Installazione di Anthos Service Mesh

Questa pagina spiega come installare Anthos Service Mesh su GKE e sulle piattaforme on-premise:

• Esegui asmcli per eseguire una nuova installazione di Anthos Service Mesh 1.17.5-asm.9.
• Facoltativamente, esegui il deployment di un gateway in entrata.
• Esegui il deployment o il deployment dei tuoi carichi di lavoro per inserire proxy sidecar.

Nota: per i cluster GKE Autopilot, è supportato solo Anthos Service Mesh gestito è supportato. Attualmente il supporto di Anthos Service Mesh per GKE Autopilot è disponibile solo con le versioni 1.21.3 e successive.

Nota: per istruzioni su come preparare un'installazione offline di Anthos Service Mesh, consulta Preparare un'installazione offline di Anthos Service Mesh Dovrai specificare le opzioni --offline e --output_dir durante l'esecuzione asmcli install.

Limitazioni

Tieni presente le seguenti limitazioni:

• Tutti i cluster Anthos Service Mesh per un mesh devono essere registrati in qualsiasi momento nello stesso parco risorse per utilizzare Anthos Service Mesh. Gli altri cluster nel progetto di un cluster Anthos Service Mesh non devono essere registrati in un parco risorse diverso.

• Lo strumento asmcli deve avere accesso all'endpoint Google Kubernetes Engine (GKE). Puoi configurare l'accesso tramite un server "jump", ad esempio una VM Compute Engine all'interno del Virtual Private Cloud (VPC) che fornisce un accesso specifico.

Prima di iniziare

Prima di iniziare, assicurati di:

• Esamina i prerequisiti.
• Esamina le informazioni riportate in Pianificare l'installazione.
• Installa gli strumenti richiesti.
• Scarica asmcli.
• Concedi le autorizzazioni di amministratore del cluster.
• Convalida progetto e cluster.

Avviso: affinché Anthos Service Mesh funzioni correttamente, esegui il deployment di istiod e canonical-service-controller-manager nel tuo cluster. Questi strumenti hanno autorizzazioni di controllo dell'accesso basato sui ruoli (RBAC) elevate, come la possibilità di modificare tutti i deployment e tutti i secret dei cluster. Queste autorizzazioni sono necessarie per le funzioni di Anthos Service Mesh come l'inserimento di sidecar, l'individuazione di servizi, la protezione del traffico, la gestione dei gateway in entrata e la presentazione delle dashboard dei servizi.

Nota: se devi installare Anthos Service Mesh da un registry di container privato o personalizzato, consulta Utilizzare un overlay personalizzato per il registro personalizzato.

Installazione di Anthos Service Mesh

Avviso: gli strumenti GitOps (tra cui Anthos Config Management, CD Argo, Terraform e Jenkins) potrebbero interferire con i processi di installazione, migrazione o upgrade di Anthos Service Mesh. Per risultati ottimali, disabilita gli strumenti GitOps prima di installare, migrare o eseguire l'upgrade di Anthos Service Mesh.

Di seguito viene descritto come installare Anthos Service Mesh:

1. Esegui asmcli install per installare il piano di controllo nel cluster su un singolo cluster. Consulta le seguenti sezioni per alcuni esempi di righe di comando. Gli esempi contengono argomenti obbligatori e facoltativi che potresti trovare utili. Ti consigliamo di specificare sempre l'argomento output_dir in modo da poter individuare facilmente gateway e strumenti di esempio come istioctl. Consulta la barra di navigazione a destra per un elenco degli esempi.

2. I cluster GKE privati richiedono un passaggio di configurazione firewall aggiuntivo per consentire il traffico verso istiod.

3. Se vuoi, installa un gateway in entrata. Per impostazione predefinita, asmcli non installa istio-ingressgateway. Ti consigliamo di eseguire il deployment e la gestione del piano di controllo e dei gateway separatamente. Se devi installare l'oggetto istio-ingressgateway predefinito con il piano di controllo nel cluster, includi l'argomento --option legacy-default-ingressgateway.

4. Per completare la configurazione di Anthos Service Mesh, devi abilitare l'inserimento automatico dei file collaterali ed eseguire il deployment o il nuovo deployment dei carichi di lavoro.

5. Se stai installando Anthos Service Mesh su più cluster, esegui asmcli install su ciascun cluster. Quando esegui asmcli install, assicurati di utilizzare lo stesso FLEET_PROJECT_ID per ogni cluster. Dopo aver installato Anthos Service Mesh, consulta le istruzioni per configurare un mesh multi-cluster su GKE o all'esterno di Google Cloud.

6. Se i cluster si trovano su reti diverse (in modalità isola), devi passare un nome di rete univoco a asmcli utilizzando il flag --network_id.

Installa le funzionalità predefinite e Mesh CA

Questa sezione mostra come eseguire asmcli per installare Anthos Service Mesh con le funzionalità predefinite supportate per la tua piattaforma e abilitare l'autorità di certificazione Anthos Service Mesh (Mesh CA) come autorità di certificazione.

GKE

Esegui questo comando per installare il piano di controllo con funzionalità predefinite e Mesh CA. Inserisci i valori nei segnaposto forniti.

./asmcli install \
  --project_id PROJECT_ID \
  --cluster_name CLUSTER_NAME \
  --cluster_location CLUSTER_LOCATION \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca mesh_ca

• --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
• --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster al momento della registrazione del cluster.
• --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
  Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento durante il deployment dei gateway.
• --enable_all Consente allo script di:
  • Concedi le autorizzazioni IAM richieste.
  • Abilita le API di Google richieste.
  • Imposta sul cluster un'etichetta che identifichi il mesh.
  • Registra il cluster nel parco risorse, se non è già registrato.
• --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura la CA mesh per utilizzare l'identità del carico di lavoro del parco risorse

On-premise

Esegui i comandi seguenti su Cluster Anthos su VMware o Anthos on bare metal per installare il piano di controllo con funzionalità predefinite e Mesh CA. Inserisci i valori nei segnaposto forniti.

