オンプレミスでのマルチクラスタ メッシュの設定

警告: install_asm コマンドと istioctl install コマンドは Anthos Service Mesh 1.11 リリースで非推奨になり、1.12 リリースではサポートされません。スクリプトとツールを更新して asmcli を使用します。詳細については、asmcli への移行をご覧ください。

このガイドでは、複数の GKE on VMware とベアメタル版 Anthos クラスタを使用して Anthos Service Mesh を設定する方法について説明します。このプロセスを拡張することで、任意の数のクラスタをメッシュに組み込むことができます。

プレビュー — Setting up a multi-cluster mesh for bare metal environments

この機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 pre-GA の機能は「現状有姿」で利用できますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

このガイドは、オンプレミスへの Anthos Service Mesh のインストールで説明されている手順を使用して、すでに GKE on VMware またはベアメタル版 Anthos クラスタがインストールされていることを前提としています。以前のバージョンの Anthos Service Mesh がインストールされている場合は、オンプレミスでの Anthos Service Mesh のアップグレードをご覧ください。このガイドでは、クラスタは network1 では cluster1、network2 では cluster2 を指します。また、環境変数を使用して、CTX_CLUSTER1 と CTX_CLUSTER2 としてクラスタ コンテキストを定義します。

マルチクラスタの Anthos Service Mesh 構成を使用すると、大規模な組織で重要な課題（スケール、ロケーション、分離など）を解決できます。詳細については、マルチクラスタのユースケースをご覧ください。また、サービス メッシュを最大限活用するため、アプリケーションを最適化する必要があります。詳細については、Anthos Service Mesh 用のアプリケーションの準備をご覧ください。

注: 現在、Anthos Service Mesh のマネージド コンポーネント（Anthos Service Mesh 認証局とメッシュ テレメトリー）は、GKE on VMware およびベアメタル版 Anthos クラスタではサポートされていません。

要件

このガイドは、Anthos Service Mesh オンプレミスのインストールで示される手順を使用して作成された、新規または既存のクラスタを使用していることを前提としています。

• Anthos Service Mesh オンプレミスのインストールにある要件の他に、このガイドの要件を満たす必要があります。

• クラスタに Anthos Service Mesh をインストールする際に使用した構成パッケージが必要です。別のコピーが必要な場合は、次のコマンドを使用してダウンロードできます。

  kpt pkg get \
  https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm
  

east-west ゲートウェイのインストール

1. east-west トラフィック専用のゲートウェイを cluster1 にインストールします。デフォルトでは、このゲートウェイはインターネット上で公開されます。本番環境のシステムでは、外部からの攻撃を防ぐため、追加のアクセス制限（ファイアウォール ルールなど）が必要になる場合があります。

   asm/istio/expansion/gen-eastwest-gateway.sh \
   --mesh mesh1 --cluster cluster1 --network network1 --revision asm-1118-4 | \
   istioctl --context="${CTX_CLUSTER1}" install -y -f -
   

   注: 外部 IP アドレスは、Anthos Service Mesh オンプレミスの外部 IP アドレスの構成で説明されている手順を後で完了するまでは割り当てられません。

2. cluster1 用の east-west トラフィック専用のゲートウェイを cluster2 にインストールします。

   /asm/istio/expansion/gen-eastwest-gateway.sh \
   --mesh mesh1 --cluster cluster2 --network network2 | \
   istioctl --context="${CTX_CLUSTER2}" install -y -f -
   

   注: 外部 IP アドレスは、Anthos Service Mesh オンプレミスの外部 IP アドレスの構成で説明されている手順を後で完了するまでは割り当てられません。

サービスの公開

クラスタは別々のネットワーク上にあるため、すべてのサービス（*.local）を両方のクラスタの east-west ゲートウェイ上で公開する必要があります。このゲートウェイはインターネットで一般公開されますが、その背後にあるサービスは、信頼できる mTLS 証明書とワークロード ID を持つサービスのみが、両者が同じネットワーク上にあるかのように、アクセスできます。

1. cluster1 用の east-west ゲートウェイ経由でサービスを公開します。

   kubectl --context="${CTX_CLUSTER1}" apply -n istio-system -f \
   asm/istio/expansion/expose-services.yaml
   

2. cluster2 用の east-west ゲートウェイ経由でサービスを公開します。

   kubectl --context="${CTX_CLUSTER2}" apply -n istio-system -f \
   asm/istio/expansion/expose-services.yaml
   

エンドポイント検出の有効化

1. cluster1 の API サーバーへのアクセスを提供するリモート シークレットを cluster2 にインストールします。

   istioctl x create-remote-secret \
   --context="${CTX_CLUSTER1}" \
   --name=cluster1 | \
   kubectl apply -f - --context="${CTX_CLUSTER2}"
   

2. cluster2 の API サーバーへのアクセスを提供するリモート シークレットを cluster1 にインストールします。

   istioctl x create-remote-secret \
   --context="${CTX_CLUSTER2}" \
   --name=cluster2 | \
   kubectl apply -f - --context="${CTX_CLUSTER1}"
   

次のステップ

• 外部 IP アドレスの構成