Cloud Service Mesh を使用してサイドカープロキシを挿入する

このドキュメントでは、Cloud Service Mesh を使用してサイドカープロキシインジェクションを構成し、ネットワークセキュリティ、信頼性、オブザーバビリティを強化する方法について説明します。これらの機能が、アプリケーションのプライマリコンテナと分離されて抽象化され、同じ Pod 内に別のコンテナとして提供される、共通のプロセス外プロキシ（サイドカー）に実装されます。これにより、本番環境のアプリケーションを再設計することなくサービスメッシュに参加する Cloud Service Mesh の機能が提供されます。

自動サイドカープロキシインジェクション（自動インジェクション）は、Cloud Service Mesh がワークロードの Pod 用に構成した名前空間ラベルを検出すると実行されます。プロキシは、ワークロードのすべての受信トラフィックと送信トラフィックを傍受し、Cloud Service Mesh と通信します。

これらのタスクに必要な権限

このページのタスクを実行するには、roles/container.clusterAdmin 以上のロールが必要です。このロールに含まれる権限の詳細については、Google Kubernetes Engine のロールをご覧ください。

自動サイドカーインジェクションを有効にする

サイドカープロキシの挿入には、Webhook ベースの自動サイドカーインジェクタを使用することをおすすめしますが、手動で Pod の Kubernetes 構成を更新することもできます。

自動挿入を有効にするには、デフォルトのインジェクションラベルを使用して名前空間にラベルを付けるか（デフォルトのタグを設定した場合）、リビジョンラベルを名前空間に追加します。追加するラベルは、（Fleet API または asmcli で）マネージド Cloud Service Mesh をデプロイしたのか、クラスタ内コントロールプレーンをインストールしたのかによっても異なります。ラベルは、サイドカーインジェクタ Webhook によって使用され、挿入されたサイドカーを特定のコントロールプレーンリビジョンに関連付けます。

自動インジェクションを有効にするには:

クラスタ内

次のコマンドを使用して、istiod のリビジョンラベルを探します。
```
kubectl -n istio-system get pods -l app=istiod --show-labels
```
出力は次のようになります。
```
NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-1187-26-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1187-26,istio=istiod,pod-template-hash=5788d57586
istiod-asm-1187-26-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1187-26,istio=istiod,pod-template-hash=5788d57586
```
出力の LABELS 列で、接頭辞 istio.io/rev= に続く istiod リビジョンラベルの値をメモします。この例での値は asm-1187-26 です。

注: デフォルトタグが設定されている場合、istio.io/rev を istio-injection=enabled ラベルに置き換えることができます。OUTPUT_DIR に istioctl を指定して istioctl tag list を実行し、デフォルトタグが存在することを確認します。
リビジョンラベルを名前空間に適用し、istio-injection ラベルを削除します（存在する場合）。次のコマンドで、NAMESPACE は自動インジェクションを有効にする名前空間の名前で、REVISION は前の手順でメモしたリビジョンラベルです。
```
kubectl label namespace NAMESPACE  istio-injection- istio.io/rev=REVISION --overwrite
```
出力中のメッセージ "istio-injection not found" は無視します。これは、今までは名前空間に istio-injection ラベルが付加されていなかったことを示しており、Cloud Service Mesh の新規インストールまたは新規デプロイで想定されることです。名前空間に istio-injection とリビジョンラベルの両方があると自動インジェクション動作は未定義になるため、Cloud Service Mesh ドキュメント内のすべての kubectl label コマンドでは明示的に一方のみが設定されることになります。
次のセクションの手順に沿って、該当する Pod を再起動します。

マネージドサービスメッシュ

利用可能なリリースチャンネルを探すには、次のコマンドを使用します。
```
kubectl -n istio-system get controlplanerevision
```
出力は次のようになります。
```
NAME                AGE
asm-managed         6d7h
```
出力で、NAME 列の値は、Cloud Service Mesh バージョンで使用可能なリリースチャンネルに対応する REVISION ラベルです。このラベルを名前空間に適用し、istio-injection ラベルを削除します（存在する場合）。次のコマンドで、REVISION は上記のリビジョンラベルに置き換えます。NAMESPACE は、自動インジェクションを有効にする名前空間の名前に置き換えます。
```
kubectl label namespace NAMESPACE  istio-injection- istio.io/rev=REVISION --overwrite
```
出力中のメッセージ "istio-injection not found" は無視します。これは、今までは名前空間に istio-injection ラベルが付加されていなかったことを示しており、Cloud Service Mesh の新規インストールまたは新規デプロイで想定されることです。名前空間に istio-injection とリビジョンラベルの両方があると自動インジェクション動作は未定義になるため、Cloud Service Mesh ドキュメント内のすべての kubectl label コマンドでは明示的に一方のみが設定されることになります。
次のセクションの手順に沿って、該当する Pod を再起動します。
オプションの Google 管理のデータプレーンをデプロイした場合、次のように demo 名前空間にアノテーションを設定します。
```
kubectl annotate --overwrite namespace YOUR_NAMESPACE \
mesh.cloud.google.com/proxy='{"managed":"true"}'
```

Pod を再起動してサイドカープロキシを更新する

自動サイドカーインジェクションでは、Pod の再起動で既存の Pod のサイドカーを更新できます。

Pod を再起動する方法は、Pod が Deployment の一部として作成されたかどうかによって異なります。

Deployment を使用した場合は、サイドカー付きのすべての Pod を再起動する Deployment を再起動します。
```
kubectl rollout restart deployment -n YOUR_NAMESPACE
```
Deployment を使用していない場合、Pod を削除すると、自動的にサイドカー付きで再作成されます。
```
kubectl delete pod -n YOUR_NAMESPACE --all
```
名前空間内のすべての Pod にサイドカーが挿入されたことを確認します。
```
kubectl get pod -n YOUR_NAMESPACE
```
次に前のコマンドの出力例を示します。ここで、READY 列はワークロードごとに 2 つのコンテナ（プライマリコンテナとサイドカープロキシのコンテナ）があることを示しています。
```
NAME                    READY   STATUS    RESTARTS   AGE
YOUR_WORKLOAD           2/2     Running   0          20s
...
```

次のステップ

以下の詳細を確認してください。

Cloud Service Mesh を使用してサイドカー プロキシを挿入する