Configura Anthos Service Mesh para usar el servicio de CA

Advertencia: Esta vista previa de la integración de Certificate Authority Service (CA) con Anthos Service Mesh solo está diseñada para la experimentación. No recomendamos usar la versión de vista previa del servicio de CA en un entorno de producción. Los cambios de incompatibilidad con versiones anteriores con el servicio de CA se planean en abril. Cuando finaliza la vista previa:

El Servicio de CA de vista previa se cerrará y se borrarán todas las instancias de CA.
Cuando el Servicio de CA actualizado esté disponible, tendrás que volver a crear tus CA y actualizar Anthos Service Mesh a fin de configurarla para usar el Servicio de CA.
Se modificará la documentación sobre cómo crear una CA con el Servicio de CA y cómo configurar la integración.

Esta función está sujeta a las Condiciones de las ofertas de la fase previa a la DG de las Condiciones del Servicio de Google Cloud Platform. Las características de la fase previa a la DG pueden tener asistencia limitada, y los cambios en estas características puede que no sean compatibles con otras versiones de fase previa a la DG. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Además de la CA de Mesh, puedes configurar Anthos Service Mesh para que use Certificate Authority Service. Esta vista previa te brinda la oportunidad de experimentar con el Servicio de CA, que esperamos que sea adecuado para los siguientes casos de uso:

Si necesitas autoridades certificadoras para que firmen certificados de carga de trabajo en diferentes clústeres.
Si necesitas autoridades certificadoras para que firmen certificados de carga de trabajo que se conecten con una raíz empresarial personalizada.
Si necesitas respaldar tus claves de firma en un HSM administrado por Google.

El uso de la CA de Mesh se incluye en el precio de Anthos Service Mesh. El Servicio de CA no se incluye en el precio base de Anthos Service Mesh. El Servicio de CA es gratuito durante el período de vista previa.

En esta guía, se describe cómo integrar el Servicio de CA con una instalación nueva de 1.10.6-asm.2 de Anthos Service Mesh en GKE.

Configura el Servicio de CA

Cuando configures el servicio de CA a fin de prepararte para la integración con Anthos Service Mesh, te recomendamos que tengas en cuenta lo siguiente:

Crea la CA en el mismo proyecto que el clúster de GKE.
Configura una CA subordinada por clúster de GKE.
Crea la CA subordinada en la misma región de Google Cloud que el clúster.

Para comenzar a usar el servicio de CA, consulta la Guía de inicio rápido del servicio de CA.

Configura Anthos Service Mesh para usar el servicio de CA

Descarga el paquete kpt de Anthos Service Mesh:

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.10-asm asm

Otorga permiso a Anthos Service Mesh para usar el servicio de CA a fin de crear certificados de carga de trabajo. Reemplaza los valores de marcador de posición en los comandos por lo siguiente:
- SUB_CA_ID: El nombre de la CA subordinada que creaste.
- CA_LOCATION: La ubicación donde se creó la CA subordinada.
- PROJECT_ID: El ID del proyecto en el que creaste la CA.
```
gcloud beta privateca subordinates add-iam-policy-binding "SUB_CA_ID" \
    --location="CA_LOCATION" \
    --project="PROJECT_ID" \
    --member="serviceAccount:PROJECT_ID.svc.id.goog[istio-system/istiod-service-account]" \
    --role="roles/privateca.certificateManager"
```
Configura el paquete kpt de Anthos Service Mesh a fin de usar la CA subordinada para el clúster. Los siguientes pasos modifican el archivo asm/istio/options/private-ca.yaml.
1. Establece el nombre de la CA:
```
kpt cfg set asm anthos.servicemesh.external_ca.ca_name projects/PROJECT_ID/locations/CA_LOCATION/certificateAuthorities/SUB_CA_ID
```
2. Configura el ID del proyecto:
```
kpt cfg set asm gcloud.core.project PROJECT_ID
```
Sigue los pasos en Instala Anthos Service Mesh en GKE para usar la secuencia de comandos que proporciona Google a fin de instalar Anthos Service Mesh. Cuando ejecutes la secuencia de comandos, incluye la siguiente opción:
```
--option private-ca
```
Por ejemplo:
```
./install_asm \
  --project_id PROJECT_ID \
  --cluster_name CLUSTER_NAME \
  --cluster_location CLUSTER_LOCATION \
  --mode install \
  --enable_all \
  --option private-ca
```
Completa la instalación de Anthos Service Mesh para habilitar la inserción automática del proxy de sidecar en tus cargas de trabajo. Para obtener más información, consulta Implementa y vuelve a implementar cargas de trabajo.

¿Qué sigue?

Implementa la aplicación de muestra Online Boutique