Von Istio 1.11 oder höher zu Anthos Service Mesh migrieren

In dieser Anleitung wird beschrieben, wie Sie eine Anwendung von einem GKE-Cluster (Google Kubernetes Engine) mit Istio zu einem neuen Cluster mit verwaltetem Anthos Anthos Service Mesh migrieren, dem vollständig verwalteten Istio-kompatiblen Service Mesh von Google.

In dieser Anleitung erwartet Sie Folgendes:

1. Sie erstellen einen neuen Google Kubernetes Engine-Cluster und installieren Istio und das Istio-Ingress-Gateway auf dem Cluster. Dieser Cluster fungiert als vorhandener Cluster, von dem Sie migrieren möchten.
2. Sie stellen die Beispielanwendung Online Boutique mit Istio auf dem Cluster bereit.
3. Sie erstellen im selben Google Cloud-Projekt einen weiteren Google Kubernetes Engine-Cluster.
4. Sie aktivieren verwaltetes Anthos Service Mesh im zweiten Cluster und stellen das Anthos Service Mesh-Ingress-Gateway bereit.
5. Sie stellen Online Boutique mit Anthos Service Mesh auf dem Cluster bereit, um die Bereitstellung mit Istio aus dem Cluster zu replizieren.
6. Sie verschieben 50 % des Nutzertraffics vom Cluster mit Istio auf den Cluster mit Anthos Service Mesh. Dazu werden die Aufteilungsfunktionen der Zugriffe von Istio auf dem Cluster mit Istio genutzt.
7. Sie schließen die Migration von Istio zu Anthos Service Mesh ab. Dazu verweisen Sie den DNS-Eintrag (Domain Name System) des Clusters mit Istio auf den Cluster mit Anthos Service Mesh.

Canary-Deployment

„Canary-Deployment“ ist eine Technik, die in der Softwareentwicklung verwendet wird, um eine neue Version einer Software zu testen, bevor diese für alle Nutzer veröffentlicht wird. Dabei wird der Prozentsatz des Traffics, der an die neue Version weitergeleitet wird, schrittweise erhöht. In dieser Anleitung richten Sie einen neuen Cluster mit verwaltetem Anthos Service Mesh ein und verschieben den Nutzertraffic schrittweise dorthin. Zuerst leiten Sie 0% des Nutzertraffics an den neuen Cluster weiter, dann 50 % und schließlich 100%. In der Produktion sollten Sie kleinere und mehr Inkremente verwenden. Wenn Sie feststellen, dass der neue Cluster einen Prozentsatz des Traffics nicht verarbeiten kann, können Sie ein Rollback durchführen, indem Sie den Prozentsatz auf 0 % reduzieren.

Canary-Steuerungsebene im Vergleich zu Canary-Cluster

Es gibt zwei häufig verwendete Strategien für die Migration von Istio zum verwalteten Anthos Service Mesh:

• Migration der Canary-Steuerungsebene: Bei dieser Strategie stellen Sie verwaltetes Anthos Service Mesh auf demselben Cluster bereit, in dem derzeit Istio installiert ist.
• Canary-Clustermigration: Bei dieser Strategie erstellen Sie einen neuen Cluster und stellen dann verwaltetes Anthos Service Mesh darauf bereit.

In dieser Anleitung werden Sie die Migrationsstrategie für den Canary-Cluster durchlaufen.

Kosten

In dieser Anleitung werden die folgenden kostenpflichtigen Komponenten von Google Cloud verwendet:

• Google Kubernetes Engine
• Anthos Service Mesh

Nach Abschluss dieser Anleitung können Sie weitere Kosten durch Löschen von erstellten Ressourcen vermeiden. Weitere Informationen finden Sie unter Bereinigen.

Hinweise

1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

2. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

3. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

4. Aktivieren Sie die erforderlichen APIs.

   Aktivieren Sie die APIs

5. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

6. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

7. Aktivieren Sie die erforderlichen APIs.

   Aktivieren Sie die APIs

Cloud Shell starten

In dieser Anleitung verwenden Sie Cloud Shell, eine in Google Cloud gehostete Shell-Umgebung, mit der Sie Ihre Google Cloud-Ressourcen verwalten können.

Cloud Shell wird mit den Befehlszeilentools Google Cloud CLI, kubectl und istioctl vorinstalliert. Die gcloud CLI stellt die primäre Befehlszeile für Google Cloud bereit.

