Stai visualizzando la documentazione legacy di Service Mesh della versione 1.19.

Versioni disponibili

Cloud Service Mesh
Archivio 1.22
Archivio 1.21
Archivio 1.20
Archivio 1.19
Archivio 1.18

Questa pagina è stata tradotta dall'API Cloud Translation.

Installazione e upgrade dei gateway

Cloud Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway come parte dalla tua rete mesh di servizi. Un gateway descrive un bilanciatore del carico che opera sul perimetro il mesh che riceve le connessioni HTTP/TCP in entrata o in uscita. I gateway sono Envoy che forniscono un controllo granulare sul traffico in entrata e escono dalla rete. I gateway vengono utilizzati principalmente per gestire il traffico in entrata ma puoi anche configurare gateway per gestire altri tipi di traffico. Ad esempio:

Gateway in uscita: un gateway in uscita ti consente di configurare un nodo di uscita dedicato per il traffico che esce dal mesh, in modo da limitare i servizi che possono o devono accedere alle reti esterne oppure per attivare il controllo sicuro del traffico in uscita per aggiungere sicurezza al tuo mesh, ad esempio.
Gateway east-west: un proxy per il traffico east-west per consentire ai carichi di lavoro dei servizi di comunicare oltre i confini del cluster in un mesh multi-principale su reti diverse. Per impostazione predefinita, questo gateway sarà pubblico su internet.

Questa pagina descrive le best practice per il deployment e l'upgrade dei proxy gateway, nonché esempi di configurazione dei proxy gateway istio-ingressgateway e istio-egressgateway. È possibile, ad esempio, suddividere il traffico, eseguire reindirizzamenti e applicare la logica di ripetizione applicando una configurazione di gateway ai proxy gateway. Quindi, anziché aggiungere il routing del traffico di livello di applicazione (L7) alla stessa risorsa API, puoi associare un servizio virtuale al gateway. In questo modo puoi gestire il traffico del gateway come qualsiasi altro traffico del piano dati nel mesh di servizi.

Puoi eseguire il deployment dei gateway in diversi modi e puoi scegliere di utilizzare più di una topologia nello stesso cluster. Consulta Topologie di deployment del gateway nella documentazione di Istio, per saperne di più su queste topologie.

Best practice per il deployment dei gateway

Le best practice per il deployment dei gateway dipendono dall'utilizzo del piano dati gestito o del piano dati non gestito.

Best practice per il piano dati gestito

Attiva il piano di dati gestito.
Aggiungi un'etichetta di revisione gestita a una nello spazio dei nomi.
Esegui il deployment e gestisci il piano di controllo e i gateway separatamente.
Come best practice per la sicurezza, ti consigliamo di eseguire il deployment dei gateway in diverso rispetto a quello del piano di controllo.
Utilizza l'inserimento automatico dei sidecar (inserimento automatico) per inserire la configurazione del proxy per i gateway in modo simile a come inseriresti i proxy sidecar per i tuoi servizi.

Queste best practice:

Assicurati che i tuoi gateway gestiti vengano aggiornati automaticamente con i miglioramenti e gli aggiornamenti della sicurezza più recenti.
Riduce la gestione e la manutenzione delle istanze gateway in Cloud Service Mesh un piano dati gestito.

Best practice per il piano dati non gestito

Esegui il deployment e gestisci il piano di controllo e i gateway separatamente.
Come best practice per la sicurezza, ti consigliamo di implementare i gateway in un distinto spazio dei nomi rispetto al piano di controllo.
Utilizza le funzionalità di iniezione automatica del file collaterale (inserimento automatico) per inserire la configurazione proxy per gateway simili a come inseriresti i proxy collaterali per i tuoi servizi.

Queste best practice:

Consenti agli amministratori dello spazio dei nomi di gestire i gateway senza dover disporre di privilegi elevati per l'intero cluster.
Consenti agli amministratori di utilizzare gli stessi strumenti o meccanismi di deployment che usano per gestire le applicazioni Kubernetes, gateway VPN ad alta disponibilità.
Concedi agli amministratori il controllo completo sul deployment del gateway per semplificare le operazioni. Quando è disponibile un nuovo upgrade o una configurazione è stata modificata, gli amministratori aggiornano i pod del gateway semplicemente riavviandoli. In questo modo, l'esperienza di gestione di un deployment del gateway è la stessa dell'utilizzo di proxy sidecar per i tuoi servizi.

Esegui il deployment dei gateway

Per supportare gli utenti con gli strumenti di deployment esistenti, Cloud Service Mesh supporta gli stessi modi per eseguire il deployment di un gateway di Istio: IstioOperator, Helm e YAML di Kubernetes. Ogni metodo produce lo stesso risultato. Anche se puoi scegliere il metodo che conosci meglio, di utilizzare il metodo YAML Kubernetes perché è più facile modificare e archiviare i manifest idratati nel controllo del codice sorgente.

