Installazione di Anthos Service Mesh

Anteprima - asmcli

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

In questa pagina viene spiegato come:

• Esegui asmcli per eseguire una nuova installazione di Anthos Service Mesh 1.10.6-asm.2.
• Esegui il deployment o riesegui il deployment dei tuoi carichi di lavoro per inserire proxy sidecar.

Nota: l'aggiunta di macchine virtuali Compute Engine al mesh di servizi richiede opzioni specifiche quando installi Anthos Service Mesh. Per la procedura dettagliata, consulta Aggiungere macchine virtuali Compute Engine ad Anthos Service Mesh.

Prima di iniziare

Prima di iniziare, assicurati di:

• Esamina i prerequisiti.
• Consulta le informazioni riportate in Pianificare l'installazione.
• Installare gli strumenti richiesti
• Scarica asmcli
• Concedi le autorizzazioni di amministratore del cluster
• Convalida progetto e cluster

Installazione di Anthos Service Mesh

Di seguito viene descritto come installare Anthos Service Mesh:

1. Esegui asmcli install per installare il piano di controllo nel cluster su un singolo cluster. Per gli esempi di righe di comando, consulta le sezioni seguenti. Gli esempi contengono sia argomenti obbligatori sia argomenti facoltativi che potresti trovare utili. Ti consigliamo di specificare sempre l'argomento output_dir in modo da poter individuare facilmente strumenti e gateway di esempio come istioctl. Consulta la barra di navigazione sulla destra per un elenco di esempi.

2. Facoltativamente, installa un gateway in entrata.

3. Per completare la configurazione di Anthos Service Mesh, devi abilitare l'inserimento automatico di file collaterali e eseguire il deployment o rieseguire il deployment dei carichi di lavoro.

4. Se stai installando Anthos Service Mesh su più cluster, esegui asmcli install su ciascun cluster. Dopo aver installato Anthos Service Mesh su tutti i cluster, consulta Configurazione di un mesh multi-cluster on-premise

5. Se i tuoi cluster si trovano su reti diverse (in modalità isola), devi passare un nome di rete univoco a asmcli utilizzando il flag --network_id.

Installa le funzionalità predefinite e Mesh CA

Questa sezione mostra come eseguire asmcli per installare Anthos Service Mesh con le funzionalità supportate predefinite per la tua piattaforma e come abilitare l'autorità di certificazione Anthos Service Mesh (CA mesh) come autorità di certificazione.

GKE

Esegui questo comando per installare il nuovo piano di controllo con funzionalità predefinite. Inserisci i valori nei segnaposto forniti.

./asmcli install \
  --project_id PROJECT_ID \
  --cluster_name CLUSTER_NAME \
  --cluster_location CLUSTER_LOCATION \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca mesh_ca

• --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
• --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
• --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
• --enable_all Consente allo script di:
  • Concedi le autorizzazioni IAM richieste.
  • Abilita le API di Google richieste.
  • Imposta un'etichetta sul cluster che identifica il mesh.
  • Registra il cluster nel parco risorse, se non è già registrato.
• --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura Mesh CA per utilizzare l'identità del carico di lavoro del parco risorse

On-premise

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui questo comando per installare il nuovo piano di controllo con funzionalità predefinite. Inserisci i valori nei segnaposto forniti.

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso del file kubeconfig Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
   • --platform multicloud Specifica che la piattaforma è on-premise.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta un'etichetta sul cluster che identifica il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura Mesh CA per utilizzare l'identità del carico di lavoro del parco risorse

Installa le funzionalità predefinite con la CA Istio

Questa sezione spiega come:

• Genera certificati e chiavi per la CA Istio utilizzata da Anthos Service Mesh per firmare i carichi di lavoro.
• Esegui asmcli per installare Anthos Service Mesh con funzionalità predefinite e attiva Istio CA.