Nota: l'installazione dell'autorità di certificazione Anthos Service Mesh e Anthos Service Mesh tramite un proxy non è supportata.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura la CA mesh per utilizzare l'identità del carico di lavoro del parco risorse

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

Nota: il monitoraggio Prometheus è abilitato per impostazione predefinita. L'abilitazione di Prometheus e l'impostazione di enableStackdriverForApplications su true potrebbero comportare addebiti aggiuntivi di Cloud Monitoring. Per ulteriori informazioni, consulta i problemi noti dei cluster Anthos on-prem. Per disabilitare le annotazioni Prometheus durante l'installazione di Anthos Service Mesh, consulta la pagina relativa alla disattivazione della funzionalità di unione delle metriche di Prometheus.

AWS

Esegui i comandi seguenti sui cluster Anthos su AWS per installare il piano di controllo con funzionalità predefinite e Mesh CA. Inserisci i tuoi valori nei segnaposto forniti.

Nota: l'installazione dell'autorità di certificazione Anthos Service Mesh e Anthos Service Mesh tramite un proxy non è supportata.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura CA mesh per utilizzare l'identità del carico di lavoro del parco risorse.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

Azure

Nota: l'installazione dell'autorità di certificazione Anthos Service Mesh e Anthos Service Mesh tramite un proxy non è supportata.

Esegui i comandi seguenti sui cluster Anthos su Azure (anteprima) per installare il piano di controllo con funzionalità predefinite e CA mesh. Inserisci i valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura CA mesh per utilizzare l'identità del carico di lavoro del parco risorse.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

Amazon EKS

Esegui i comandi seguenti su Amazon EKS per installare il piano di controllo con funzionalità predefinite e Mesh CA. Inserisci i tuoi valori nei segnaposto forniti.

Nota: l'installazione dell'autorità di certificazione Anthos Service Mesh e Anthos Service Mesh tramite un proxy non è supportata.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --option attached-cluster \
     --network_id default \
     --ca mesh_ca
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
   • --network_id Se stai configurando un mesh multi-rete, imposta --network_id su un valore univoco per ogni cluster nel mesh.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura CA mesh per utilizzare l'identità del carico di lavoro del parco risorse.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

AKS Microsoft

Esegui i comandi seguenti su Microsoft AKS per installare il piano di controllo con funzionalità predefinite e Mesh CA. Inserisci i tuoi valori nei segnaposto forniti.

Nota: l'installazione dell'autorità di certificazione Anthos Service Mesh e Anthos Service Mesh tramite un proxy non è supportata.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --option attached-cluster \
     --network_id default \
     --ca mesh_ca
   

   • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
   Nota: per consentire la registrazione con GKE Hub, devi utilizzare questo flag perché i cluster AKS non hanno un endpoint di rilevamento OIDC instradabile pubblicamente per il token dell'account di servizio Kubernetes.
   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
   • --network_id Se stai configurando un mesh multi-rete, imposta --network_id su un valore univoco per ogni cluster nel mesh.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. asmcliConfigura CA mesh per utilizzare l'identità del carico di lavoro del parco risorse.

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

Installa le funzionalità predefinite e il servizio autorità di certificazione (CA)

Questa sezione mostra come eseguire asmcli per installare Anthos Service Mesh con le funzionalità supportate predefinite per la tua piattaforma e abilitare CA Service come autorità di certificazione.

Nota sulla piattaforma: CA Service è supportato solo sulle seguenti piattaforme: GKE clusters on Google Cloud, Cluster Anthos su VMware e Anthos on bare metal. Se esegui asmcli install e specifichi --ca gcp_cas su altre piattaforme, l'installazione sembra riuscita, ma i carichi di lavoro non verranno avviati.

Oltre a Mesh CA, puoi configurare Anthos Service Mesh in modo che utilizzi Certificate Authority Service. Questa guida offre l'opportunità di eseguire l'integrazione con CA Service, consigliata per i seguenti casi d'uso:

• Se hai bisogno di autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
• Se vuoi utilizzare istiod certificati del plug-in CA personalizzato.
• Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
• Se lavori in un settore altamente regolamentato e sei soggetto alla conformità.
• Se vuoi concatenare la CA di Anthos Service Mesh a un certificato radice aziendale personalizzato per firmare i certificati dei carichi di lavoro.

Il costo di Mesh CA è incluso nei prezzi di Anthos Service Mesh. Il servizio CA non è incluso nel prezzo base di Anthos Service Mesh e viene addebitato separatamente. Inoltre, CA Service viene fornito con uno SLA esplicito, ma non la Mesh CA.

Per questa integrazione, a tutti i carichi di lavoro in Anthos Service Mesh vengono concessi ruoli IAM:

• privateca.workloadCertificateRequester
• privateca.auditor
• privateca.template (obbligatorio se utilizzi un modello di certificato)

Configura servizio CA

1. Crea il pool di CA nel livello DevOps e nella stessa regione del cluster che gestisce per evitare problemi di latenza eccessiva o potenziali interruzioni tra regioni. Per ulteriori informazioni, consulta Livelli ottimizzati per il carico di lavoro.
2. Crea la CA per avere almeno un'autorità di certificazione attiva nel pool di CA nello stesso progetto del cluster GKE. Utilizza CA subordinate per firmare i certificati dei carichi di lavoro Anthos Service Mesh. Prendi nota del pool di CA corrispondente alla CA subordinata.