Öffnen Sie in der rechten oberen Ecke dieser Seite eine Cloud Shell-Sitzung, klicken Sie auf und dann auf Bestätigen. In einem Frame im unteren Teil der Seite wird eine Cloud Shell-Sitzung geöffnet. Führen Sie in dieser Cloud Shell-Sitzung die folgenden Befehle aus.

Beispielcode herunterladen

Klonen Sie die Git-Repositories mit den Kubernetes- und Istio-Ressourcen, die Sie verwenden werden:

  git clone https://github.com/GoogleCloudPlatform/anthos-service-mesh-samples.git
  git clone https://github.com/GoogleCloudPlatform/microservices-demo.git

Cluster mit Istio einrichten

Cluster erstellen und Istio installieren

In dem Abschnitt erstellen Sie Ihren Cluster, der Istio verwendet. In der Praxis sind dies die Cluster, die Sie bereits verwenden.

1. Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID und erstellen Sie einen neuen Cluster:

   gcloud container clusters create cluster-with-istio \
     --project=PROJECT_ID \
     --zone=us-central1-a \
     --machine-type=e2-standard-2 --num-nodes=3
   

   Hinweis: Dies kann einige Minuten dauern.

2. Benennen Sie den Clusterkontext um, damit der Cluster leichter verwendet werden kann:

   kubectl config rename-context \
     gke_PROJECT_ID_us-central1-a_cluster-with-istio \
     cluster-with-istio
   

3. Prüfen Sie, ob der Clusterkontext umbenannt wurde:

   kubectl config get-contexts --output="name"
   

4. Installieren Sie Istio im Cluster: Zur Vereinfachung installieren Sie das Standardprofil von Istio und die Version, die Ihrer istioctl-Installation entspricht.

   istioctl install
   

   Sie werden aufgefordert, „y“ einzugeben, und dann die Eingabetaste drücken.

   Die Ausgabe sieht etwa so aus:

   This will install the Istio X.Y.Z default profile with ["Istio core" "Istiod" "Ingress gateways"] components into the cluster. Proceed? (y/N)
   ✔ Istio core installed
   ✔ Istiod installed
   ✔ Ingress gateways installed
   ✔ Installation complete
   Making this installation the default for injection and validation.
   

Online Boutique bereitstellen

1. Sie stellen Online Boutique in einem separaten Namespace namens onlineboutique bereit. Erstellen Sie den Namespace:

   kubectl \
     --context cluster-with-istio \
     create namespace onlineboutique
   

2. Stellen Sie die 12 Dienste von Online Boutique bereit. Dazu gehören ein Ladegenerator, der den Nutzertraffic weiterleitet:

   kubectl \
     --namespace=onlineboutique \
     --context=cluster-with-istio \
     apply -f microservices-demo/release/kubernetes-manifests.yaml
   

3. Im vorherigen Schritt wurde auch ein Dienst namens frontend-external vom Typ LoadBalancer bereitgestellt, dem eine öffentliche IP-Adresse zugewiesen wird. Sie möchten jedoch nur öffentlichen eingehenden Traffic über die Bereitstellung des Istio-Ingress-Gateways zulassen. Löschen Sie die Dienstressource frontend-external:

   kubectl \
     --namespace=onlineboutique \
     --context=cluster-with-istio \
     delete service frontend-external
   

4. Stellen Sie eine Istio-Gateway-Ressource und eine Istio-VirtualService-Ressource für den öffentlichen Traffic bereit, um auf Online Boutique zuzugreifen:

   kubectl \
     --namespace=onlineboutique \
     --context=cluster-with-istio \
     apply -f microservices-demo/istio-manifests/frontend-gateway.yaml
   

5. Rufen Sie die öffentliche IP-Adresse des Istio Ingress Gateways ab:

   kubectl \
     --namespace istio-system \
     --context=cluster-with-istio \
     get service --output jsonpath='{.items[0].status.loadBalancer.ingress[0].ip}'
   

6. Kopieren Sie die öffentliche IP-Adresse des Dienstes istio-ingressgateway und greifen Sie dann über Ihren Webbrowser darauf zu. Sie sehen die Beispiel-App „Online Boutique“.

Neuen Cluster mit verwaltetem Anthos Service Mesh einrichten

Cluster erstellen und verwaltetes Anthos Service Mesh bereitstellen

In diesem Abschnitt erstellen Sie den Cluster, zu dem Sie migrieren. Sie stellen verwaltete Anthos Service Mesh bereit und stellen Online Boutique bereit, um die Bereitstellungen aus dem Cluster zu replizieren, der Istio verwendet.

