Anthos Service Mesh 1.11 ist abgelaufen und wird nicht mehr unterstützt. Siehe Upgraden von früheren Versionen.

Lesen Sie die aktuelle Dokumentation oder wählen Sie eine andere verfügbare Version aus:

Verfügbare Versionen

Anthos Service Mesh installieren

Warnung: install_asm- und istioctl install-Befehle werden mit dem Release von Anthos Service Mesh 1.11 verworfen und mit dem 1.12-Release nicht mehr unterstützt. Aktualisieren Sie Ihre Skripts und Tools für die Verwendung von asmcli. Weitere Informationen finden Sie unter Umstellung auf asmcli.

Diese Seite ist Teil einer mehrseitigen Anleitung, in der erläutert wird, wie Sie die Anthos Service Mesh-Version 1.11.8 in einem GKE-Cluster für ein Mesh-Netzwerk mit mehreren Clustern installieren, die sich in verschiedenen Google Cloud-Projekten befinden.

< Zurück

Hinweise

Bevor Sie Anthos Service Mesh installieren, müssen folgende Voraussetzungen erfüllt sein:

Richten Sie Ihre Umgebung ein, um die benötigten Tools zu installieren.
Richten Sie Ihr Projekt ein, um die erforderlichen APIs zu aktivieren und Berechtigungen festzulegen.
Richten Sie den Cluster ein, um die erforderlichen Clusteroptionen zu aktivieren.