3. Se è destinato solo a gestire i certificati per i carichi di lavoro Anthos Service Mesh, configura il seguente criterio di emissione per il pool di CA:

   policy.yaml

   baselineValues:
     keyUsage:
       baseKeyUsage:
         digitalSignature: true
         keyEncipherment: true
       extendedKeyUsage:
         serverAuth: true
         clientAuth: true
     caOptions:
       isCa: false
   identityConstraints:
     allowSubjectPassthrough: false
     allowSubjectAltNamesPassthrough: true
     celExpression:
       expression: subject_alt_names.all(san, san.type == URI && san.value.startsWith("spiffe://PROJECT_ID.svc.id.goog/ns/") )
   

   Nota: come best practice per i mesh multi-cluster, imposta un pool di CA subordinato per ogni regione del cluster univoca. Tutti i pool di CA subordinati devono concatenarsi allo stesso pool di CA radice.

4. Per aggiornare il criterio di emissione del pool di CA, utilizza il comando seguente:

   gcloud privateca pools update CA_POOL --location ca_region --issuance-policy policy.yaml
   

   Per informazioni sull'impostazione di un criterio per un pool, vedi Utilizzo di un criterio di emissione di certificati.

5. Se utilizzi un modello di certificato, configuralo ora. Per ulteriori informazioni, segui la guida di CA Service per i certificati di Workload Identity. Assicurati che il modello di certificato sia creato nella stessa regione del pool di CA. Se sono presenti più regioni per i pool di CA, crea un modello di certificato per ciascuna regione.

Configurazione di Anthos Service Mesh per l'utilizzo di CA Service

GKE

1. Installa il piano di controllo Anthos Service Mesh che utilizza Certificate Authority Service come CA:

   ./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --enable_all \
   --ca gcp_cas \
   --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca gcp_cas Utilizza Certificate Authority Service come autorità di certificazione. La modifica delle autorità di certificazione durante un upgrade causa tempi di inattività. asmcliconfigura Certificate Authority Service per utilizzare l'identità del carico di lavoro del parco risorse
   • --ca_pool L'identificatore completo del pool di CA di Certificate Authority Service. Se viene utilizzato il modello di certificato, aggiungi l'ID del modello separato da :.

     --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
     

2. Installa un gateway in entrata per ricevere connessioni HTTP/TCP in entrata o in uscita. Per maggiori dettagli, vedi Installare gateway.

3. Completa l'installazione di Anthos Service Mesh per abilitare l'inserimento automatico di proxy sidecar sui tuoi carichi di lavoro. Per i dettagli, consulta Eseguire il deployment dei carichi di lavoro e ripeterne il deployment.

On-premise

Esegui i comandi seguenti su Cluster Anthos su VMware o Anthos on bare metal per installare il piano di controllo con funzionalità predefinite e Certificate Authority Service. Inserisci i valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
   --kubeconfig KUBECONFIG_FILE \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca gcp_cas \
   --platform multicloud \
   --ca_pool  projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca gcp_cas Utilizza Certificate Authority Service come autorità di certificazione. La modifica delle autorità di certificazione durante un upgrade causa tempi di inattività. asmcliconfigura Certificate Authority Service per utilizzare l'identità del carico di lavoro del parco risorse
   • --ca_pool L'identificatore completo del pool di CA di Certificate Authority Service. Se utilizzi un modello di certificato, aggiungi l'ID modello separato da :. Ecco alcuni esempi:

     --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
     

Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

Installa le funzionalità predefinite con Istio CA

Questa sezione spiega come:

• Genera certificati e chiavi per la CA Istio che Anthos Service Mesh utilizza per firmare i tuoi carichi di lavoro.
• Esegui asmcli per installare Anthos Service Mesh con funzionalità predefinite e abilita Istio CA.

Per impostazione predefinita, gli ambienti che installano Anthos Service Mesh con le metriche dei report di Istio CA su Prometheus. Se vuoi utilizzare le dashboard di Anthos Service Mesh, devi abilitare Stackdriver. Per ulteriori informazioni, consulta la sezione Eseguire l'installazione con funzionalità facoltative.

Per la massima sicurezza, ti consigliamo vivamente di mantenere una CA radice offline e di utilizzare le CA subordinate per emettere i certificati per ogni cluster. Per ulteriori informazioni, vedi Collegare certificati CA. In questa configurazione, tutti i carichi di lavoro nel mesh di servizi utilizzano la stessa autorità di certificazione (CA) radice. Ogni CA di Anthos Service Mesh utilizza una chiave e un certificato di firma di una CA intermedia, firmati dalla CA radice. Quando esistono più CA all'interno di un mesh, viene stabilita una gerarchia di attendibilità tra le CA. Puoi ripetere questi passaggi per eseguire il provisioning di certificati e chiavi per un numero qualsiasi di autorità di certificazione.

Importante: questi passaggi creano certificati e chiavi utilizzando un comando make fornito solo a scopo illustrativo. Per una sicurezza ottimale, utilizza un computer protetto offline e strumenti pronti per la produzione, ad esempio utilizzando HashiCorp Vault per generare e proteggere la chiave di firma della CA in modo sicuro.

Il Makefile per generare i certificati si trova nella sottodirectory istio-1.17.5-asm.9 della directory --output_dir specificata nel comando asmcli validate. Se non hai eseguito asmcli validate o non hai la directory scaricata localmente, puoi ottenere il makefile scaricando il file di installazione di Anthos Service Mesh ed estraendo i contenuti.