Crea un nome di spazio per il gateway, se non ne hai già uno. Sostituisci GATEWAY_NAMESPACE con il nome del tuo spazio dei nomi.
```
kubectl create namespace GATEWAY_NAMESPACE
```
Per abilitare l'inserimento automatico, etichetta gli spazi dei nomi con il etichette di inserimento predefinite se è stato impostato il tag predefinito o con il rivedere l'etichetta nello spazio dei nomi. L'etichetta aggiunta dipende anche dal fatto che tu abbia eseguito il deployment di Cloud Service Mesh gestito o abbia installato il control plane in-cluster. L'etichetta viene utilizzata dall'webhook dell'iniettore di sidecar per associare i sidecar iniettati a una determinata revisione del control plane.

Seleziona la scheda qui sotto in base al tipo di installazione (gestita o nel cluster).
Gestito
Utilizza il seguente comando per individuare i canali di rilascio disponibili:
```
kubectl -n istio-system get controlplanerevision
```
L'output è simile al seguente:
```
NAME                AGE
asm-managed         6d7h
asm-managed-rapid   6d7h
```
Nell'output, il valore nella colonna NAME è l'etichetta di revisione corrispondente al canale di rilascio disponibile per la versione di Cloud Service Mesh.
All'interno del cluster
Per i piani di controllo nel cluster, solitamente il servizio e il deployment istiod hanno un'etichetta di revisione simile a istio.io/rev=asm-11910-9, dove asm-11910-9 identifica la versione di Cloud Service Mesh. La revisione viene incorporata nel nome del servizio istiod, ad esempio: istiod-asm-11910-9.istio-system

Utilizza il seguente comando per individuare l'etichetta di revisione su istiod per il control plane all'interno del cluster:
```
kubectl get deploy -n istio-system -l app=istiod \
  -o=jsonpath='{.items[*].metadata.labels.istio\.io\/rev}''{"\n"}'
```
Abilita lo spazio dei nomi per l'inserimento. Sostituisci e REVISION con il valore dell'etichetta di revisione.

Nota: puoi sostituire istio.io/rev con l'etichetta istio-injection=enabled se è configurato il tag predefinito. Verifica che il tag predefinito esista eseguendo istioctl tag list con il istioctl di OUTPUT_DIR.
```
kubectl label namespace GATEWAY_NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
```
Se hai installato Cloud Service Mesh utilizzando asmcli, vai alla directory specificata in --output_dir, quindi da cd alla directory samples.

Importante: per assicurarti di trovarti nella directory samples corretta, esegui il comando ls per elencare i contenuti della directory e verifica che esistano una directory gateways (a cui accederai nel passaggio successivo) e una directory online-boutique.

Se non è stata installata utilizzando asmcli, copia i file di configurazione per i gateway dal Repository anthos-service-mesh.

Puoi implementare la configurazione di esempio del gateway nella directory samples/gateways/ così com'è o modificarla in base alle tue esigenze.

In entrata

kubectl apply -n GATEWAY_NAMESPACE -f samples/gateways/istio-ingressgateway

In uscita

kubectl apply -n GATEWAY_NAMESPACE -f samples/gateways/istio-egressgateway

Dopo aver creato il deployment, verifica che i nuovi servizi funzionino. correttamente:

kubectl get pod,service -n GATEWAY_NAMESPACE

Verifica che l'output sia simile al seguente:

NAME                                      READY   STATUS    RESTARTS   AGE
pod/istio-ingressgateway-856b7c77-bdb77   1/1     Running   0          3s

NAME                           TYPE           CLUSTER-IP     EXTERNAL-IP      PORT(S)        AGE
service/istio-ingressgateway   LoadBalancer   10.24.5.129    34.82.157.6      80:31904/TCP   3s

Selettori dei gateway

Applicchi una configurazione di gateway ai proxy istio-ingressgateway e istio-egressgateway per gestire il traffico in entrata e in uscita per il tuo mesh, in modo da specificare il traffico che vuoi far entrare o uscire dal mesh. Le etichette dei pod di un deployment di gateway vengono utilizzate dalle risorse di configurazione del gateway, pertanto è importante che il selettore del gateway corrisponda a queste etichette.

Ad esempio, nei deployment precedenti, l'etichetta istio=ingressgateway è impostata sui pod del gateway. Per applicare una configurazione del gateway a questi deployment, devi selezionare la stessa etichetta:

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: gateway
spec:
  selector:
    istio: ingressgateway
...

Per un esempio di configurazione di un gateway e di un servizio virtuale, consulta frontend.yaml nell'applicazione di esempio Online Boutique.

Eseguire l'upgrade dei gateway

Upgrade in loco

Per la maggior parte dei casi d'uso, devi eseguire l'upgrade dei gateway seguendo il pattern di upgrade in situ. Poiché i gateway utilizzano l'iniezione di pod, i nuovi pod gateway creati verranno iniettati automaticamente con la configurazione più recente, che include la versione.