Anmeldedaten und Berechtigungen festlegen

Initialisieren Sie Ihr Projekt, um es für die Installation vorzubereiten. Mit diesem Befehl wird unter anderem ein Dienstkonto erstellt, mit dem Komponenten der Datenebene, wie der Sidecar-Proxy, sicher auf die Daten und Ressourcen Ihres Projekts zugreifen können.
```
curl --request POST \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --data '' \
  "https://meshconfig.googleapis.com/v1alpha1/projects/${PROJECT_ID}:initialize"
```
Der Befehl gibt ein Paar leere geschweifte Klammern zurück: {}
Rufen Sie die Anmeldedaten für die Authentifizierung ab, um mit dem Cluster zu interagieren: Mit diesem Befehl wird auch der aktuelle Kontext für kubectl auf den Cluster festgelegt.
```
gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${PROJECT_ID}
```
Hinweis: Wenn Sie keine Standardzone oder -region festgelegt haben, müssen Sie im Befehl die Region (--region=REGION) oder Zone (--zone=ZONE) angeben.
Gewähren Sie dem aktuellen Nutzer Cluster-Administratorberechtigungen. Sie benötigen diese Berechtigungen, um die erforderlichen Regeln für die rollenbasierte Zugriffssteuerung (Role Based Access Control, RBAC) für Anthos Service Mesh zu erstellen.
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user="$(gcloud config get-value core/account)"
```

Wenn der Fehler "cluster-admin-binding" already exists angezeigt wird, können Sie ihn ignorieren und mit der vorhandenen Cluster-Administratorbindung fortfahren.

Installationsdatei herunterladen

Linux

Laden Sie die Anthos Service Mesh-Installationsdatei in Ihr aktuelles Arbeitsverzeichnis herunter:
```
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-linux-amd64.tar.gz
```

Laden Sie die Signaturdatei herunter und bestätigen Sie die Signatur mit openssl:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-linux-amd64.tar.gz.1.sig
openssl dgst -verify /dev/stdin -signature istio-1.11.8-asm.4-linux-amd64.tar.gz.1.sig istio-1.11.8-asm.4-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

Folgende Ausgabe wird erwartet: Verified OK

Entpacken Sie die Inhalte der Datei in einem Verzeichnis Ihres Dateisystems. So extrahieren Sie beispielsweise den Inhalt in das aktuelle Arbeitsverzeichnis:
```
 tar xzf istio-1.11.8-asm.4-linux-amd64.tar.gz
```
Mit diesem Befehl wird in Ihrem aktuellen Arbeitsverzeichnis istio-1.11.8-asm.4 ein Installationsverzeichnis erstellt, das Folgendes enthält:
- Beispielanwendungen im Verzeichnis samples.
- Das istioctl-Befehlszeilentool, mit dem Sie Anthos Service Mesh installieren, befindet sich im Verzeichnis bin.
- Die Anthos Service Mesh-Konfigurationsprofile befinden sich im Verzeichnis manifests/profiles.
Prüfen Sie, ob Sie sich im Stammverzeichnis der Anthos Service Mesh-Installation befinden.
```
cd istio-1.11.8-asm.4
```

macOS

Laden Sie die Anthos Service Mesh-Installationsdatei in Ihr aktuelles Arbeitsverzeichnis herunter:
```
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-osx.tar.gz
```

Laden Sie die Signaturdatei herunter und bestätigen Sie die Signatur mit openssl:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.11.8-asm.4-osx.tar.gz.1.sig istio-1.11.8-asm.4-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

Folgende Ausgabe wird erwartet: Verified OK

Entpacken Sie die Inhalte der Datei in einem Verzeichnis Ihres Dateisystems. So extrahieren Sie beispielsweise den Inhalt in das aktuelle Arbeitsverzeichnis:
```
tar xzf istio-1.11.8-asm.4-osx.tar.gz
```
Mit diesem Befehl wird in Ihrem aktuellen Arbeitsverzeichnis istio-1.11.8-asm.4 ein Installationsverzeichnis erstellt, das Folgendes enthält:
- Beispielanwendungen im Verzeichnis samples.
- Das istioctl-Befehlszeilentool, mit dem Sie Anthos Service Mesh installieren, befindet sich im Verzeichnis bin.
- Die Anthos Service Mesh-Konfigurationsprofile befinden sich im Verzeichnis manifests/profiles.
Prüfen Sie, ob Sie sich im Stammverzeichnis der Anthos Service Mesh-Installation befinden.
```
cd istio-1.11.8-asm.4
```

Windows

Laden Sie die Anthos Service Mesh-Installationsdatei in Ihr aktuelles Arbeitsverzeichnis herunter:
```
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-win.zip
```

