准备从 Istio 迁移

从 Istio 迁移到 Anthos Service Mesh 需要一些规划。本页面提供的信息可帮助您为迁移做好准备。

查看支持的功能

Anthos Service Mesh 支持的功能因平台而异。如需了解哪些功能适用于您的平台,请查看支持的功能。某些功能默认处于启用状态,其他功能可以通过创建 IstioOperator 配置文件视需要启用

准备配置文件

如果您自定义了 Istio 安装,则在迁移到 Anthos Service Mesh 时也需要使用相同的自定义设置。如果您通过添加 --set values 标志自定义了安装,请将这些设置添加到 IstioOperator YAML 文件中。您可以在运行 istioctl install 命令时使用 -f 标志指定该文件。如果您要使用 Google 提供的 install_asm 脚本迁移到 Anthos Service Mesh,则可以在该文件中指定 --custom_overlay 选项。

选择证书授权机构

您可以继续使用 Istio CA(以前称为 Citadel)作为颁发双向 TLS (mTLS) 的证书授权机构 (CA),或您可以选择迁移到 Anthos Service Mesh 证书授权机构 (Mesh CA)。

除非您需要自定义 CA(例如 HashiCorp Vault),否则我们建议您使用 Mesh CA,原因如下:

  • Mesh CA 是一项高度可靠的可扩缩服务,针对 Google Cloud 上动态扩缩的工作负载进行了优化。
  • 通过 Mesh CA,Google 负责管理 CA 后端的安全性和可用性。
  • Mesh CA 让您可在集群中依赖单个信任根。

从 Istio CA 迁移到 Mesh CA 需要迁移信任根。迁移到 Mesh CA 时,可选择以下选项:

  • 为迁移安排停机时间。从操作角度来看,这是最简单的选项,但由于 mTLS 流量在迁移过程中会中断,因此您需要安排停机时间。如需了解详情,请参阅以下指南:

  • 如果您无法为迁移到 Mesh CA 安排停机时间,则可以选择以下方式:

    • 同一项目中的 GKE 集群:您可以选择分发新的信任根,然后迁移到 Mesh CA。通过这种方法,mTLS 流量不会中断,因此您不需要安排停机时间,但迁移过程需要执行更多步骤。如需了解详情,请参阅迁移到 Mesh CA

    • 不同项目中的 GKE 集群:继续使用 Istio CA。请参阅从 Istio 迁移到 Anthos Service Mesh