1. Passa alla directory istio-1.17.5-asm.9.

2. Crea una directory per i certificati e le chiavi:

   mkdir -p certs && \
   pushd certs

3. Genera un certificato radice e una chiave:

   make -f ../tools/certs/Makefile.selfsigned.mk root-ca
   

   Questo genera i seguenti file:

   • root-cert.pem: il certificato radice
   • root-key.pem: la chiave radice
   • root-ca.conf: la configurazione di Opensl per generare il certificato radice
   • root-cert.csr: la richiesta di firma del certificato per il certificato radice

4. Genera un certificato e una chiave intermedi:

   make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts

   Questo genera i seguenti file in una directory denominata cluster1:

   • ca-cert.pem: i certificati intermedi
   • ca-key.pem: la chiave intermedia
   • cert-chain.pem: la catena di certificati utilizzata da istiod
   • root-cert.pem: il certificato radice
   Nota: puoi sostituire cluster1 con un nome diverso. Ad esempio, make mycluster-cacerts crea una directory denominata mycluster.

   Se esegui questi passaggi utilizzando un computer offline, copia la directory generata su un computer con accesso ai cluster.

5. Torna alla directory precedente:

   popd

6. Esegui asmcli per installare un mesh utilizzando Istio CA:

   GKE

   Esegui questo comando per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

    ./asmcli install \
      --project_id PROJECT_ID \
      --cluster_name CLUSTER_NAME \
      --cluster_location CLUSTER_LOCATION \
      --fleet_id FLEET_PROJECT_ID \
      --output_dir DIR_PATH \
      --enable_all \
      --ca citadel \
      --ca_cert CA_CERT_FILE_PATH \
      --ca_key CA_KEY_FILE_PATH \
      --root_cert ROOT_CERT_FILE_PATH \
      --cert_chain CERT_CHAIN_FILE_PATH
   

   • --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
   • --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster al momento della registrazione del cluster.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
     Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento durante il deployment dei gateway.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.

   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio
   • --ca_key La chiave per il certificato intermedio
   • --root_cert Il certificato radice
   • --cert_chain La catena di certificati

   On-premise

   Esegui i comandi seguenti su Cluster Anthos su VMware o Anthos on bare metal per installare il piano di controllo con le funzionalità predefinite e Istio CA. Inserisci i valori nei segnaposto forniti.

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati

   AWS

   Esegui i comandi seguenti sui cluster Anthos su AWS per installare il piano di controllo con funzionalità predefinite e la CA Istio. Inserisci i tuoi valori nei segnaposto forniti. Puoi scegliere di abilitare Ingress per la subnet pubblica o privata.

   Pubblico

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave del certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.

   Privato

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Salva il seguente file YAML in un file denominato istio-operator-internal-lb.yaml:

      apiVersion: install.istio.io/v1alpha1
      kind: IstioOperator
      spec:
        components:
          ingressGateways:
          - enabled: true
            k8s:
              serviceAnnotations:
                service.beta.kubernetes.io/aws-load-balancer-internal: "true"
            name: istio-ingressgateway
      

   3. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --ca citadel \
        --ca_cert FILE_PATH \
        --ca_key FILE_PATH \
        --root_cert FILE_PATH \
        --cert_chain FILE_PATH \
        --custom_overlay istio-operator-internal-lb.yaml
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave del certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.
      • --custom_overlay Il nome del file di overlay creato. Per ulteriori informazioni sui file in overlay, consulta Abilitazione di funzionalità facoltative sul piano di controllo nel cluster

   Azure

   Esegui i comandi seguenti sui cluster Anthos su Azure (anteprima) per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i tuoi valori nei segnaposto forniti. Puoi scegliere di abilitare Ingress per la subnet pubblica o privata.

   Pubblico

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --option attached-cluster \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave del certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.

   Privato

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Salva il seguente file YAML in un file denominato istio-operator-internal-lb.yaml:

      apiVersion: install.istio.io/v1alpha1
      kind: IstioOperator
      spec:
        components:
          ingressGateways:
          - enabled: true
            k8s:
              serviceAnnotations:
                service.beta.kubernetes.io/aws-load-balancer-internal: "true"
            name: istio-ingressgateway
      

   3. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --option attached-cluster \
        --ca citadel \
        --ca_cert FILE_PATH \
        --ca_key FILE_PATH \
        --root_cert FILE_PATH \
        --cert_chain FILE_PATH \
        --custom_overlay istio-operator-internal-lb.yaml
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio.
      • --ca_key La chiave del certificato intermedio.
      • --root_cert Il certificato radice.
      • --cert_chain La catena di certificati.
      • --custom_overlay Il nome del file di overlay creato. Per ulteriori informazioni sui file in overlay, consulta Abilitazione di funzionalità facoltative sul piano di controllo nel cluster

   Amazon EKS

   Esegui i comandi seguenti su Amazon EKS per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui asmcli install:

      ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --option attached-cluster \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH \
        --network_id default
      

      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati
      • --network_id Se stai configurando una rete mesh con più reti, imposta --network_id su un valore univoco per ogni cluster nel mesh.

   AKS Microsoft

   Esegui i comandi seguenti su Microsoft AKS per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

   1. Imposta il contesto attuale per il tuo cluster utente:

      kubectl config use-context CLUSTER_NAME
      

   2. Esegui asmcli install:

      HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
        --fleet_id FLEET_PROJECT_ID \
        --kubeconfig KUBECONFIG_FILE \
        --output_dir DIR_PATH \
        --platform multicloud \
        --enable_all \
        --option attached-cluster \
        --ca citadel \
        --ca_cert CA_CERT_FILE_PATH \
        --ca_key CA_KEY_FILE_PATH \
        --root_cert ROOT_CERT_FILE_PATH \
        --cert_chain CERT_CHAIN_FILE_PATH \
        --network_id default
      

      • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
      Nota: per consentire la registrazione con GKE Hub, devi utilizzare questo flag perché i cluster AKS non hanno un endpoint di rilevamento OIDC instradabile pubblicamente per il token dell'account di servizio Kubernetes.
      • --fleet_id L'ID progetto del progetto host del parco risorse.
      • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
      • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
      • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
      • --enable_all Consente allo script di:
        • Concedi le autorizzazioni IAM richieste.
        • Abilita le API di Google richieste.
        • Imposta sul cluster un'etichetta che identifichi il mesh.
        • Registra il cluster nel parco risorse, se non è già registrato.
      • --option attached-cluster Modifica l'utilità di firma predefinita in istiod.
      • -ca citadel Utilizza la CA Istio come autorità di certificazione.
      • --ca_cert Il certificato intermedio
      • --ca_key La chiave per il certificato intermedio
      • --root_cert Il certificato radice
      • --cert_chain La catena di certificati
      • --network_id Se stai configurando una rete mesh con più reti, imposta --network_id su un valore univoco per ogni cluster nel mesh.

Esegui l'installazione con Istio CA con la suite operativa di Google Cloud abilitata

Se vuoi utilizzare le dashboard di Anthos Service Mesh, devi abilitare Stackdriver.

GKE

Esegui questo comando per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

./asmcli install \
   --project_id PROJECT_ID \
   --cluster_name CLUSTER_NAME \
   --cluster_location CLUSTER_LOCATION \
   --fleet_id FLEET_PROJECT_ID \
   --output_dir DIR_PATH \
   --enable_all \
   --ca citadel \
   --ca_cert CA_CERT_FILE_PATH \
   --ca_key CA_KEY_FILE_PATH \
   --root_cert ROOT_CERT_FILE_PATH \
   --cert_chain CERT_CHAIN_FILE_PATH

• --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
• --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster al momento della registrazione del cluster.
• --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
  Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento durante il deployment dei gateway.
• --enable_all Consente allo script di:
  • Concedi le autorizzazioni IAM richieste.
  • Abilita le API di Google richieste.
  • Imposta sul cluster un'etichetta che identifichi il mesh.
  • Registra il cluster nel parco risorse, se non è già registrato.
• -ca citadel Utilizza la CA Istio come autorità di certificazione.
• --ca_cert Il certificato intermedio
• --ca_key La chiave per il certificato intermedio
• --root_cert Il certificato radice
• --cert_chain La catena di certificati
• --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

On-premise

Esegui i comandi seguenti su Cluster Anthos su VMware o Anthos on bare metal per installare il piano di controllo con Stackdriver, oltre ad altre funzionalità facoltative e Istio CA. Inserisci i tuoi valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
      --fleet_id FLEET_PROJECT_ID \
      --kubeconfig KUBECONFIG_FILE \
      --output_dir DIR_PATH \
      --platform multicloud \
      --enable_all \
      --ca citadel \
      --ca_cert CA_CERT_FILE_PATH \
      --ca_key CA_KEY_FILE_PATH \
      --root_cert ROOT_CERT_FILE_PATH \
      --cert_chain CERT_CHAIN_FILE_PATH
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio
   • --ca_key La chiave per il certificato intermedio
   • --root_cert Il certificato radice
   • --cert_chain La catena di certificati
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

   Per visualizzare gli SLO e le metriche dell'infrastruttura nella UI di Anthos Service Mesh, devi anche eseguire i primi tre passaggi descritti in Abilitare il logging e il monitoraggio delle applicazioni. Se il logging e il monitoraggio non sono abilitati e non ricevi log e metriche personalizzati, la dashboard di Anthos Service Mesh non mostrerà SLO, log degli errori o metriche di CPU e memoria.

AWS

Esegui i comandi seguenti sui cluster Anthos su AWS per installare il piano di controllo con Stackdriver, altre funzionalità facoltative e la CA Istio. Inserisci i tuoi valori nei segnaposto forniti. Puoi scegliere di abilitare Ingress per la subnet pubblica o privata.

Pubblico

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert CA_CERT_FILE_PATH \
     --ca_key CA_KEY_FILE_PATH \
     --root_cert ROOT_CERT_FILE_PATH \
     --cert_chain CERT_CHAIN_FILE_PATH \
     --option stackdriver
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio.
   • --ca_key La chiave del certificato intermedio.
   • --root_cert Il certificato radice.
   • --cert_chain La catena di certificati.
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

Privato

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Salva il seguente file YAML in un file denominato istio-operator-internal-lb.yaml:

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     components:
       ingressGateways:
       - enabled: true
         k8s:
           serviceAnnotations:
             service.beta.kubernetes.io/aws-load-balancer-internal: "true"
         name: istio-ingressgateway
   

3. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert FILE_PATH \
     --ca_key FILE_PATH \
     --root_cert FILE_PATH \
     --cert_chain FILE_PATH
     --custom_overlay istio-operator-internal-lb.yaml \
     --option stackdriver
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio.
   • --ca_key La chiave del certificato intermedio.
   • --root_cert Il certificato radice.
   • --cert_chain La catena di certificati.
   • --custom_overlay Il nome del file di overlay creato. Per saperne di più sui file in overlay, consulta Abilitazione di funzionalità facoltative nel piano di controllo nel cluster
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver. In alternativa, puoi abilitare Stackdriver utilizzando --custom_overlay stackdriver.yaml. Devi scaricare il pacchetto anthos-service-mesh-package o creare stackdriver.yaml dal file manifest fornito.

Azure

Esegui i comandi seguenti sui cluster Anthos su Azure (anteprima) per installare il piano di controllo con Stackdriver, altre funzionalità facoltative e Istio CA. Inserisci i valori nei segnaposto forniti. Puoi scegliere di abilitare Ingress per la subnet pubblica o quella privata.

