Anthos Service Mesh 1.11 已达到服务终止期限，不再受支持。请参阅从早期版本升级。

查看最新文档或选择其他可用版本：

可用版本

安装 Anthos Service Mesh

警告：install_asm 和 istioctl install 命令在 Anthos Service Mesh 1.11 版本中弃用，在 1.12 版本中将不受支持。请更新您的脚本和工具以使用 asmcli。如需了解详情，请参阅改用 asmcli。

本页面是多页指南中的一部分，介绍如何在 GKE 集群上为包含属于不同 Google Cloud 项目的多个集群的网格安装 Anthos Service Mesh 版本 1.11.8。

< 上一页

准备工作

在安装 Anthos Service Mesh 之前，请确保您已经：

设置您的环境以安装所需的工具。
设置您的项目以启用所需的 API 并设置权限。
设置您的集群以启用所需的集群选项。

设置凭据和权限

初始化您的项目，以便准备好安装。除此之外，以下命令会创建一个服务账号，可让数据平面组件（例如边车代理）安全地访问您的项目的数据和资源：
```
curl --request POST \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --data '' \
  "https://meshconfig.googleapis.com/v1alpha1/projects/${PROJECT_ID}:initialize"
```
该命令会以空花括号作为响应：{}
获取身份验证凭据以便与集群进行交互。此命令还会将 kubectl 的当前上下文设置为该集群。
```
gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${PROJECT_ID}
```
注意：除非您设置了默认可用区或区域，否则需要在命令中提供区域 (--region=REGION) 或可用区 (--zone=ZONE)。
向当前用户授予集群管理员权限。您需要这些权限，以便为 Anthos Service Mesh 创建必要的基于角色的访问权限控制 (RBAC) 规则。
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user="$(gcloud config get-value core/account)"
```

如果看到 "cluster-admin-binding" already exists 错误，您可以放心地忽略该错误并继续采用现有集群管理员绑定。

下载安装文件

Linux

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-linux-amd64.tar.gz

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-linux-amd64.tar.gz.1.sig
openssl dgst -verify /dev/stdin -signature istio-1.11.8-asm.4-linux-amd64.tar.gz.1.sig istio-1.11.8-asm.4-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK。

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：
```
 tar xzf istio-1.11.8-asm.4-linux-amd64.tar.gz
```
该命令会在当前工作目录中创建一个名为 istio-1.11.8-asm.4 的安装目录，其中包含：
- samples 目录中的示例应用。
- 用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
- Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。
确保您位于 Anthos Service Mesh 安装的根目录。
```
cd istio-1.11.8-asm.4
```

Mac OS

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-osx.tar.gz

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.11.8-asm.4-osx.tar.gz.1.sig istio-1.11.8-asm.4-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK。

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：
```
tar xzf istio-1.11.8-asm.4-osx.tar.gz
```
该命令会在当前工作目录中创建一个名为 istio-1.11.8-asm.4 的安装目录，其中包含：
- samples 目录中的示例应用。
- 用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
- Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。
确保您位于 Anthos Service Mesh 安装的根目录。
```
cd istio-1.11.8-asm.4
```

Windows

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-win.zip

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.11.8-asm.4-win.zip.1.sig
openssl dgst -verify - -signature istio-1.11.8-asm.4-win.zip.1.sig istio-1.11.8-asm.4-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK。

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：
```
tar xzf istio-1.11.8-asm.4-win.zip
```
该命令会在当前工作目录中创建一个名为 istio-1.11.8-asm.4 的安装目录，其中包含：