Laden Sie die Signaturdatei herunter und bestätigen Sie die Signatur mit openssl:

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-win.zip.1.sig
openssl dgst -verify - -signature istio-1.11.8-asm.4-win.zip.1.sig istio-1.11.8-asm.4-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

Folgende Ausgabe wird erwartet: Verified OK

Entpacken Sie die Inhalte der Datei in einem Verzeichnis Ihres Dateisystems. So extrahieren Sie beispielsweise den Inhalt in das aktuelle Arbeitsverzeichnis:
```
tar xzf istio-1.11.8-asm.4-win.zip
```
Mit diesem Befehl wird in Ihrem aktuellen Arbeitsverzeichnis istio-1.11.8-asm.4 ein Installationsverzeichnis erstellt, das Folgendes enthält:
- Beispielanwendungen im Verzeichnis samples.
- Das istioctl-Befehlszeilentool, mit dem Sie Anthos Service Mesh installieren, befindet sich im Verzeichnis bin.
- Die Anthos Service Mesh-Konfigurationsprofile befinden sich im Verzeichnis manifests/profiles.
Prüfen Sie, ob Sie sich im Stammverzeichnis der Anthos Service Mesh-Installation befinden.
```
cd istio-1.11.8-asm.4
```

Ressourcenkonfigurationsdateien vorbereiten

Wenn Sie den Befehl istioctl install ausführen, geben Sie -f istio-operator.yaml in der Befehlszeile an. Diese Datei enthält Informationen zu Ihrem Projekt und Cluster, die Anthos Service Mesh erfordert. Sie müssen ein Paket mit istio-operator.yaml- und anderen Ressourcenkonfigurationsdateien herunterladen, um die Projekt- und Clusterinformationen festlegen zu können.

So bereiten Sie die Ressourcenkonfigurationsdateien vor:

Mesh CA

Erstellen Sie ein neues Verzeichnis für die Ressourcenkonfigurationsdateien des Anthos Service Mesh-Pakets. Es empfiehlt sich, den Clusternamen als Verzeichnisnamen zu verwenden.
Wechseln Sie zu dem Verzeichnis, in das Sie das Anthos Service Mesh-Paket herunterladen möchten.
Prüfen Sie die kpt-Version. Führen Sie eine kpt-Version vor 1.x aus:
```
kpt version
```
Die Ausgabe sollte in etwa so aussehen:
```
0.39.2
```
Wenn Sie kpt-Version 1.x oder höher haben, lesen Sie den Abschnitt Umgebung einrichten, um die erforderliche Version für Ihr Betriebssystem herunterzuladen.

Laden Sie das Paket herunter:

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm

Legen Sie die Projekt-ID für das Projekt fest, in dem der Cluster erstellt wurde:
```
kpt cfg set asm gcloud.core.project ${PROJECT_ID}
```

Legen Sie die Projektnummer für das Flotten-Hostprojekt fest:

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

Legen Sie den Clusternamen fest:

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

Legen Sie die Standardzone oder -region fest:

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

Setzen Sie das Tag auf die Version des Anthos Service Mesh, das Sie installieren:
```
kpt cfg set asm anthos.servicemesh.tag 1.11.8-asm.4
```
Legen Sie den Validierungs-Webhook so fest, dass er ein Überarbeitungslabel verwendet:
```
kpt cfg set asm anthos.servicemesh.rev asm-1118-4
```
Wenn Sie Anthos Service Mesh installieren, legen Sie ein Überarbeitungslabel auf istiod fest. Sie müssen für den Validierungs-Webhook dieselbe Überarbeitung festlegen.
Da sich die Cluster in Ihrer Multi-Cluster-Konfiguration in verschiedenen Projekten befinden, müssen Sie die vertrauenswürdigen Domain-Aliasse für die anderen Projekte konfigurieren, die das Service Mesh mit mehreren Clustern oder mehreren Projekten bilden.
1. Rufen Sie die Projekt-ID aller Cluster im Multi-Cluster-/Multi-Projekt-Mesh ab.
2. Legen Sie für die Projekt-ID jedes Clusters die vertrauenswürdigen Domain-Aliase fest. Wenn Sie beispielsweise Cluster in drei Projekten haben, führen Sie den folgenden Befehl aus und ersetzen Sie PROJECT_ID_1, PROJECT_ID_2 und PROJECT_ID_3 durch die Projekt-ID jedes Clusters.
```
kpt cfg set asm anthos.servicemesh.trustDomainAliases PROJECT_ID_1.svc.id.goog PROJECT_ID_2.svc.id.goog PROJECT_ID_3.svc.id.goog
```
  Wenn Sie die Cluster in den anderen Projekten konfigurieren, können Sie denselben Befehl verwenden.
  
  Mithilfe der vertrauenswürdigen Domain-Aliasse kann Mesh CA Arbeitslasten in Clustern in anderen Projekten authentifizieren. Zusätzlich zur Festlegung der vertrauenswürdigen Domain-Aliasse müssen Sie nach der Installation von Anthos Service Mesh das clusterübergreifende Load-Balancing aktivieren.