Pubblico

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert CA_CERT_FILE_PATH \
     --ca_key CA_KEY_FILE_PATH \
     --root_cert ROOT_CERT_FILE_PATH \
     --cert_chain CERT_CHAIN_FILE_PATH \
     --option stackdriver
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio.
   • --ca_key La chiave del certificato intermedio.
   • --root_cert Il certificato radice.
   • --cert_chain La catena di certificati.
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.

Privato

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Salva il seguente file YAML in un file denominato istio-operator-internal-lb.yaml:

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     components:
       ingressGateways:
       - enabled: true
         k8s:
           serviceAnnotations:
             service.beta.kubernetes.io/aws-load-balancer-internal: "true"
         name: istio-ingressgateway
   

3. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert FILE_PATH \
     --ca_key FILE_PATH \
     --root_cert FILE_PATH \
     --cert_chain FILE_PATH
     --custom_overlay istio-operator-internal-lb.yaml \
     --option stackdriver
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio.
   • --ca_key La chiave del certificato intermedio.
   • --root_cert Il certificato radice.
   • --cert_chain La catena di certificati.
   • --custom_overlay Il nome del file di overlay creato. Per saperne di più sui file in overlay, consulta Abilitazione di funzionalità facoltative nel piano di controllo nel cluster
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver. In alternativa, puoi abilitare Stackdriver utilizzando --custom_overlay stackdriver.yaml. Devi scaricare il pacchetto anthos-service-mesh-package o creare stackdriver.yaml dal file manifest fornito.

Amazon EKS

Esegui i comandi seguenti su Amazon EKS per installare il piano di controllo con Stackdriver, altre funzionalità facoltative e Istio CA. Inserisci i tuoi valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert CA_CERT_FILE_PATH \
     --ca_key CA_KEY_FILE_PATH \
     --root_cert ROOT_CERT_FILE_PATH \
     --cert_chain CERT_CHAIN_FILE_PATH \
     --option stackdriver \
     --option attached-cluster
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio
   • --ca_key La chiave per il certificato intermedio
   • --root_cert Il certificato radice
   • --cert_chain La catena di certificati
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.
   • --option stackdriver Modifica l'utilità di firma predefinita in istiod.

AKS Microsoft

Esegui i comandi seguenti su Microsoft AKS per installare il piano di controllo con le funzionalità predefinite e la CA Istio. Inserisci i valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install:

   HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca citadel \
     --ca_cert CA_CERT_FILE_PATH \
     --ca_key CA_KEY_FILE_PATH \
     --root_cert ROOT_CERT_FILE_PATH \
     --cert_chain CERT_CHAIN_FILE_PATH \
     --option stackdriver \
     --option attached-cluster
   

   • HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer Consente la registrazione con GKE Hub.
   Nota: per consentire la registrazione con GKE Hub, devi utilizzare questo flag perché i cluster AKS non hanno un endpoint di rilevamento OIDC instradabile pubblicamente per il token dell'account di servizio Kubernetes.
   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • -ca citadel Utilizza la CA Istio come autorità di certificazione.
   • --ca_cert Il certificato intermedio
   • --ca_key La chiave per il certificato intermedio
   • --root_cert Il certificato radice
   • --cert_chain La catena di certificati
   • --option stackdriver Abilita l'opzione Stackdriver. Tieni presente che puoi anche abilitare sia Stackdriver che Prometheus utilizzando --option prometheus-and-stackdriver.
   • --option stackdriver Modifica l'utilità di firma predefinita in istiod.

Installa con funzionalità facoltative

Un file overlay è un file YAML contenente una risorsa (RP) personalizzata IstioOperator che passi a asmcli per configurare il piano di controllo. Puoi eseguire l'override della configurazione predefinita del piano di controllo e abilitare una funzionalità facoltativa passando il file YAML a asmcli. Puoi sovrapporre più overlay e ogni file di overlay sostituisce la configurazione sui livelli precedenti. Come best practice, ti consigliamo di salvare i file degli overlay nel tuo sistema di controllo della versione.

Esistono due opzioni per abilitare le funzionalità facoltative: --option e --custom_overlay.

Usa --option se non devi modificare il file dell'overlay. Con questo metodo, asmclirecupera automaticamente il file dal repository GitHub.

Utilizza --custom_overlay quando devi personalizzare il file dell'overlay.

Per saperne di più, consulta Abilitazione di funzionalità facoltative nel piano di controllo nel cluster.

GKE

Esegui questo comando per installare il piano di controllo con una funzionalità facoltativa. Per aggiungere più file, specifica --custom_overlay e il nome del file, ad esempio: --custom_overlay overlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml Inserisci i valori nei segnaposto forniti.

./asmcli install \
  --project_id PROJECT_ID \
  --cluster_name CLUSTER_NAME \
  --cluster_location CLUSTER_LOCATION \
  --fleet_id FLEET_PROJECT_ID \
  --output_dir DIR_PATH \
  --enable_all \
  --ca mesh_ca \
  --custom_overlay OVERLAY_FILE

• --project_id, --cluster_name e --cluster_location Specifica l'ID progetto in cui si trova il cluster, il nome del cluster e la zona o la regione del cluster.
• --fleet_id L'ID progetto del progetto host del parco risorse. Se non includi questa opzione, asmcli utilizza il progetto in cui è stato creato il cluster al momento della registrazione del cluster.
• --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
  Nota: Prendi nota di questa directory --output_dir. Dovrai farvi riferimento durante il deployment dei gateway.
• --enable_all Consente allo script di:
  • Concedi le autorizzazioni IAM richieste.
  • Abilita le API di Google richieste.
  • Imposta sul cluster un'etichetta che identifichi il mesh.
  • Registra il cluster nel parco risorse, se non è già registrato.
• --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. Tieni presente che asmcliconfigura Mesh CA per l'utilizzo dell'identità del carico di lavoro del parco risorse
• --custom_overlay Specifica il nome del file dell'overlay.

