakan rentang yang diperlukan untuk berkomunikasi dengan server metadata. Perhatikan bahwa rentang ini diperlukan sehingga jika Anda menentukan anotasi `includeOutboundCIDRs`, pastikan Anda juga menyertakan "169.254.169.254/32" selain CIDR lainnya. Pastikan tidak ada spasi dalam daftar yang dipisahkan koma.
cloud.google.com/enableManagedCerts	Boolean, direpresentasikan sebagai string. Misalnya: "true"	Jika ditetapkan ke "true", sertifikat workload yang dikelola GKE yang ditandatangani oleh Layanan Certificate Authority akan disisipkan dan dipasang di penampung sidecar. Nilai defaultnya adalah "false".

Meng-uninstal injector sidecar

Uninstal injector sidecar dengan perintah berikut:

kubectl delete MutatingWebhookConfiguration td-mutating-webhook
kubectl label namespace default td-injection-

Catatan: perintah di atas akan meng-uninstal injector sidecar, tetapi proxy sidecar yang dimasukkan akan tetap ada hingga dimulai ulang secara bertahap berikutnya atau penghapusan pod secara manual.