- samples 目录中的示例应用。
- 用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
- Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。
确保您位于 Anthos Service Mesh 安装的根目录。
```
cd istio-1.11.8-asm.4
```

准备资源配置文件

运行 istioctl install 命令时，请在命令行中指定 -f istio-operator.yaml。此文件包含 Anthos Service Mesh 所需的项目和集群的相关信息。您需要下载包含 istio-operator.yaml 和其他资源配置文件的软件包，以便设置项目和集群信息。

如需准备资源配置文件，请执行以下操作：

Mesh CA

为 Anthos Service Mesh 软件包资源配置文件创建一个新目录。我们建议您使用集群名称作为目录名称。
切换到您要在其中下载 Anthos Service Mesh 软件包的目录。
验证“kpt”版本。确保运行的是 1.x 之前版本的 kpt：
```
kpt version
```
输出应类似如下所示：
```
0.39.2
```
如果您使用的是 kpt 1.x 版或更高版本，请参阅设置环境以下载您的操作系统所需的版本。

下载软件包：

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm

为在其中创建集群的项目设置项目 ID：

kpt cfg set asm gcloud.core.project ${PROJECT_ID}

为舰队宿主项目设置项目编号：

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

设置集群名称：

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

设置默认可用区或区域：

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

将标记设置为您要安装的 Anthos Service Mesh 版本：
```
kpt cfg set asm anthos.servicemesh.tag 1.11.8-asm.4
```
设置验证网络钩子以使用修订版本标签：
```
kpt cfg set asm anthos.servicemesh.rev asm-1118-4
```
安装 Anthos Service Mesh 时，您可以在 istiod 上设置修订版本标签。您需要在验证网络钩子上设置相同的修订版本。
由于多集群配置中的集群在不同项目中，因此您需要为将形成多集群/多项目服务网格的其他项目配置信任网域别名。
1. 获取将进入多集群/多项目网格的所有集群的项目 ID。
2. 针对每个集群的项目 ID，设置信任网域别名。例如，如果 3 个项目中存在集群，请运行以下命令，并将 PROJECT_ID_1、PROJECT_ID_2 和 PROJECT_ID_3 替换为每个集群的项目 ID。
```
kpt cfg set asm anthos.servicemesh.trustDomainAliases PROJECT_ID_1.svc.id.goog PROJECT_ID_2.svc.id.goog PROJECT_ID_3.svc.id.goog
```
  在其他项目中配置集群时，您可以使用相同的命令。
  
  通过信任网域别名，Mesh CA 可对其他项目中的集群上的工作负载进行身份验证。除了设置信任网域别名之外，在安装 Anthos Service Mesh 之后，您还必须启用跨集群负载均衡。
输出 kpt setter 的值：
```
kpt cfg list-setters asm
```
在命令的输出中，验证以下 setter 的值是否正确：
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- anthos.servicemesh.trustDomainAliases
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
您可以忽略其他 setter 的值。

Istio CA

为 Anthos Service Mesh 软件包资源配置文件创建一个新目录。我们建议您使用集群名称作为目录名称。
切换到您要在其中下载 Anthos Service Mesh 软件包的目录。
验证“kpt”版本。确保运行的是 1.x 之前版本的 kpt：
```
kpt version
```
输出应类似如下所示：
```
0.39.2
```
如果您使用的是 kpt 1.x 版或更高版本，请参阅设置环境以下载您的操作系统所需的版本。

下载软件包：

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm

为在其中创建集群的项目设置项目 ID：

kpt cfg set asm gcloud.core.project ${PROJECT_ID}

为舰队宿主项目设置项目编号：

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

设置集群名称：

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

设置默认可用区或区域：

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

将标记设置为您要安装的 Anthos Service Mesh 版本：
```
kpt cfg set asm anthos.servicemesh.tag 1.11.8-asm.4
```
设置验证网络钩子以使用修订版本标签：
```
kpt cfg set asm anthos.servicemesh.rev asm-1118-4
```
安装 Anthos Service Mesh 时，您可以在 istiod 上设置修订版本标签。您需要在验证网络钩子上设置相同的修订版本。
输出 kpt setter 的值：
```
kpt cfg list-setters asm
```
在命令的输出中，验证以下 setter 的值是否正确：
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
您可以忽略其他 setter 的值。