Per la massima sicurezza, consigliamo vivamente di mantenere una CA radice offline e di utilizzare le CA subordinate per emettere certificati per ogni cluster. Per ulteriori informazioni, consulta la sezione Collegare certificati CA. In questa configurazione, tutti i carichi di lavoro nel mesh di servizi utilizzano la stessa autorità di certificazione (CA) radice. Ogni CA Anthos Service Mesh utilizza una chiave e un certificato di firma della CA intermedia, firmati dalla CA radice. Quando sono presenti più CA all'interno di un mesh, viene stabilita una gerarchia di attendibilità tra le CA. Puoi ripetere questi passaggi per eseguire il provisioning di certificati e chiavi per un numero qualsiasi di autorità di certificazione.

Importante: questi passaggi creano certificati e chiavi utilizzando un comando make fornito a solo scopo illustrativo. Per la massima sicurezza, utilizza un computer protetto offline e strumenti pronti per la produzione, ad esempio utilizzando HashiCorp Vault per generare e proteggere in modo sicuro la chiave di firma della CA.

1. Crea una directory per i certificati e le chiavi:

   mkdir -p certs && \
   pushd certs

2. Genera un certificato radice e una chiave:

   make -f ../tools/certs/Makefile.selfsigned.mk root-ca
   

   Questo genera i seguenti file:

   • root-cert.pem: il certificato radice
   • root-key.pem: la chiave radice
   • root-ca.conf: la configurazione di beginsl per generare il certificato radice
   • root-cert.csr: la richiesta di firma del certificato per il certificato radice

3. Genera un certificato e una chiave intermedi:

   make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts

   Questo genera i seguenti file in una directory denominata cluster1:

   • ca-cert.pem: i certificati intermedi
   • ca-key.pem: la chiave intermedia
   • cert-chain.pem: la catena di certificati utilizzata da istiod
   • root-cert.pem: il certificato radice
   Nota: puoi sostituire cluster1 con un nome diverso. Ad esempio, make mycluster-cacerts crea una directory denominata mycluster.

   Se esegui questi passaggi utilizzando un computer offline, copia la directory generata su un computer con accesso ai cluster.

4. Torna alla directory precedente:

   popd

5. Esegui asmcli per installare un mesh utilizzando la CA Istio:

   GKE

    ./asmcli install \
      --project_id PROJECT_ID \
      --cluster_name CLUSTER_NAME \
      --cluster_location CLUSTER_LOCATION \
      --fleet_id FLEET_PROJECT_ID \
      --output_dir DIR_PATH \
      --enable_all \
      --ca citadel \
      --ca_cert CA_CERT_FILE_PATH \
      --ca_key CA_KEY_FILE_PATH \
      --root_cert ROOT_CERT_FILE_PATH \
      --cert_chain CERT_CHAIN_FILE_PATH
   

   • --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
   • --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta un'etichetta sul cluster che identifica il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.

   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio
   • --ca_key La chiave per il certificato intermedio
   • --root_cert Il certificato radice
   • --cert_chain La catena di certificati

   On-premise

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui questo comando per installare Anthos Service Mesh con le funzionalità predefinite e la CA Istio:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso del file kubeconfig Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
      • --platform multicloud Specifica che la piattaforma è on-premise.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta un'etichetta sul cluster che identifica il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati

Installa con funzionalità facoltative

Un file overlay è un file YAML contenente una risorsa IstioOperator personalizzata (CR) che passi a asmcli per configurare il piano di controllo. Puoi eseguire l'override della configurazione predefinita del piano di controllo e abilitare una funzionalità facoltativa passando il file YAML a asmcli. Puoi aggiungere più overlay: ogni file di overlay sostituisce la configurazione dei livelli precedenti.

GKE

Esegui questo comando per installare il nuovo piano di controllo con funzionalità predefinite. Inserisci i valori nei segnaposto forniti.