Geben Sie die Werte der kpt-Setter aus:
```
kpt cfg list-setters asm
```
Überprüfen Sie in der Ausgabe des Befehls, ob die Werte für die folgenden Setter korrekt sind:
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- anthos.servicemesh.trustDomainAliases
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
Sie können die Werte für die anderen Setter ignorieren.

Istio CA

Erstellen Sie ein neues Verzeichnis für die Ressourcenkonfigurationsdateien des Anthos Service Mesh-Pakets. Es empfiehlt sich, den Clusternamen als Verzeichnisnamen zu verwenden.
Wechseln Sie zu dem Verzeichnis, in das Sie das Anthos Service Mesh-Paket herunterladen möchten.
Prüfen Sie die kpt-Version. Führen Sie eine kpt-Version vor 1.x aus:
```
kpt version
```
Die Ausgabe sollte in etwa so aussehen:
```
0.39.2
```
Wenn Sie kpt-Version 1.x oder höher haben, lesen Sie den Abschnitt Umgebung einrichten, um die erforderliche Version für Ihr Betriebssystem herunterzuladen.

Laden Sie das Paket herunter:

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm

Legen Sie die Projekt-ID für das Projekt fest, in dem der Cluster erstellt wurde:
```
kpt cfg set asm gcloud.core.project ${PROJECT_ID}
```

Legen Sie die Projektnummer für das Flotten-Hostprojekt fest:

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

Legen Sie den Clusternamen fest:

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

Legen Sie die Standardzone oder -region fest:

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

Setzen Sie das Tag auf die Version des Anthos Service Mesh, das Sie installieren:
```
kpt cfg set asm anthos.servicemesh.tag 1.11.8-asm.4
```
Legen Sie den Validierungs-Webhook so fest, dass er ein Überarbeitungslabel verwendet:
```
kpt cfg set asm anthos.servicemesh.rev asm-1118-4
```
Wenn Sie Anthos Service Mesh installieren, legen Sie ein Überarbeitungslabel auf istiod fest. Sie müssen für den Validierten Webhook dieselbe Überarbeitung festlegen.
Geben Sie die Werte der kpt-Setter aus:
```
kpt cfg list-setters asm
```
Überprüfen Sie in der Ausgabe des Befehls, ob die Werte für die folgenden Setter korrekt sind:
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
Sie können die Werte für die anderen Setter ignorieren.

Anthos Service Mesh installieren

Mesh CA

Prüfen Sie, ob der aktuelle kubeconfig-Kontext auf den Cluster verweist, auf dem Sie Anthos Service Mesh installieren möchten:
```
kubectl config current-context
```
Die Ausgabe hat das folgende Format:
```
gke_PROJECT_ID_CLUSTER_LOCATION_CLUSTER_NAME
```
Der kubeconfig-Kontext und die Werte der kpt-Setter müssen übereinstimmen. Führen Sie bei Bedarf den Befehl gcloud container clusters get-credentials aus, um den aktuellen kubeconfig-Kontext festzulegen.
Wechseln Sie gegebenenfalls zum Verzeichnis istio-1.11.8-asm.4. Der istioctl-Client ist versionsabhängig. Sie müssen die Version im Verzeichnis istio-1.11.8-asm.4/bin verwenden.
Führen Sie den folgenden Befehl aus, um Anthos Service Mesh zu installieren. Wenn Sie ein unterstütztes optionales Feature aktivieren möchten, fügen Sie in der folgenden Befehlszeile -f und den YAML-Dateinamen hinzu. Weitere Informationen finden Sie unter Optionale Features aktivieren.

Wichtig: Wenn Sie eine Installation auf GKE 1.15 durchführen, müssen Sie neben den im folgenden Befehl angegebenen Overlay-Dateien auch die Overlay-Datei -f asm/istio/options/v1beta1-crds.yaml hinzufügen.
```
bin/istioctl install \
  -f asm/istio/istio-operator.yaml \
  -f asm/istio/options/multiproject.yaml \
  -f asm/istio/options/multicluster.yaml \
  --revision=asm-1118-4
```
Mit dem Argument --revision wird istiod ein Überarbeitungslabel im Format istio.io/rev=asm-1118-4 hinzugefügt. Das Überarbeitungslabel wird vom automatischen Sidecar-Injektor-Webhook verwendet, um eingefügte Sidecars mit einer bestimmten istiod-Überarbeitung zu verknüpfen. Wenn Sie die automatische Sidecar-Injektion für einen Namespace aktivieren möchten, müssen Sie ihn mit einer Überarbeitung versehen, die einer istiod-Bereitstellung entspricht.

