Mengaktifkan fitur opsional pada bidang kontrol dalam cluster

Halaman ini menjelaskan cara mengaktifkan fitur opsional di bidang kontrol dalam cluster. Untuk mengetahui informasi tentang bidang kontrol terkelola, lihat Mengonfigurasi Anthos Service Mesh terkelola.

Saat Anda menginstal Anthos Service Mesh dalam cluster, fitur yang diaktifkan secara default akan berbeda menurut platform. Anda dapat mengganti konfigurasi default dan mengaktifkan fitur opsional dengan menyertakan file overlay saat menginstal (atau mengupgrade) Anthos Service Mesh. File overlay adalah file YAML yang berisi resource kustom (CR) IstioOperator yang Anda gunakan untuk mengonfigurasi bidang kontrol. Menentukan satu fitur per file overlay. Anda dapat menambahkan lapisan pada lebih banyak overlay, dan setiap file overlay mengganti konfigurasi pada lapisan sebelumnya.

Perhatian: Penggunaan asmcli install akan menimpa konfigurasi bidang kontrol yang ada. Saat mengaktifkan fitur opsional untuk penginstalan yang ada, pastikan untuk menentukan semua file yang ingin Anda pertahankan dalam konfigurasi asli, serta file overlay untuk fitur yang ingin diaktifkan. Sebaiknya simpan file overlay yang digunakan untuk penginstalan di kontrol sumber sehingga Anda dapat menerapkan konfigurasi yang sama pada bidang kontrol dengan upgrade atau saat mengaktifkan fitur opsional tambahan. Hal ini memastikan tidak ada periode nonaktif saat mengaktifkan fitur opsional.

Tentang file overlay

File overlay di halaman ini berada dalam paket anthos-service-mesh di GitHub. File-file ini berisi penyesuaian umum pada konfigurasi default. Anda dapat menggunakan file ini sebagaimana adanya, atau Anda dapat membuat perubahan tambahan pada file tersebut sesuai kebutuhan.

Saat menginstal Anthos Service Mesh menggunakan skrip asmcli yang disediakan Google, Anda dapat menentukan satu atau beberapa file overlay dengan opsi --option atau --custom_overlay. Jika tidak perlu melakukan perubahan pada file di repositori anthos-service-mesh, Anda dapat menggunakan --option, dan skrip akan mengambil file dari GitHub untuk Anda. Jika tidak, Anda dapat membuat perubahan pada file overlay, lalu menggunakan opsi --custom_overlay untuk meneruskannya ke asmcli.

Penting: Jangan tentukan lebih dari satu CR IstioOperator dalam file overlay karena istioctl install hanya menerapkan CR pertama yang ditemukannya dalam file.

Jangan sertakan beberapa CR dalam satu file overlay	Buat file overlay terpisah untuk setiap CR

Cara mengaktifkan fitur opsional

Contoh berikut disederhanakan agar ditampilkan hanya menggunakan overlay kustom untuk mengaktifkan fitur opsional. Ganti OTHER_FLAGS dengan flag penginstalan yang diperlukan.

Penting: Urutan file pada command line itu penting. Pastikan untuk menentukan konfigurasi yang diperlukan untuk fitur default terlebih dahulu, lalu file overlay setelahnya.

Perintah asmcli install menyediakan dua cara untuk mengaktifkan fitur opsional. Metode yang Anda gunakan bergantung pada apakah Anda perlu membuat perubahan pada file overlay atau tidak.

• Gunakan --option jika Anda tidak perlu membuat perubahan apa pun pada file overlay. Dengan --option, asmcli akan mengambil file dari repositori GitHub untuk Anda, sehingga Anda harus memiliki koneksi internet.

  ./asmcli install \
    OTHER_FLAGS \
    --option OPTION_NAME
  

  Ganti OPTION_NAME dengan opsi yang ingin Anda aktifkan. Pastikan untuk menghilangkan ekstensi .yaml dan hanya menyertakan nama file overlay, seperti iap-operator dan attached-cluster. Untuk daftar opsi, lihat paket anthos-service-mesh.

• Gunakan --custom_overlay saat Anda perlu menyesuaikan file overlay.

  ./asmcli install \
    OTHER_FLAGS \
    --custom_overlay PATH_TO_FILE
  

  Ganti PATH_TO_FILE dengan jalur ke file overlay yang ingin Anda gunakan.

YAML untuk fitur opsional

Bagian berikut ini menyediakan YAML untuk mengaktifkan fitur opsional dan yang didukung.