./asmcli install \
  --project_id PROJECT_ID \
  --cluster_name CLUSTER_NAME \
  --cluster_location CLUSTER_LOCATION \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca mesh_ca \
  --custom_overlay OVERLAY_FILE

• --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
• --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster durante la registrazione del cluster.
• --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
• --enable_all Consente allo script di:
  • Concedi le autorizzazioni IAM richieste.
  • Abilita le API di Google richieste.
  • Imposta un'etichetta sul cluster che identifica il mesh.
  • Registra il cluster nel parco risorse, se non è già registrato.
• --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. Tieni presente che asmcliconfigura Mesh CA per l'utilizzo dell'identità del carico di lavoro del parco risorse
• --custom_overlay Specifica il nome del file dell'overlay.

On-premise

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui questo comando per installare il nuovo piano di controllo con funzionalità predefinite. Inserisci i valori nei segnaposto forniti.

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca \
     --custom_overlay OVERLAY_FILE
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso del file kubeconfig Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e file manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona in questo caso.
   • --platform multicloud Specifica che la piattaforma è on-premise.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta un'etichetta sul cluster che identifica il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. Tieni presente che asmcliconfigura Mesh CA per l'utilizzo dell'identità del carico di lavoro del parco risorse
   • --custom_overlay Specifica il nome del file dell'overlay.

Installa gateway

Anthos Service Mesh ti offre la possibilità di eseguire il deployment e gestire gateway come parte del tuo mesh di servizi. Un gateway descrive un bilanciatore del carico che opera sul perimetro della rete mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono proxy Envoy che ti forniscono un controllo granulare sul traffico in entrata e in uscita dal mesh.

1. Crea uno spazio dei nomi per il gateway in entrata, se non ne hai già uno. I gateway sono carichi di lavoro degli utenti e, come best practice, non deve essere eseguito il deployment nello spazio dei nomi del piano di controllo. Sostituisci GATEWAY_NAMESPACE con il nome del tuo spazio dei nomi.

   kubectl create namespace GATEWAY_NAMESPACE
   

2. Abilita l'inserimento automatico sul gateway applicando un'etichetta di revisione allo spazio dei nomi del gateway. L'etichetta di revisione viene utilizzata dal webhook dell'iniettore sidecar per associare i proxy inseriti a una determinata revisione del piano di controllo. L'etichetta di revisione da utilizzare dipende dal deployment di Anthos Service Mesh gestito o del piano di controllo nel cluster.

   1. Utilizza il seguente comando per individuare l'etichetta di revisione su istiod:

      kubectl -n istio-system get pods -l app=istiod --show-labels
      

      L'output è simile al seguente:

      NAME                                READY   STATUS    RESTARTS   AGE   LABELS
      istiod-asm-1106-2-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1106-2,istio=istiod,pod-template-hash=5788d57586
      istiod-asm-1106-2-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1106-2,istio=istiod,pod-template-hash=5788d57586

      Nell'output, sotto la colonna LABELS, prendi nota del valore dell'etichetta di revisione istiod, che segue il prefisso istio.io/rev=. In questo esempio, il valore è asm-1106-2.

   2. Applica l'etichetta di revisione allo spazio dei nomi. Nel comando seguente, REVISION è il valore dell'etichetta di revisione istiod che hai annotato nel passaggio precedente.

      kubectl label namespace GATEWAY_NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
      

   Puoi ignorare il messaggio "istio-injection not found" nell'output. Ciò significa che lo spazio dei nomi non aveva in precedenza l'etichetta istio-injection, cosa che dovresti aspettarti nelle nuove installazioni di Anthos Service Mesh o nei nuovi deployment. Poiché l'inserimento automatica non riesce se uno spazio dei nomi contiene sia l'etichetta istio-injection sia l'etichetta di revisione, tutti i comandi kubectl label nella documentazione di Anthos Service Mesh comprendono la rimozione dell'etichetta istio-injection.

3. Passa alla directory specificata in --output_dir.

4. Puoi eseguire il deployment della configurazione del gateway in entrata di esempio che si trova nella directory samples/gateways/istio-ingressgateway/ così com'è oppure modificarla in base alle tue esigenze.

   kubectl apply -n GATEWAY_NAMESPACE -f samples/gateways/istio-ingressgateway
   

Scopri di più sulle best practice per i gateway.

