从 Istio 迁移到 Anthos Service Mesh 需要一些规划。本页面提供的信息可帮助您为迁移做好准备。
查看支持的功能
Anthos Service Mesh 支持的功能因平台而异。如需了解哪些功能适用于您的平台,请查看支持的功能。某些功能默认处于启用状态,其他功能可以通过创建 IstioOperator
配置文件视需要启用。
准备配置文件
如果您自定义了 Istio 安装,则在迁移到 Anthos Service Mesh 时也需要使用相同的自定义设置。如果您通过添加 --set values
标志自定义了安装,请将这些设置添加到 IstioOperator
YAML 文件中。您可以在运行 istioctl install
命令时使用 -f
标志指定该文件。如果您要使用 Google 提供的 install_asm
脚本迁移到 Anthos Service Mesh,则可以在该文件中指定 --custom_overlay
选项。
选择证书授权机构
您可以继续使用 Istio CA(以前称为 Citadel)作为颁发双向 TLS (mTLS) 的证书授权机构 (CA),或您可以选择迁移到 Anthos Service Mesh 证书授权机构 (Mesh CA)。
除非您需要自定义 CA(例如 HashiCorp Vault),否则我们建议您使用 Mesh CA,原因如下:
- Mesh CA 是一项高度可靠的可扩缩服务,针对 Google Cloud 上动态扩缩的工作负载进行了优化。
- 通过 Mesh CA,Google 负责管理 CA 后端的安全性和可用性。
- Mesh CA 让您可在集群中依赖单个信任根。
从 Istio CA 迁移到 Mesh CA 需要迁移信任根。迁移到 Mesh CA 时,可选择以下选项:
为迁移安排停机时间。从操作角度来看,这是最简单的选项,但由于 mTLS 流量在迁移过程中会中断,因此您需要安排停机时间。如需了解详情,请参阅以下指南:
相同项目中的 GKE 集群:迁移到 Mesh CA 但有停机。
不同项目中的 GKE 集群:从 Istio 迁移到 Anthos Service Mesh。
如果您无法为迁移到 Mesh CA 安排停机时间,则可以选择以下方式:
同一项目中的 GKE 集群:您可以选择分发新的信任根,然后迁移到 Mesh CA。通过这种方法,mTLS 流量不会中断,因此您不需要安排停机时间,但迁移过程需要执行更多步骤。如需了解详情,请参阅迁移到 Mesh CA。
不同项目中的 GKE 集群:继续使用 Istio CA。请参阅从 Istio 迁移到 Anthos Service Mesh。