1. Speichern Sie Ihre Projektnummer in einer Umgebungsvariable:

   export PROJECT_NUMBER=$(gcloud projects \
     describe PROJECT_ID --format='get(projectNumber)')
   

   Hinweis: Die Verwendung eines einzelnen Google Cloud-Projekts für beide Cluster ist keine Voraussetzung für die Migrationsstrategie für den Canary-Cluster. In der Praxis können Sie den neuen Cluster in einem separaten Google Cloud-Projekt erstellen.

2. Erstellen Sie einen neuen Cluster:

   gcloud container clusters create cluster-with-managed-asm \
     --project=PROJECT_ID --zone=us-central1-a \
     --machine-type=e2-standard-4 --num-nodes=2 \
     --workload-pool PROJECT_ID.svc.id.goog \
     --labels mesh_id=proj-${PROJECT_NUMBER}
   

   Hinweis: Dies kann einige Minuten dauern.

3. Benennen Sie den Clusterkontext um, damit der Cluster leichter verwendet werden kann:

   kubectl config rename-context \
     gke_PROJECT_ID_us-central1-a_cluster-with-managed-asm \
     cluster-with-managed-asm
   

4. Prüfen Sie, ob der Clusterkontext umbenannt wurde:

   kubectl config get-contexts --output="name"
   

5. Aktivieren Sie Anthos Service Mesh in der Flotte Ihres Projekts. Eine Flotte ist eine logische Gruppierung von Kubernetes-Clustern und anderen Ressourcen, die zusammen verwaltet werden können.

   gcloud container fleet mesh enable --project PROJECT_ID
   

   Die Ausgabe sieht etwa so aus:

   Waiting for Feature Service Mesh to be created...done.
   

6. Registrieren Sie den Cluster in der Flotte des Projekts:

   gcloud container fleet memberships register cluster-with-managed-asm-membership \
     --gke-cluster=us-central1-a/cluster-with-managed-asm \
     --enable-workload-identity \
     --project PROJECT_ID
   

   Die Ausgabe sieht etwa so aus:

   Waiting for membership to be created...done.
   Created a new membership [projects/your-project-id/locations/global/memberships/cluster-with-gke-membership] for the cluster [cluster-with-gke-membership]
   Generating the Connect Agent manifest...
   Deploying the Connect Agent on cluster [cluster-with-gke-membership] in namespace [gke-connect]...
   Deployed the Connect Agent on cluster [cluster-with-gke-membership] in namespace [gke-connect].
   Finished registering the cluster [cluster-with-gke-membership] with the Fleet.
   

7. Aktivieren Sie verwaltetes Anthos Service Mesh im Cluster:

   gcloud container fleet mesh update \
     --management automatic \
     --memberships cluster-with-managed-asm-membership \
     --project PROJECT_ID
   

   Die Ausgabe sieht etwa so aus:

   Waiting for Feature Service Mesh to be updated...done.
   

   Hinweis: Das verwaltete Anthos Service Mesh nimmt Ihnen einen Großteil der manuellen Wartungsarbeiten ab, die mit dem Upgrade, der Skalierung und der Sicherung Ihres Service Mesh verbunden sind. Erfahren Sie mehr über Verwaltetes Anthos Service Mesh.

8. Prüfen Sie, ob das verwaltete Anthos Service Mesh für den Cluster bereitgestellt wurde und einsatzbereit ist:

   gcloud container fleet mesh describe --project PROJECT_ID
   

   Es kann etwa 10 Minuten dauern, bis Anthos Service Mesh bereitgestellt wird und im Cluster bereit ist. Wenn controlPlaneManagement.state: DISABLED oder controlPlaneManagement.state: PROVISIONING angezeigt wird, müssen Sie den vorherigen Befehl alle paar Minuten noch einmal ausführen, bis controlPlaneManagement.state: ACTIVE angezeigt wird.