Mode STRICT mTLS

Konfigurasi global.mtls.enabled telah dihapus dari CR IstioOperator untuk menghindari masalah pada upgrade dan untuk menyediakan penginstalan yang lebih fleksibel. Untuk mengaktifkan mTLS STRICT, konfigurasikan kebijakan autentikasi peer.

Gambar proxy tanpa distro

Sebagai praktik terbaik, Anda harus membatasi konten runtime container hanya ke paket yang diperlukan. Pendekatan ini meningkatkan keamanan serta rasio sinyal terhadap derau untuk pemindai Kerentanan dan Eksposur Umum (CVE). Istio menyediakan image proxy berdasarkan image dasar serverless.

Konfigurasi berikut mengaktifkan image tanpa distro untuk seluruh Anthos Service Mesh. Perubahan jenis gambar mengharuskan setiap pod dimulai ulang dan dimasukkan ulang agar dapat diterapkan.

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      image:
        imageType: distroless

Image tanpa distro tidak berisi biner selain proxy. Oleh karena itu, Anda tidak dapat melakukan exec shell atau menggunakan curl, ping, atau utilitas debug lainnya di dalam container. Jika Anda mencoba menjalankan shell, Anda akan melihat kesalahan berikut.

error: Internal error occurred: error executing command in container: failed to exec in container: failed to start exec "<container-id>"
OCI runtime exec failed: exec failed: container_linux.go:380: starting container process caused: exec: "sh": executable file not found in $PATH: unknown

Jika memerlukan akses ke alat ini untuk pod tertentu, Anda dapat mengganti imageType menggunakan anotasi pod berikut.

sidecar.istio.io/proxyImageType: debug

Setelah mengubah jenis image deployment melalui anotasi, deployment harus dimulai ulang.

kubectl rollout restart deployment -n NAMESPACE DEPLOYMENT_NAME

Untuk sebagian besar jenis proses debug proxy, istioctl proxy-cmd harus digunakan yang tidak memerlukan image dasar debug.

Menggunakan overlay kustom untuk registry kustom

Anda dapat menggunakan overlay kustom untuk registry kustom, seperti jika Anda perlu menginstal Anthos Service Mesh dari container registry kustom. Contoh:

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  hub: {private_registry_url}

Berikut adalah daftar image untuk Anthos Service Mesh yang perlu Anda duplikasi ke container registry kustom:

• Install-cni - gke.gcr.io/asm/install-cni:1.17.8-asm.20
• Paket Data Terkelola - gke.gcr.io/asm/mdp:1.17.8-asm.20
• Uji coba - gke.gcr.io/asm/pilot:1.17.8-asm.20
• Proxyv2 - gke.gcr.io/asm/proxyv2:1.17.8-asm.20

Catatan: Jika menggunakan Layanan Kanonis, Anda juga perlu mencerminkan registry container kustom gcr.io/kubebuilder/kube-rbac-proxy:v0.13.1 dan gke.gcr.io/asm/canonical-service-controller:1.10.3-asm.16.

Menambahkan image ke registry pribadi

Untuk mengirim image Anthos Service Mesh ke registry pribadi, selesaikan langkah-langkah berikut.

Catatan: Gunakan klien yang dapat Anda tarik dari gcr.io dan kirim ke registry pribadi Anda.

1. Ambil image Anthos Service Mesh:

   docker pull gke.gcr.io/asm/install-cni:1.17.8-asm.20
   docker pull gke.gcr.io/asm/mdp:1.17.8-asm.20
   docker pull gke.gcr.io/asm/pilot:1.17.8-asm.20
   docker pull gke.gcr.io/asm/proxyv2:1.17.8-asm.20
   

2. Buat variabel untuk URL registry pribadi Anda:

   export PRIVATE_REGISTRY_URL=PRIVATE_REGISTRY_URL
   

   Ganti PRIVATE_REGISTRY_URL dengan URL registry pribadi Anda.
3. Beri tag pada image dengan URL registry pribadi Anda:

   docker tag gke.gcr.io/asm/install-cni:1.17.8-asm.20 \
    ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/install-cni:1.17.8-asm.20
   docker tag gke.gcr.io/asm/mdp:1.17.8-asm.20 \
    ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/mdp:1.17.8-asm.20
   docker tag gke.gcr.io/asm/pilot:1.17.8-asm.20 \
    ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/pilot:1.17.8-asm.20
   docker tag gke.gcr.io/asm/proxyv2:1.17.8-asm.20 \
    ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/proxyv2:1.17.8-asm.20
   

4. Kirim image yang diberi tag ke registry pribadi Anda:

   docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/install-cni:1.17.8-asm.20
   docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/mdp:1.17.8-asm.20
   docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/pilot:1.17.8-asm.20
   docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/proxyv2:1.17.8-asm.20
   

