Installazione di più progetti su GKE

Questa guida spiega come installare Anthos Service Mesh per una rete mesh contenente più cluster Google Kubernetes Engine (GKE) che si trovano in progetti Google Cloud diversi.

Puoi utilizzare questa guida per i seguenti casi d'uso relativi all'onboarding:

  • Nuove installazioni di Anthos Service Mesh 1.11.8.

  • Upgrade da 1.9 or a 1.10 patch release ad Anthos Service Mesh 1.11.8. Gli upgrade dalle versioni precedenti non sono supportati.

  • Migrazione da Istio open source ad Anthos Service Mesh 1.11.8. Se hai una versione precedente di Istio, devi eseguire l'upgrade prima di eseguire la migrazione ad Anthos Service Mesh. Se devi eseguire l'upgrade, vai alla pagina Esegui l'upgrade di Istio nella versione applicabile di Istio. Tieni presente che l'upgrade di Istio in più di una versione secondaria (ad esempio da 1.6.x a 1.8.x) in un solo passaggio non è ufficialmente testato né consigliato. Assicurati di consultare la Preparazione per la migrazione da Istio per pianificare la migrazione.

Non tutte le funzionalità sono disponibili per una mesh di servizi con cluster in progetti diversi. In particolare, le dashboard Anthos Service Mesh nella console Google Cloud non sono attualmente disponibili. Tuttavia, puoi comunque visualizzare i log in Cloud Logging e le metriche in Cloud Monitoring per ogni progetto.

Prima di iniziare

Questa guida presuppone che tu abbia già:

Se stai eseguendo la migrazione da Istio, consulta la pagina Preparazione per la migrazione da Istio.

Differenze tra Anthos e Anthos Service Mesh

Anthos Service Mesh è disponibile con GKE Enterprise o come servizio autonomo. Le API di Google vengono utilizzate per determinare le modalità di fatturazione. Per utilizzare Anthos Service Mesh come servizio autonomo, non abilitare l'API GKE Enterprise nel tuo progetto. Per informazioni sui prezzi di Anthos Service Mesh, consulta i prezzi.

  • Gli abbonati a GKE Enterprise devono abilitare l'API GKE Enterprise.

    Abilitare l'API

  • Se non sei un abbonato a GKE Enterprise, puoi comunque installare Anthos Service Mesh, ma alcuni elementi e funzionalità dell'interfaccia utente nella console Google Cloud sono disponibili solo per gli abbonati a GKE Enterprise. Per informazioni su ciò che è disponibile per gli abbonati e i non abbonati, consulta Differenze nell'interfaccia utente di GKE Enterprise e Anthos Service Mesh.

  • Se hai abilitato l'API GKE Enterprise, ma vuoi utilizzare Anthos Service Mesh come servizio autonomo, disattiva l'API GKE Enterprise.

Requisiti

Scelta di un'autorità di certificazione

Per le nuove installazioni e migrazioni da Istio, puoi utilizzare l'autorità di certificazione Anthos Service Mesh (Mesh CA) o Istio's Citadel come autorità di certificazione (CA) per emettere certificati mTLS (mutual TLS).

A meno che tu non abbia bisogno di una CA personalizzata, come HashiCorp Vault, ti consigliamo di utilizzare Mesh CA per i seguenti motivi:

  • Mesh CA è un servizio altamente affidabile e scalabile, ottimizzato per carichi di lavoro con scalabilità dinamica su Google Cloud.
  • Con Mesh CA, Google gestisce la sicurezza e la disponibilità del backend della CA.
  • Mesh CA consente di fare affidamento su un'unica radice di attendibilità tra i cluster.

Se esegui la migrazione da Istio, puoi scegliere di eseguire la migrazione alla CA mesh o continuare a utilizzare la CA Citadel di Istio. Se scegli Citadel, il tempo di inattività è ridotto perché il traffico mTLS non viene interrotto durante la migrazione. Se scegli Mesh CA, devi pianificare il tempo di inattività per la migrazione perché la radice di attendibilità cambia da Citadel a Mesh CA. Per completare la migrazione alla radice di attendibilità della CA mesh, è necessario riavviare tutti i pod in tutti gli spazi dei nomi. Durante questo processo, i pod precedenti non possono stabilire connessioni mTLS con i nuovi pod.

I certificati di Mesh CA includono i seguenti dati sui servizi dell'applicazione:

  • ID progetto Google Cloud
  • Lo spazio dei nomi GKE
  • Il nome dell'account di servizio GKE

Registrazione del cluster in corso

Devi registrare il cluster nel parco risorse del tuo progetto (precedentemente noto come environ). Un parco risorse consente di organizzare i cluster per semplificare la gestione di più cluster. Registrando i cluster in un parco risorse, puoi raggruppare servizi e altre infrastrutture in base alle esigenze per applicare criteri coerenti. Se hai cluster in progetti diversi, devi registrarli nel progetto host del parco risorse anziché con il progetto in cui è stato creato il cluster. Per maggiori dettagli su come registrare il cluster, consulta Registrazione dei cluster nel parco risorse.

Il concetto di progetto host del parco risorse è importante quando configuri il cluster per abilitare le opzioni richieste da Anthos Service Mesh. Il mesh di servizi per il tuo cluster è identificato con un valore basato su un numero di progetto. Quando configuri cluster da progetti diversi, devi utilizzare il numero di progetto per il progetto host del parco risorse.