   Die Ausgabe sieht etwa so aus:

   createTime: '2022-07-06T01:05:39.110120474Z'
   membershipSpecs:
     projects/123456789123/locations/global/memberships/cluster-with-managed-asm-membership:
       mesh:
         management: MANAGEMENT_AUTOMATIC
   membershipStates:
     projects/123456789123/locations/global/memberships/cluster-with-managed-asm-membership:
       servicemesh:
         controlPlaneManagement:
           details:
           - code: REVISION_READY
             details: 'Ready: asm-managed'
           state: ACTIVE
         dataPlaneManagement:
           details:
           - code: OK
             details: Service is running.
           state: ACTIVE
       state:
         code: OK
         description: 'Revision(s) ready for use: asm-managed.'
         updateTime: '2022-07-06T01:19:24.243993678Z'
   name: projects/your-project-id/locations/global/features/servicemesh
   resourceState:
     state: ACTIVE
   spec: {}
   state:
     state: {}
   updateTime: '2022-07-06T01:19:27.475885687Z'
   

Ingress-Gateway von Anthos Service Mesh bereitstellen

1. Sie stellen das Ingress-Gateway von Anthos Service Mesh in einem separaten Namespace namens asm-ingress bereit. Erstellen Sie den Namespace:

   kubectl \
     --context cluster-with-managed-asm \
     create namespace asm-ingress
   

2. Verwenden Sie das Label istio.io/rev=asm-managed, um den Namespace asm-ingress dem Service Mesh hinzuzufügen und die automatische Sidecar-Proxy-Injektion zu aktivieren.

   kubectl \
     --context cluster-with-managed-asm \
     label namespace asm-ingress 'istio.io/rev=asm-managed'
   

3. Stellen Sie das Ingress-Gateway für Anthos Service Mesh bereit:

   kubectl \
     --context cluster-with-managed-asm \
     --namespace=asm-ingress \
     apply -f anthos-service-mesh-samples/docs/shared/asm-ingress-gateway/asm-gateway-deployment-svc.yaml
   kubectl \
     --context cluster-with-managed-asm \
     --namespace=asm-ingress \
     apply -f anthos-service-mesh-samples/docs/shared/asm-ingress-gateway/gateway.yaml
   

   Die Ausgabe sieht etwa so aus:

   namespace/asm-ingress configured
   serviceaccount/asm-ingressgateway configured
   service/asm-ingressgateway configured
   deployment.apps/asm-ingressgateway configured
   gateway.networking.istio.io/asm-ingressgateway configured
   

   Hinweis: Sie können in den Ressourcen im offiziellen Beispiel-GitHub-Repository von Anthos Service Mesh suchen.

Online Boutique bereitstellen

1. Sie stellen Online Boutique in einem separaten Namespace namens onlineboutique bereit. Erstellen Sie den Namespace:

   kubectl \
     --context cluster-with-managed-asm \
     create namespace onlineboutique
   

2. Verwenden Sie das Label istio.io/rev=asm-managed, um den Namespace onlineboutique dem Service Mesh hinzuzufügen und die automatische Sidecar-Proxy-Injektion zu aktivieren.

   kubectl \
     --context cluster-with-managed-asm \
     label namespace onlineboutique 'istio.io/rev=asm-managed'
   

3. Stellen Sie die 12 Dienste von Online Boutique bereit, einschließlich des Load-Generators, der den Nutzertraffic weiterleitet:

   kubectl \
     --context cluster-with-managed-asm \
     --namespace=onlineboutique \
     apply -f anthos-service-mesh-samples/docs/shared/online-boutique/kubernetes-manifests.yaml
   kubectl \
     --context cluster-with-managed-asm \
     --namespace=onlineboutique \
     apply -f anthos-service-mesh-samples/docs/shared/online-boutique/virtual-service.yaml
   

4. Rufen Sie die öffentliche IP-Adresse des Anthos Service Mesh-Ingress-Gateways ab:

   kubectl \
     --context cluster-with-managed-asm \
     --namespace asm-ingress \
     get service --output jsonpath='{.items[0].status.loadBalancer.ingress[0].ip}'
   

5. Kopieren Sie die öffentliche IP-Adresse des Dienstes asm-ingressgateway und greifen Sie über Ihren Webbrowser darauf zu. Sie sehen die Beispielanwendung Online Boutique. Sie verwenden die öffentliche IP-Adresse im nächsten Abschnitt. Kopieren Sie sie also in eine Umgebungsvariable:

   export INGRESS_IP_OF_CLUSTER_WITH_MANAGED_ASM=$( \
     kubectl \
       --context cluster-with-managed-asm \
       --namespace asm-ingress \
       get service --output jsonpath='{.items[0].status.loadBalancer.ingress[0].ip}' \
     )
   

Cluster mit Anthos Service Mesh unter Verwendung eines Canary-Deployments testen

In diesem Abschnitt konfigurieren Sie den Cluster mit Istio so, dass 50% des Nutzertraffics zu Online Boutique auf die Instanz von Online Boutique im Cluster mit verwaltetem Anthos Service Mesh verschoben werden. Dazu stellen Sie mit Istio zwei Istio-Ressourcen im Cluster bereit:

• Einen ServiceEntry, um Istio über den Online-Boutique-Endpunkt des verwalteten Anthos Service Mesh-Clusters zu informieren
• Einen VirtualService, der das Istio-Ingress-Gateway anweist, den Traffic von 50 bis 50 aufzuteilen

Hinweis: In der Produktion sollte diese Trafficaufteilung auf den Cluster mit verwaltetem Anthos Service Mesh in kleinen Schritten statt sofort in 50 % erfolgen und schrittweise auf 100 % erhöht werden.