Mit den folgenden Dateien werden die Einstellungen in der Datei istio-operator.yaml überschrieben:
- Mit der Datei multiproject.yaml wird das Profil asm-gcp-multiproject festgelegt.
- Mit der Datei multicluster.yaml werden die Einstellungen konfiguriert, die Anthos Service Mesh für eine Konfiguration mit mehreren Clustern benötigt.
Konfigurieren Sie den Validierungs-Webhook, um mit dem Überarbeitungslabel istiod nach zu suchen:
```
kubectl apply -f asm/istio/istiod-service.yaml
```
Dieser Befehl erstellt einen Diensteintrag, dank dem der Webhook automatisch Konfigurationen prüfen kann, bevor sie angewendet werden.
Stellen Sie den kanonischen Dienstüberwacher in Ihrem Cluster bereit:
```
kubectl apply -f asm/canonical-service/controller.yaml
```
Der kanonische Dienstüberwacher gruppiert Arbeitslasten, die zum selben logischen Dienst gehören. Weitere Informationen zu kanonischen Diensten finden Sie in der Übersicht Kanonische Dienste.

Istio CA

Prüfen Sie, ob der aktuelle kubeconfig-Kontext auf den Cluster verweist, auf dem Sie Anthos Service Mesh installieren möchten:
```
kubectl config current-context
```
Die Ausgabe hat das folgende Format:
```
gke_PROJECT_ID_CLUSTER_LOCATION_CLUSTER_NAME
```
Der kubeconfig-Kontext und die Werte der kpt-Setter müssen übereinstimmen. Führen Sie bei Bedarf den Befehl gcloud container clusters get-credentials aus, um den aktuellen kubeconfig-Kontext festzulegen.
Namespace istio-system erstellen:
```
kubectl create namespace istio-system
```

Erstellen Sie das Secret cacerts:

kubectl create secret generic cacerts  \
  -n istio-system \
  --from-file=ca-cert.pem \
  --from-file=ca-key.pem \
  --from-file=root-cert.pem \
  --from-file=cert-chain.pem

Weitere Informationen finden Sie unter Vorhandene CA-Zertifikate einbinden.

Wechseln Sie gegebenenfalls zum Verzeichnis istio-1.11.8-asm.4. Der istioctl-Client ist versionsabhängig. Sie müssen die Version im Verzeichnis istio-1.11.8-asm.4/bin verwenden.
Führen Sie den folgenden Befehl aus, um Anthos Service Mesh zu installieren. Wenn Sie ein unterstütztes optionales Feature aktivieren möchten, fügen Sie in der folgenden Befehlszeile -f und den YAML-Dateinamen hinzu. Weitere Informationen finden Sie unter Optionale Features aktivieren.

Wichtig: Wenn Sie eine Installation auf GKE 1.15 durchführen, müssen Sie neben den im folgenden Befehl angegebenen Overlay-Dateien auch die Overlay-Datei -f asm/istio/options/v1beta1-crds.yaml hinzufügen.
```
bin/istioctl install \
  -f asm/istio/istio-operator.yaml \
  -f asm/istio/options/citadel-ca.yaml \
  -f asm/istio/options/multiproject.yaml \
  -f asm/istio/options/multicluster.yaml \
  --revision=asm-1118-4
```
Mit dem Argument --revision wird istiod ein Überarbeitungslabel im Format istio.io/rev=asm-1118-4 hinzugefügt. Das Überarbeitungslabel wird vom automatischen Sidecar-Injektor-Webhook verwendet, um eingefügte Sidecars mit einer bestimmten istiod-Überarbeitung zu verknüpfen. Wenn Sie die automatische Sidecar-Injektion für einen Namespace aktivieren möchten, müssen Sie ihn mit einer Überarbeitung versehen, die einer istiod-Bereitstellung entspricht.

Mit den folgenden Dateien werden die Einstellungen in der Datei istio-operator.yaml überschrieben:
- citadel-ca.yaml konfiguriert die Istio-Zertifizierungsstelle als Zertifizierungsstelle.
- Mit der Datei multiproject.yaml wird das Profil asm-gcp-multiproject festgelegt.
- Mit der Datei multicluster.yaml werden die Einstellungen konfiguriert, die Anthos Service Mesh für eine Konfiguration mit mehreren Clustern benötigt.
Konfigurieren Sie den Validierungs-Webhook, um mit dem Überarbeitungslabel istiod nach zu suchen:
```
kubectl apply -f asm/istio/istiod-service.yaml
```
Dieser Befehl erstellt einen Diensteintrag, dank dem der Webhook automatisch Konfigurationen prüfen kann, bevor sie angewendet werden.
Stellen Sie den kanonischen Dienstüberwacher in Ihrem Cluster bereit:
```
kubectl apply -f asm/canonical-service/controller.yaml
```
Der kanonische Dienstüberwacher gruppiert Arbeitslasten, die zum selben logischen Dienst gehören. Weitere Informationen zu kanonischen Diensten finden Sie unter Kanonische Dienste.

Komponenten der Steuerungsebene prüfen