Al di fuori di Google Cloud

Esegui i comandi seguenti su Cluster Anthos su VMware, Anthos on bare metal, Cluster Anthos on AWS, Amazon EKS o Microsoft AKS. Inserisci i valori nei segnaposto forniti.

1. Imposta il contesto attuale per il tuo cluster utente:

   kubectl config use-context CLUSTER_NAME
   

2. Esegui asmcli install per installare il piano di controllo con una funzionalità facoltativa. Per aggiungere più file, specifica --custom_overlay e il nome, ad esempio: --custom_overlayoverlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml

   ./asmcli install \
     --fleet_id FLEET_PROJECT_ID \
     --kubeconfig KUBECONFIG_FILE \
     --output_dir DIR_PATH \
     --platform multicloud \
     --enable_all \
     --ca mesh_ca \
     --custom_overlay OVERLAY_FILE
   

   • --fleet_id L'ID progetto del progetto host del parco risorse.
   • --kubeconfig Il percorso completo del file kubeconfig. La variabile di ambiente $PWD non funziona qui. Inoltre, le posizioni relative dei file kubeconfig che utilizzano il simbolo "~" non funzioneranno.
   • --output_dir Includi questa opzione per specificare una directory in cui asmcli scarica il pacchetto anthos-service-mesh ed estrae il file di installazione, che contiene istioctl, esempi e manifest. In caso contrario, asmcli scarica i file in una directory tmp. Puoi specificare un percorso relativo o un percorso completo. La variabile di ambiente $PWD non funziona qui.
   • --platform multicloud Specifica che la piattaforma è diversa da Google Cloud, ad esempio on-premise o multi-cloud.
   • --enable_all Consente allo script di:
     • Concedi le autorizzazioni IAM richieste.
     • Abilita le API di Google richieste.
     • Imposta sul cluster un'etichetta che identifichi il mesh.
     • Registra il cluster nel parco risorse, se non è già registrato.
   • --ca mesh_ca Utilizza Mesh CA come autorità di certificazione. Tieni presente che asmcliconfigura Mesh CA per l'utilizzo dell'identità del carico di lavoro del parco risorse
   • --custom_overlay Specifica il nome del file dell'overlay.

Installa gateway

Anthos Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway come parte del tuo mesh di servizi. Un gateway descrive un bilanciatore del carico che opera sul perimetro della rete mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono proxy Envoy che forniscono un controllo granulare sul traffico in entrata e in uscita dal mesh.

1. Crea uno spazio dei nomi per il gateway in entrata, se non ne hai già uno. I gateway sono carichi di lavoro utente e, come best practice, non deve essere eseguito il deployment nello spazio dei nomi del piano di controllo. Sostituisci GATEWAY_NAMESPACE con il nome del tuo spazio dei nomi.

   kubectl create namespace GATEWAY_NAMESPACE
   

   Output previsto:

   namespace/GATEWAY_NAMESPACE created
   

2. Abilita l'inserimento automatico sul gateway. I passaggi richiesti variano a seconda che tu voglia utilizzare le etichette di inserimento predefinite (ad esempio istio-injection=enabled) o l'etichetta di revisione nello spazio dei nomi del gateway. Il tag di revisione e l'etichetta di revisione predefiniti vengono utilizzati dal webhook dell'iniettore collaterale per associare i proxy inseriti a una particolare revisione del piano di controllo.

   Etichette di iniezione predefinite

   Nota: se hai utilizzato una revisione predefinita dei tag per abilitare l'inserimento automatico nel gateway, verifica che il tag predefinito esista nella directory specificata in --output_dir e che rimandi alla revisione appena installata. Esegui il comando istioctl tag list.

   Applica le etichette di iniezione predefinite allo spazio dei nomi.

   kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-
   

   Etichetta revisione

   1. Usa il seguente comando per individuare l'etichetta della revisione su istiod:

      kubectl get deploy -n istio-system -l app=istiod -o \
        "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"
      

      Il comando restituisce l'etichetta di revisione che corrisponde alla versione di Anthos Service Mesh, ad esempio: asm-1175-9

   2. Applica l'etichetta di revisione allo spazio dei nomi. Nel comando seguente, REVISION è il valore dell'etichetta di revisione istiod che hai annotato nel passaggio precedente.

      kubectl label namespace GATEWAY_NAMESPACE \
        istio.io/rev=REVISION --overwrite
      

      Output previsto:

      namespace/GATEWAY_NAMESPACE labeled
      

   Puoi ignorare il messaggio "istio.io/rev" not found nell'output. Ciò significa che lo spazio dei nomi non aveva in precedenza l'etichetta istio.io/rev, che dovresti aspettarti nelle nuove installazioni di Anthos Service Mesh o nei nuovi deployment. Poiché l'inserimento automatico non riesce se uno spazio dei nomi contiene sia l'etichetta istio.io/rev sia l'etichetta istio-injection, tutti i comandi kubectl label nella documentazione di Anthos Service Mesh specificano in modo esplicito entrambe le etichette.

   Se lo spazio dei nomi del gateway non è etichettato, i pod istio-ingressgateway non riusciranno con un errore ImagePullBackOff quando il gateway tenta di eseguire il pull e l'immagine auto. Questa immagine deve essere sostituita dal webhook.

3. Scarica il file di configurazione .yaml del gateway in entrata di esempio dal repository anthos-service-mesh-packages.