1. Legen Sie die IP-Adresse des Ingress-Gateways des verwalteten Anthos Service Mesh-Clusters in der Ressource ServiceEntry fest:

   sed -i "s/1.2.3.4/${INGRESS_IP_OF_CLUSTER_WITH_MANAGED_ASM}/" anthos-service-mesh-samples/docs/migrate-to-managed-asm/service-entry.yaml
   

2. Stellen Sie den ServiceEntry mit Istio im Cluster bereit:

   kubectl \
     --context cluster-with-istio \
     --namespace onlineboutique \
     apply -f anthos-service-mesh-samples/docs/migrate-to-managed-asm/service-entry.yaml
   

3. Stellen Sie den VirtualService mit Istio im Cluster bereit:

   kubectl \
     --context cluster-with-istio \
     --namespace onlineboutique \
     apply -f anthos-service-mesh-samples/docs/migrate-to-managed-asm/virtual-service.yaml
   

4. Rufen Sie in Ihrem Webbrowser die IP-Adresse des Ingress-Gateways des Clusters mit Istio auf:

   kubectl \
     --context cluster-with-istio \
     --namespace istio-system \
     get service
   

   Aktualisieren Sie die Online Boutique-Startseite mehrmals und prüfen Sie jedes Mal die Fußzeile der Seite. Beachten Sie, dass 50% der Anfragen von einem Pod auf dem Cluster mit verwaltetem Anthos Service Mesh verarbeitet werden.

Mit verwaltetem Anthos Service Mesh zum Cluster migrieren

In diesem Abschnitt wird davon ausgegangen, dass Sie Inhaber eines Domainnamens sind und Zugriff auf die DNS-Einstellungen (Domainnamenserver) haben.

1. Fügen Sie einen A-Eintrag zu den DNS-Einstellungen hinzu, um den Domainnamen (z. B. example.com) auf die IP-Adresse des Ingress-Gateways zu verweisen, das auf dem Cluster mit Istio läuft.

   Hinweis: Dies kann einige Minuten dauern.

2. Greifen Sie über den Domainnamen in Ihrem Webbrowser auf Online Boutique zu.

3. Minimieren Sie die Gültigkeitsdauer (TTL) für DNS-Einträge, damit Sie den DNS-Eintrag schnell zurücksetzen können, wenn Sie ein Rollback durchführen müssen.

4. Legen Sie den A-Eintrag Ihres Domainnamens auf die öffentliche IP-Adresse des Ingress-Gateways des Clusters mit verwaltetem Anthos Service Mesh fest.

5. Wenn die Migration erfolgreich ist, löschen Sie den Cluster mit Istio:

   gcloud container clusters delete cluster-with-istio \
     --zone=us-central1-a \
     --project=PROJECT_ID
   

Bereinigen

Damit Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, löschen Sie entweder das Projekt, das die Ressourcen enthält, oder Sie behalten das Projekt und löschen die einzelnen Ressourcen.

Projekt löschen

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:
• Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
• Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, z. B. eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, statt das gesamte Projekt.
1. Wechseln Sie in der Google Cloud Console zur Seite Ressourcen verwalten.

   Zur Seite „Ressourcen verwalten“

2. Wählen Sie in der Projektliste das Projekt aus, das Sie löschen möchten, und klicken Sie dann auf Löschen.
3. Geben Sie im Dialogfeld die Projekt-ID ein und klicken Sie auf Shut down (Beenden), um das Projekt zu löschen.

Ressourcen löschen

Löschen Sie den Cluster mit verwaltetem Anthos Service Mesh:

  gcloud container clusters delete cluster-with-managed-asm \
    --zone=us-central1-a \
    --project=PROJECT_ID

Nächste Schritte

• Weitere Informationen zu Verwaltetes Anthos Service Mesh.
• Weitere Informationen zu Best Practices für Anthos Service Mesh-Sicherheit.