インストールを計画する

このページでは、Cloud Service Mesh の新規インストールを計画する際に役立つ情報を提供します。

コントロール プレーンをカスタマイズする

Cloud Service Mesh がサポートする機能はプラットフォームによって異なります。サポートされている機能で、ご使用のプラットフォームでサポートされている機能を確認することをおすすめします。一部の機能はデフォルトで有効になっており、それ以外は IstioOperator オーバーレイ ファイルを作成することで、必要に応じて有効にすることもできます。asmcli install の実行時に、オーバーレイ ファイルで --custom_overlay オプションを指定すると、コントロール プレーンをカスタマイズできます。ベスト プラクティスとして、オーバーレイ ファイルは、バージョン管理システムに保存することをおすすめします。

GitHub の anthos-service-mesh パッケージには、多くのオーバーレイ ファイルが含まれています。これらのファイルには、デフォルト構成に対する一般的なカスタマイズが含まれています。これらのファイルはそのまま使用することも、必要に応じて変更を加えることもできます。一部のファイルは、オプションの Cloud Service Mesh 機能を有効にする必要があります。asmcli を実行してプロジェクトとクラスタを検証すると、anthos-service-mesh パッケージがダウンロードされます。

asmcli install を使用して Cloud Service Mesh をインストールする場合は、--option または --custom_overlay で 1 つ以上のオーバーレイ ファイルを指定できます。anthos-service-mesh リポジトリ内のファイルを変更する必要がない場合は、--option を使用します。これにより、GitHub からファイルが取得されます。それ以外の場合は、オーバーレイ ファイルを変更してから、--custom_overlay オプションを使用して asmcli に渡します。

認証局を選択する

ユースケース、プラットフォーム、コントロール プレーンの種類(クラスタ内またはマネージド)に応じて、相互 TLS(mTLS)証明書を発行するために、認証局(CA)として次のいずれかを選択できます。

このセクションでは、これらの CA の各オプションとユースケースの概要について説明します。

Mesh CA

カスタム CA が必要な場合を除き、次の理由により Cloud Service Mesh 認証局を使用することをおすすめします。

  • Cloud Service Mesh 認証局は、信頼性とスケーラビリティに優れたサービスであり、動的にスケーリングされるワークロード用に最適化されています。
  • Cloud Service Mesh 認証局を使用して、Google は CA バックエンドのセキュリティと可用性を管理します。
  • Cloud Service Mesh 認証局を使用すると、クラスタ全体で単一のルート オブ トラストを使用できます。

Cloud Service Mesh 認証局から発行された証明書には、アプリケーションのサービスに関する次のデータが含まれます。

  • Google Cloud プロジェクト ID。
  • GKE 名前空間
  • GKE サービス アカウント名

CA Service

Mesh CA に加えて、Certificate Authority Service を使用するように Cloud Service Mesh を構成できます。このガイドでは、CA Service とのインテグレーションについて説明します。このインテグレーションは、次のようなユースケースでおすすめします。

  • 異なるクラスタ上のワークロード証明書への署名に別の認証局が必要な場合。
  • istiod カスタム CA プラグイン証明書を使用する場合。
  • マネージド HSM に署名鍵を元に戻す必要がある場合。
  • 規制の厳しい業界で、コンプライアンスの対象となっている場合。
  • Cloud Service Mesh CA をカスタム エンタープライズ ルート証明書のチェーンに追加して、ワークロード証明書に署名する場合。

Mesh CA の費用は Cloud Service Mesh の料金に含まれています。CA Service は Cloud Service Mesh の基本料金に含まれず、別途課金されます。また、CA Service には明示的な SLA が提供されますが、Mesh CA には提供されません。

このインテグレーションでは、Cloud Service Mesh のワークロードすべてに次の IAM ロールが付与されます。

  • privateca.workloadCertificateRequester
  • privateca.auditor
  • privateca.template証明書テンプレートを使用する場合は必須)

Istio CA

次の条件を満たしている場合は、Istio CA を使用することをおすすめします。

  • メッシュですでに Istio CA が使用されているため、Cloud Service Mesh 認証局または CA Service で実現されるメリットが不要です。
  • カスタムルート CA が必要。
  • Google Cloud マネージド CA サービスが許可されない Google Cloud 以外のワークロードがある。

ゲートウェイ構成を準備する

Cloud Service Mesh では、サービス メッシュの一部としてゲートウェイをデプロイし、管理できます。ゲートウェイでは、メッシュのエッジで動作し、受信または送信 HTTP / TCP 接続を処理するロードバランサを記述します。ゲートウェイは、メッシュ内外に送信されるトラフィックをきめ細かく制御する Envoy プロキシです。

asmcliistio-ingressgateway をインストールしません。コントロール プレーンとゲートウェイを個別にデプロイして管理することをおすすめします。詳細については、ゲートウェイのインストールとアップグレードをご覧ください。

次のステップ