4. Applica la configurazione .yaml del gateway in entrata di esempio così com'è o modificala in base alle esigenze.

   kubectl apply -n GATEWAY_NAMESPACE \
     -f CONFIG_PATH/istio-ingressgateway
   

   Output previsto:

   deployment.apps/istio-ingressgateway created
   poddisruptionbudget.policy/istio-ingressgateway created
   horizontalpodautoscaler.autoscaling/istio-ingressgateway created
   role.rbac.authorization.k8s.io/istio-ingressgateway created
   rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created
   service/istio-ingressgateway created
   serviceaccount/istio-ingressgateway created
   

Scopri di più sulle best practice per i gateway.

Esegui il deployment e il nuovo deployment dei carichi di lavoro

Avviso: se installi sidecar in pod di applicazioni in cui la connettività della CA tramite connessione diretta non è disponibile (ad esempio a causa di firewall o altre funzionalità restrittive), devi configurare la connettività della CA tramite un proxy dopo aver installato il piano di controllo nel cluster e prima di eseguire nuovamente il deployment dei carichi di lavoro.

Anthos Service Mesh utilizza i proxy sidecar per migliorare la sicurezza, l'affidabilità e l'osservabilità della rete. Con Anthos Service Mesh, queste funzioni vengono astratte dal container principale dell'applicazione e implementate in un proxy out-of-process comune, fornito come container separato nello stesso pod.

L'installazione non è completa finché non attivi l'inserimento automatico dei proxy sidecar (inserimento automatico) e riavvii i pod per tutti i carichi di lavoro in esecuzione sul cluster prima dell'installazione di Anthos Service Mesh.

Per abilitare l'inserimento automatico, etichetta gli spazi dei nomi con le etichette di inserimento predefinite se è configurato il tag predefinito oppure con un'etichetta di revisione impostata il giorno istiod al momento dell'installazione di Anthos Service Mesh. Il tag di revisione e l'etichetta di revisione predefiniti vengono utilizzati dal webhook dell'iniettore sidecar per associare i sidecar inseriti a una revisione istiod. Dopo l'aggiunta dell'etichetta, eventuali pod esistenti nello spazio dei nomi devono essere riavviati per l'inserimento dei file collaterali.

Prima di eseguire il deployment di nuovi carichi di lavoro in un nuovo spazio dei nomi, assicurati di configurare l'inserimento automatico in modo che Anthos Service Mesh possa monitorare e proteggere il traffico.

1. I passaggi necessari per abilitare l'inserimento automatico dipendono dal fatto che tu voglia utilizzare le etichette di iniezione predefinite o l'etichetta di revisione:

   Etichette di iniezione predefinite

   Nota: se hai utilizzato una revisione predefinita dei tag per abilitare l'inserimento automatico nel gateway, verifica che il tag predefinito esista nella directory specificata in --output_dir e che rimandi alla revisione appena installata. Esegui il comando DIR_PATH/istioctl tag list.

   Nel comando seguente, NAMESPACE è il nome dello spazio dei nomi in cui vuoi abilitare l'inserimento automatico.

   kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev-
   

   Poiché le etichette di iniezione predefinite inseriscono la revisione a cui rimanda il tag predefinito, non è necessario rietichettare gli spazi dei nomi.

   Etichetta revisione

   1. Usa il seguente comando per individuare l'etichetta della revisione su istiod:

      kubectl -n istio-system get pods -l app=istiod --show-labels
      

      L'output è simile al seguente:

      NAME                                READY   STATUS    RESTARTS   AGE   LABELS
      istiod-asm-1175-9-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1175-9,istio=istiod,pod-template-hash=5788d57586
      istiod-asm-1175-9-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1175-9,istio=istiod,pod-template-hash=5788d57586

      Nell'output, sotto la colonna LABELS, prendi nota del valore dell'etichetta di revisione istiod, che segue il prefisso istio.io/rev=. In questo esempio, il valore è asm-1175-9.

   2. Applica l'etichetta di revisione e rimuovi l'etichetta istio-injection, se esistente. Nel comando seguente, NAMESPACE è il nome dello spazio dei nomi in cui vuoi abilitare l'inserimento automatico e REVISION è l'etichetta di revisione che hai annotato nel passaggio precedente.

      kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
      

      Puoi ignorare il messaggio "istio-injection not found" nell'output. Ciò significa che lo spazio dei nomi non aveva in precedenza l'etichetta istio-injection, come previsto nelle nuove installazioni di Anthos Service Mesh o nei nuovi deployment. Poiché l'inserimento automatico non riesce se uno spazio dei nomi contiene sia istio-injection sia l'etichetta di revisione, tutti i comandi kubectl label nella documentazione di Anthos Service Mesh specificano esplicitamente entrambe le etichette.

2. Se i carichi di lavoro erano in esecuzione sul tuo cluster prima dell'installazione di Anthos Service Mesh, riavvia i pod per attivare la reiniezione.

   La modalità di riavvio dei pod dipende dall'applicazione e dall'ambiente in cui si trova il cluster. Ad esempio, nel tuo ambiente di gestione temporanea, potresti semplicemente eliminare tutti i pod, il che ne determina il riavvio. Tuttavia, nel tuo ambiente di produzione, potresti avere un processo che implementa un deployment blu/verde in modo da poter riavviare i pod in sicurezza per evitare interruzioni del traffico.

   Puoi utilizzare kubectl per eseguire un riavvio in sequenza:

   kubectl rollout restart deployment -n NAMESPACE
   

Che cosa succede dopo?

• Scopri di più sulla configurazione di una rete mesh multi-cluster:

  • Se il tuo mesh è costituito interamente da cluster GKE, consulta Configurare un mesh multi-cluster su GKE.

  • Se il mesh è composto da cluster esterni a Google Cloud, consulta Configurare un mesh multi-cluster all'esterno di Google Cloud.

• Configura un indirizzo IP esterno on-premise.

• Esegui il deployment dell'applicazione di esempio Online Boutique.