Prüfen Sie, ob die Pods der Steuerungsebene in istio-system aktiv sind:

kubectl get pod -n istio-system

Die erwartete Ausgabe sieht in etwa so aus:

NAME                                   READY   STATUS      RESTARTS   AGE
istio-ingressgateway-cff9f5c7d-qg4ls   1/1     Running   0          7m5s
istio-ingressgateway-cff9f5c7d-vlkzb   1/1     Running   0          7m20s
istiod-66b587859c-886gx                1/1     Running   0          7m33s
istiod-66b587859c-dfs2j                1/1     Running   0          7m33s

Sidecar-Proxys einfügen

Anthos Service Mesh verwendet Sidecar-Proxys, um die Sicherheit, Zuverlässigkeit und Beobachtbarkeit von Netzwerken zu verbessern. Mit Anthos Service Mesh werden diese Funktionen vom primären Container der Anwendung abstrahiert und in einem gemeinsamen Out-of-Process-Proxy implementiert, der als separater Container im selben Pod bereitgestellt wird.

Die Installation ist erst abgeschlossen, wenn Sie die automatische Sidecar-Proxy-Einfügung (automatische Injektion) aktivieren und die Pods für alle Arbeitslasten neu starten, die auf dem Cluster ausgeführt wurden, bevor Sie Anthos Service Mesh installiert haben.

Wenn Sie die automatische Injektion aktivieren möchten, versehen Sie Ihre Namespaces mit dem Überarbeitungslabel, das bei der Installation von Anthos Service Mesh auf istiod festgelegt wurde. Das Überarbeitungslabel wird vom Sidecar-Injektor-Webhook verwendet, um eingefügte Sidecars mit einer bestimmten istiod-Überarbeitung zu verknüpfen. Nachdem Sie das Label hinzugefügt haben, müssen alle im Namespace vorhandenen Pods neu gestartet werden, damit Sidecars eingefügt werden können.

Bevor Sie neue Arbeitslasten in einem neuen Namespace bereitstellen, müssen Sie die automatische Injektion konfigurieren, damit Anthos Service Mesh den Traffic überwachen und sichern kann.

So aktivieren Sie die automatische Einfügung:

Verwenden Sie den folgenden Befehl, um das Überarbeitungslabel für istiod zu finden:

kubectl -n istio-system get pods -l app=istiod --show-labels

Die Ausgabe sieht dann ungefähr so aus:

NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-1118-4-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1118-4,istio=istiod,pod-template-hash=5788d57586
istiod-asm-1118-4-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1118-4,istio=istiod,pod-template-hash=5788d57586

Notieren Sie sich den Wert des Überarbeitungslabels istiod aus der Ausgabe in der Spalte LABELS, das auf das Präfix istio.io/rev= folgt. In diesem Beispiel ist der Wert asm-1118-4.

Wenden Sie das Überarbeitungslabel an und entfernen Sie das Label istio-injection, falls vorhanden. Im folgenden Befehl ist NAMESPACE der Name des Namespace, in dem Sie die automatische Einfügung aktivieren möchten. REVISION ist das Überarbeitungslabel, das Sie im vorherigen Schritt notiert haben.
```
kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
```
Sie können die Nachricht "istio-injection not found" in der Ausgabe ignorieren. Das bedeutet, dass der Namespace bisher nicht das Label istio-injection hatte, was bei Neuinstallationen von Anthos Service Mesh oder neuen Bereitstellungen zu erwarten wäre. Da das Verhalten der automatischen Injektion nicht definiert ist, wenn ein Namespace sowohl das istio-injection als auch das Überarbeitungslabel hat, sorgen alle kubectl label-Befehle in der Anthos Service Mesh-Dokumentation explizit dafür, dass nur einer festgelegt ist.
Wenn vor der Installation von Anthos Service Mesh in Ihrem Cluster Arbeitslasten ausgeführt wurden, starten Sie die Pods neu, um eine erneute Injektion auszulösen.

Wie Sie Pods neu starten, hängt von der Anwendung und der Umgebung ab, in der sich der Cluster befindet. Beispielsweise können Sie in Ihrer Staging-Umgebung einfach alle Pods löschen, wodurch sie neu gestartet werden. Aber in Ihrer Produktionsumgebung haben Sie vielleicht einen Prozess, der ein Blau/Grün-Deployment implementiert, sodass Pods sicher neu gestartet werden können, um Traffic-Unterbrechungen zu vermeiden.

Sie können kubectl verwenden, um einen rollierenden Neustart durchzuführen:
```
kubectl rollout restart deployment -n NAMESPACE
```

Nächste Schritte

< Zurück