5. (Opsional) Jika Anda menggunakan layanan kanonis, tambahkan image layanan kanonis ke registry pribadi Anda.
   1. Ambil image layanan kanonis Anthos Service Mesh:

              docker pull gcr.io/kubebuilder/kube-rbac-proxy:v0.13.1
              docker pull gke.gcr.io/asm/canonical-service-controller:1.10.3-asm.16
              

   2. Beri tag pada image dengan URL registry pribadi Anda:

              docker tag gcr.io/kubebuilder/kube-rbac-proxy:v0.13.1 \
              ${PRIVATE_REGISTRY_URL}/gcr.io/kubebuilder/kube-rbac-proxy:v0.13.1
              docker tag gke.gcr.io/asm/canonical-service-controller:1.10.3-asm.16 \
              ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/canonical-service-controller:1.10.3-asm.16
              

   3. Kirim image yang diberi tag ke registry pribadi Anda:

              docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/kube-rbac-proxy:v0.13.1
              docker push ${PRIVATE_REGISTRY_URL}/gke.gcr.io/asm/canonical-service-controller:1.10.3-asm.16
              

Jika Anda dapat mengambil image yang diberi tag dari registry pribadi, berarti prosedurnya berhasil.

Meningkatkan durasi pengosongan penghentian

Secara default, Envoy akan menunggu lima detik (5s) agar koneksi yang ada selesai saat pod dihentikan.

Pod terminationGracePeriodSeconds harus lebih besar dari nilai terminationDrainDuration.

Untuk mengetahui informasi selengkapnya, lihat Opsi Mesh Global.

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      terminationDrainDuration: 30s

Aktifkan Log akses

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    accessLogFile: "/dev/stdout"

Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan logging akses Envoy.

Cloud Trace

Cloud Trace tersedia dengan penginstalan Anthos Service Mesh di platform berikut:

• GKE di Google Cloud
• Cluster GKE Enterprise secara lokal jika Anda menginstal dengan certificate authority Anthos Service Mesh (Mesh CA)

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    enableTracing: true
  values:
    global:
      proxy:
        tracer: stackdriver

Untuk mengetahui informasi selengkapnya, lihat Mengakses rekaman aktivitas.

Traffic keluar melalui gateway keluar

Sebaiknya instal gateway yang dimasukkan seperti yang dijelaskan dalam Menginstal dan mengupgrade gateway.

Antarmuka Jaringan Container Istio

Cara mengaktifkan Antarmuka Jaringan Container (CNI) Istio bergantung pada lingkungan tempat Anthos Service Mesh diinstal.

1. Aktifkan kebijakan jaringan.

2. Pilih file overlay yang cocok dengan platform Anda.

Mengaktifkan CNI di GKE

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    cni:
      enabled: true
      namespace: kube-system
  values:
    cni:
      cniBinDir: /home/kubernetes/bin
      excludeNamespaces:
        - istio-system
        - kube-system

Aktifkan CNI lokal

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  components:
    cni:
      enabled: true
      namespace: kube-system
  values:
    cni:
      cniBinDir: /opt/cni/bin
      excludeNamespaces:
        - istio-system
        - kube-system
        - gke-system

Mengaktifkan Log traffic untuk di luar Google Cloud

Menginstal Anthos Service Mesh dengan Istio CA di luar Google Cloud akan melaporkan metrik ke Prometheus secara default. Gunakan opsi ini untuk mengaktifkan pelaporan log Traffic, atau Prometheus dan Stackdriver, sehingga Anda dapat menggunakan dasbor Anthos Service Mesh.

Hanya Stackdriver

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  values:
    telemetry:
      enabled: true
      v2:
        enabled: true
        prometheus:
          enabled: false
        stackdriver:
          enabled: true

Stackdriver dan Prometheus

---
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  values:
    telemetry:
      enabled: true
      v2:
        enabled: true
        prometheus:
          enabled: true
        stackdriver:
          enabled: true

Mengaktifkan load balancer internal

Sebaiknya instal gateway yang dimasukkan seperti yang dijelaskan dalam bagian Menginstal dan mengupgrade gateway untuk menyiapkan load balancer internal di GKE. Saat mengonfigurasi Layanan gateway, Anda menyertakan anotasi: networking.gke.io/load-balancer-type: "Internal"

Pengelolaan sertifikat eksternal di gateway masuk

Untuk mengetahui informasi tentang cara mengaktifkan pengelolaan sertifikat eksternal di gateway masuk menggunakan Envoy SDS, lihat Gateway Aman.