asmcli 参考

本页面介绍了 asmcli 的可用参数。

选项

识别集群 您可以使用以下选项来识别集群：

仅限 GKE

-p|--project_id CLUSTER_PROJECT_ID
在其中创建集群的项目的 ID。
-n|--cluster_name CLUSTER_NAME
集群的名称。
-l|--cluster_location CLUSTER_LOCATION
集群（对于单区域集群）或区域（对于区域级集群）。

所有平台

--kubeconfig KUBECONFIG_FILE

--ctx|--context KUBE_CONTEXT：要使用的 kubeconfig 上下文。

-c|--ca {mesh_ca|citadel}
用于管理双向 TLS 证书的证书授权机构 (CA)。指定 mesh_ca 以使用 Anthos Service Mesh 证书授权机构 (Mesh CA)，或指定 citadel 以使用 Istio CA。如需了解应使用哪个 CA，请参阅选择证书授权机构。如需了解使用 Istio CA 时必须指定的其他选项，请参阅 Istio CA 自定义证书选项。
--co|--custom_overlay YAML_FILE
IstioOperator 自定义资源 (CR) YAML 文件的名称，用于启用默认情况下未启用的功能。该脚本必须能够找到该 YAML 文件，因此该文件必须与该脚本位于同一目录中，您也可以指定相对路径。如需添加多个文件，请指定 --co|--custom_overlay 和文件名，例如：--co overlay_file1.yaml --co overlay_file2.yaml --co overlay_file3.yaml
--hub-registration-extra-flags HUB_REGISTRATION_EXTRA_FLAGS
如果使用关联的 Amazon EKS 集群，请使用 --hub-registration-extra-flags 将集群注册到队列（如果尚未注册）。
--network_id NETWORK_ID
使用 --network_id 设置应用于 istio-system 命名空间的 topology.istio.io/network 标签。对于 GKE，--network_id 默认为集群的网络名称。对于其他环境，系统将使用 default。
-o|--option OPTION_FILE
YAML 文件名来自anthos-service-mesh，其包含IstioOperatorCR 可启用可选功能。添加其中某个文件时，您无需先下载 anthos-service-mesh 软件包，也无需指定 .yaml 扩展名。如需修改任何文件，请下载 anthos-service-mesh 软件包、进行更改，然后使用 --custom_overlay 选项。如需添加多个文件，请指定 -o|--option 和文件名，例如：-o option_file1 -o option_file2 -o option_file3
-D|--output_dir DIR_PATH
如果未指定，脚本将创建一个临时目录，用于下载安装 Anthos Service Mesh 所需的文件和配置。指定 --output-dir 标志以指定要改用的目录的相对路径。完成后，指定的目录包含 asm 和 istio-1.10.6-asm.2 子目录。asm 目录包含安装的配置。istio-1.10.6-asm.2 目录包含安装文件的解压缩内容，其中包含 istioctl、示例和清单。如果指定 --output-dir，并且目录已经包含必要的文件，则脚本会使用这些文件，而不是重新下载。
-r|--revision_name REVISION NAME>
修订版本标签是在控制层面上设置的键值对。修订版本标签键始终为 istio.io/rev。默认情况下，脚本会根据 Anthos Service Mesh 版本设置修订版本标签的值，例如：asm-1106-2。如果您想替换默认值并指定自己的值，请添加此选项。REVISION NAME 参数必须是 DNS-1035 标签，并且必须包含小写字母数字字符或 -，以字母字符开头，并以字母数字字符结尾（例如 my-name' 或 abc-123）。用于验证的正则表达式为：'[a-z]([-a-z0-9]*[a-z0-9])?')
-s|--service_account ACCOUNT
用于安装 Anthos Service Mesh 的服务账号的名称。如果未指定，则使用当前 gcloud 配置中的活动用户账号。如果您需要更改活跃用户账号，请运行 gcloud auth login。
-k|--key_file FILE_PATH
服务账号的密钥文件。如果您未使用服务账号，请忽略此选项。

Citadel 自定义证书选项

如果指定了 --ca citadel 并且您使用的是自定义 CA，请添加以下选项：

  • --ca_cert FILE_PATH：中间证书
  • --ca_key FILE_PATH：中间证书的密钥
  • --root_cert FILE_PATH：根证书
  • --cert_chain FILE_PATH：证书链

如需了解详情，请参阅在现有 CA 证书中插入。

启用标志

以 --enable 开头的标志让脚本可启用所需的 Google API，设置所需的 Identity and Access Management (IAM) 权限，以及更新您的集群。如《多项目安装指南》中的设置项目和设置集群部分所述，如果您愿意，您可以在运行脚本之前自行更新项目和集群。所有这些标志都与 --only_validate 不兼容，在这种情况下，脚本将终止并返回错误。

-e|--enable_all
允许脚本执行下文介绍的所有各项启用操作。
--enable_cluster_roles
允许脚本尝试将运行脚本的 Google Cloud 用户或服务账号绑定到集群上的 cluster-admin 角色。脚本根据 gcloud config get core/account 命令确定用户账号。如果您使用用户账号在本地运行脚本，请确保在运行脚本之前调用 gcloud auth login 命令。如果您需要更改用户账号，请运行 gcloud config set core/account GCP_EMAIL_ADDRESS 命令，其中 GCP_EMAIL_ADDRESS 是您用于登录 Google Cloud 的账号。
--enable_cluster_labels
允许脚本设置所需的集群标签。
--enable_gcp_components

允许脚本启用以下所需的 Google Cloud 代管式服务和组件：

--enable_gcp_apis

允许脚本启用所有所需的 Google API。

--enable_gcp_iam_roles

允许脚本设置所需的 IAM 权限。

--enable_registration

允许脚本将集群注册到集群所属的项目。如果您未包含此标志，请按照注册集群中的步骤手动注册集群。请注意，与其他启用标志不同，当您指定需要集群注册的选项（例如 --option vm 或 --option hub-meshca）时，--enable_registration 才会包含在 --enable_all 中。否则，您需要单独指定此标志。

其他标志

--dry_run
输出命令，但不执行这些命令。
--fleet_id
使用舰队的宿主项目 ID 将集群注册到舰队。此标志是非 Google Cloud 集群所必需的。如果没有为 Google Cloud 集群提供，则默认使用集群的项目 ID。您可以在安装之前运行 asmcli install 和 --fleet_id，也可以在安装过程中通过传递 --enable-registration 和 --fleet-id 标志来完成。此设置一经配置便无法更改。
--only_validate
运行验证，但不更新项目或集群，并且不安装 Anthos Service Mesh。此标志与启用标志不兼容。如果您使用任何启用标志指定 --only_validate，脚本会终止并显示错误。
--print_config
请将所有已编译的 YAML 输出到标准输出 (stdout)，而不是安装 Anthos Service Mesh。所有其他输出都会写入标准错误 (stderr)，即使它通常会转到 stdout 也是如此。当您指定此标志时，该脚本会跳过所有验证和设置操作。
--disable_canonical_service
默认情况下，该脚本会将规范化服务控制器部署到您的集群。如果您不希望脚本部署该控制器，请指定 --disable_canonical_service。如需了解详情，请参阅启用和停用规范化服务控制器。
-h|--help
显示描述选项和标志的帮助消息并退出。
-v|--verbose
在脚本运行时，如果输出命令，则接下来将运行。使用 --verbose 标志时，脚本还会在执行后输出该命令。
--version
打印 asmcli 版本并退出。如果您没有最新版本，则可以下载最新版本的 install_asm_1.10。

后续步骤