Esegui il deployment dei carichi di lavoro ed eseguine nuovamente il deployment

Anthos Service Mesh utilizza i proxy sidecar per migliorare la sicurezza, l'affidabilità e l'osservabilità della rete. Con Anthos Service Mesh, queste funzioni vengono astratte dal container principale dell'applicazione e implementate in un proxy out-of-process comune, fornito come container separato nello stesso pod.

L'installazione non è completa finché non attivi l'inserimento automatico del proxy sidecar (inserimento automatico) e riavvii i pod per qualsiasi carico di lavoro in esecuzione sul tuo cluster prima dell'installazione di Anthos Service Mesh.

Per abilitare l'inserimento automatico, etichetta gli spazi dei nomi con l'etichetta di revisione che è stata impostata il giorno istiod al momento dell'installazione di Anthos Service Mesh. L'etichetta di revisione viene utilizzata dal webhook iniettore sidecar per associare i file collaterali inseriti a una determinata revisione istiod. Dopo aver aggiunto l'etichetta, tutti i pod esistenti nello spazio dei nomi devono essere riavviati per poter inserire i file collaterali.

Prima di eseguire il deployment di nuovi carichi di lavoro in un nuovo spazio dei nomi, assicurati di configurare l'inserimento automatico in modo che Anthos Service Mesh possa monitorare e proteggere il traffico.

Per abilitare l'inserimento automatico:

1. Utilizza il seguente comando per individuare l'etichetta di revisione su istiod:

   kubectl -n istio-system get pods -l app=istiod --show-labels
   

   L'output è simile al seguente:

   NAME                                READY   STATUS    RESTARTS   AGE   LABELS
   istiod-asm-1106-2-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1106-2,istio=istiod,pod-template-hash=5788d57586
   istiod-asm-1106-2-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1106-2,istio=istiod,pod-template-hash=5788d57586

   Nell'output, sotto la colonna LABELS, prendi nota del valore dell'etichetta di revisione istiod, che segue il prefisso istio.io/rev=. In questo esempio, il valore è asm-1106-2.

2. Applica l'etichetta di revisione e rimuovi l'etichetta istio-injection, se esistente. Nel seguente comando, NAMESPACE è il nome dello spazio dei nomi in cui vuoi abilitare l'inserimento automatico e REVISION è l'etichetta di revisione che hai annotato nel passaggio precedente.

   kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
   

   Puoi ignorare il messaggio "istio-injection not found" nell'output. Ciò significa che lo spazio dei nomi non aveva in precedenza l'etichetta istio-injection, cosa che dovresti aspettarti nelle nuove installazioni di Anthos Service Mesh o nei nuovi deployment. Poiché l'inserimento automatica non riesce se uno spazio dei nomi contiene sia l'etichetta istio-injection sia l'etichetta di revisione, tutti i comandi kubectl label nella documentazione di Anthos Service Mesh comprendono la rimozione dell'etichetta istio-injection.

3. Se i carichi di lavoro erano in esecuzione sul tuo cluster prima dell'installazione di Anthos Service Mesh, riavvia i pod per attivare la reiniezione.

   La modalità di riavvio dei pod dipende dall'applicazione e dall'ambiente in cui si trova il cluster. Ad esempio, nell'ambiente di gestione temporanea potresti semplicemente eliminare tutti i pod, il che comporta il riavvio. Tuttavia, nell'ambiente di produzione potresti avere un processo che implementa un deployment blu/verde in modo da poter riavviare i pod in modo sicuro ed evitare interruzioni del traffico.

   Puoi utilizzare kubectl per eseguire un riavvio in sequenza:

   kubectl rollout restart deployment -n NAMESPACE
   

4. Verifica che i pod siano configurati in modo da puntare alla nuova versione di istiod.

   kubectl get pods -n NAMESPACE -l istio.io/rev=REVISION
   

Che cosa succede dopo?

• GKE: configurare una rete multi-mesh

• On-premise:

  • Configurare un indirizzo IP esterno
  • Configura una rete mesh multi-cluster