Se vuoi cambiare la revisione del piano di controllo in uso dal gateway, puoi impostare l'etichetta istio.io/rev sul deployment del gateway, che attivare un riavvio in sequenza.

Piano di controllo gestito

Poiché Google gestisce gli upgrade per il piano di controllo gestito, basta riavviare il deployment del gateway e i nuovi pod automaticamente l'ultima configurazione e la versione più recente.

kubectl rollout restart deployment istio-ingressgateway \
  -n GATEWAY_NAMESPACE

Piano di controllo in-cluster

Per applicare lo stesso pattern ai gateway quando hai il controllo nel cluster devi modificare la revisione del piano di controllo utilizzata dal gateway. Imposta l'etichetta istio.io/rev sul deployment del gateway che attiverà una il riavvio in sequenza. I passaggi richiesti dipendono dal fatto che tu debba aggiornare l'etichetta di revisione nello spazio dei nomi e/o nel pod gateway.

Se hai etichettato lo spazio dei nomi per l'inserimento, imposta l'etichetta istio.io/rev su lo spazio dei nomi al nuovo valore di revisione:
```
  kubectl label namespace GATEWAY_NAMESPACE \
    istio-injection- istio.io/rev=REVISION \
    --overwrite
```

Se hai abilitato l'inserimento solo per il pod gateway, imposta istio.io/rev etichetta sul deployment al nuovo valore di revisione come la seguente File YAML Kubernetes:

cat <<EOF > gateway-deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: istio-ingressgateway
  namespace: GATEWAY_NAMESPACE
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  template:
    metadata:
      annotations:
        # This is required to tell Anthos Service Mesh to inject the gateway with the
        # required configuration.
        inject.istio.io/templates: gateway
      labels:
        istio: ingressgateway
        istio.io/rev: REVISION
    spec:
      containers:
      - name: istio-proxy
        image: auto # The image will automatically update each time the pod starts.
EOF

kubectl apply -f gateway-deployment.yaml

Upgrade canary (avanzato)

Se utilizzi il piano di controllo in-cluster e vuoi controllare più lentamente l'implementazione di una nuova revisione del piano di controllo, puoi seguire il pattern di upgrade canary. Puoi eseguire più versioni di un deployment assicurarti che tutto funzioni come previsto con un sottoinsieme del tuo traffico. Ad esempio: se vuoi implementare una nuova revisione, canary, crea una copia del gateway Deployment con l'etichetta istio.io/rev=REVISION impostata su nuova revisione e un nuovo nome, ad esempio istio-ingressgateway-canary:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: istio-ingressgateway-canary
  namespace: GATEWAY_NAMESPACE
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  template:
    metadata:
      annotations:
        inject.istio.io/templates: gateway
      labels:
        istio: ingressgateway
        istio.io/rev: REVISION # Set to the control plane revision you want to deploy
    spec:
      containers:
      - name: istio-proxy
        image: auto

Quando viene creato questo deployment, avrai due versioni del gateway, entrambe selezionate dallo stesso servizio:

kubectl get endpoints -o "custom-columns=NAME:.metadata.name,PODS:.subsets[*].addresses[*].targetRef.name"

NAME                   PODS
istio-ingressgateway   istio-ingressgateway-788854c955-8gv96,istio-ingressgateway-canary-b78944cbd-mq2qf

Se ritieni che le tue applicazioni funzionino come previsto, esegui questo comando per passare alla nuova versione eliminando il deployment con l'etichetta istio.io/rev precedente impostata:

kubectl delete deploy/istio-ingressgateway -n GATEWAY_NAMESPACE

Se hai riscontrato un problema durante il test dell'applicazione con la nuova versione del gateway, esegui questo comando per tornare alla versione precedente eliminando il deployment con il nuovo set di etichette istio.io/rev:

kubectl delete deploy/istio-ingressgateway-canary -n GATEWAY_NAMESPACE

Configurazione avanzata

Configura la versione TLS minima del gateway

Per Cloud Service Mesh 1.14 e versioni successive, la versione TLS minima predefinita per è la versione 1.2. Puoi configurare la versione TLS minima utilizzando campo minProtocolVersion. Per ulteriori informazioni, vedi ServerTLSSettings.

Risolvere i problemi relativi ai gateway

Impossibile aggiornare l'immagine del gateway da `auto`

Quando esegui il deployment o l'upgrade di un gateway, Cloud Service Mesh inserisce auto come segnaposto nel campo image. Dopo la chiamata all'webhook con mutazioni, Cloud Service Mesh sostituisce automaticamente questo segnaposto con l'immagine proxy Cloud Service Mesh effettiva. Se la chiamata al webhook mutante non va a buon fine, auto rimane e il container non sarà trovato. Questo problema è solitamente causato da un'etichetta dello spazio dei nomi errata. Assicurati di aver configurato lo spazio dei nomi corretto, quindi esegui di nuovo il deployment o l'upgrade del gateway.