Cloud Service Mesh 및 gcloud CLI를 사용하여 GKE 클러스터 만들기
이 튜토리얼에서는 새 GKE 공개 클러스터에서 Google Kubernetes Engine(GKE) Fleet API를 사용하여 관리형 Cloud Service Mesh를 프로비저닝합니다. 이 튜토리얼에서는 다음을 안내합니다.
- Google Cloud 프로젝트 구성
- Cloud Service Mesh에 필요한 최소 vCPU 수가 포함된 GKE 클러스터 만들기
- 프로젝트의 Fleet에 GKE 클러스터 등록
- Fleet API를 사용하여 클러스터에서 관리형 Cloud Service Mesh를 프로비저닝
- 인그레스 게이트웨이를 배포하여 애플리케이션을 노출
- Google Cloud 콘솔의 Cloud Service Mesh 대시보드에서 원격 분석 데이터를 볼 수 있도록 샘플 애플리케이션 배포
- 샘플 애플리케이션 노출 및 액세스
Fleet API
이 가이드에서는 사용자가 함께 관리할 수 있는 GKE 클러스터 및 기타 리소스의 논리적 그룹인 Fleet에 익숙하다고 가정합니다. Fleet은 Kubernetes 개념이 아닌 GKE 개념입니다. Fleet에 클러스터를 등록하면 gcloud container fleet mesh update
명령어를 사용하여 클러스터에 관리형 Cloud Service Mesh를 프로비저닝할 수 있습니다.
Fleet을 사용하려면 이 튜토리얼을 시작할 때 사용 설정하는 Fleet API(gkehub.googleapis.com
)가 필요합니다.
비용
이 문서에서는 비용이 청구될 수 있는 다음과 같은 Google Cloud 구성요소를 사용합니다.
프로젝트 사용량을 기준으로 예상 비용을 산출하려면 가격 계산기를 사용하세요.
빠른 시작을 마친 후에 계속 비용이 청구되지 않도록 하려면 클러스터를 삭제하면 됩니다. 자세한 내용은 삭제를 참조하세요.
시작하기 전에
- Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Enable the GKE, Fleet (GKE Hub), and Cloud Service Mesh APIs.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Enable the GKE, Fleet (GKE Hub), and Cloud Service Mesh APIs.
- 프로젝트 ID를 기록합니다.
필수 도구 설치
이 도구는 Cloud Shell 또는 로컬 머신에서 실행할 수 있습니다. Cloud Shell은 모든 필수 도구를 사전 설치합니다.
Cloud Shell
Cloud Shell은 Debian 기반 Linux 운영체제를 실행하는 g1-small Compute Engine 가상 머신(VM)을 프로비저닝합니다. Cloud Shell 사용의 장점은 다음과 같습니다.
Cloud Shell에는
gcloud
,kubectl
,git
및 필요한 기타 명령줄 도구가 포함되어 있습니다.Cloud Shell $HOME 디렉터리에는 5GB의 영구 스토리지가 있습니다.
다음과 같은 텍스트 편집기를 선택할 수 있습니다.
Cloud Shell 창 상단에 있는 'edit'를 클릭하여 액세스할 수 있는 코드 편집기
Cloud Shell의 명령줄에서 액세스할 수 있는 Eacs, Vim 또는 Nano
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
로컬 컴퓨터
다음 도구가 설치되었는지 확인합니다.
Google Cloud CLI로 인증합니다.
gcloud auth login --project PROJECT_ID
구성요소를 업데이트합니다.
gcloud components update
GKE 클러스터 만들기
다음 명령어를 실행하여 Cloud Service Mesh에 필요한 최소 vCPU 수로 클러스터를 만듭니다. 명령어에서 자리표시자를 다음 정보로 바꿉니다.
- CLUSTER_NAME: 클러스터 이름입니다. 클러스터 이름은 소문자 영숫자 및
-
만 사용할 수 있으며 문자로 시작하고 영숫자로 끝나야 하며 40자를 초과할 수 없습니다. - PROJECT_ID: 클러스터가 생성될 프로젝트 ID입니다.
- CLUSTER_LOCATION: 클러스터의 영역입니다(예:
us-central1-a
).
gcloud container clusters create CLUSTER_NAME \ --project=PROJECT_ID \ --zone=CLUSTER_LOCATION \ --machine-type=e2-standard-4 \ --num-nodes=2 \ --workload-pool=PROJECT_ID.svc.id.goog
클러스터를 생성하는 데 몇 분 정도 걸립니다. 클러스터를 만드는 동안
gcloud
명령어에 다음이 표시됩니다.Creating cluster CLUSTER_NAME in CLUSTER_LOCATION...working...
성공적인 생성에 따른 예상 출력은 다음과 비슷합니다.
Creating cluster CLUSTER_NAME in CLUSTER_LOCATION...done. Created [https://container.googleapis.com/v1/projects/PROJECT_ID/zones/CLUSTER_LOCATION/clusters/CLUSTER_NAME]. To inspect the contents of your cluster, go to: https://console.cloud.google.com/kubernetes/workload_/gcloud/CLUSTER_LOCATION/CLUSTER_NAME?project=PROJECT_ID kubeconfig entry generated for CLUSTER_NAME. NAME: CLUSTER_NAME LOCATION: CLUSTER_LOCATION MASTER_VERSION: 1.20.10-gke.1600 MASTER_IP: 198.51.100.1 MACHINE_TYPE: e2-standard-4 NODE_VERSION: 1.20.10-gke.1600 NUM_NODES: 2 STATUS: RUNNING
- CLUSTER_NAME: 클러스터 이름입니다. 클러스터 이름은 소문자 영숫자 및
클러스터와 상호작용하기 위해 사용자 인증 정보를 가져옵니다.
gcloud container clusters get-credentials CLUSTER_NAME \ --project=PROJECT_ID \ --zone=CLUSTER_LOCATION
예상 출력:
Fetching cluster endpoint and auth data. kubeconfig entry generated for CLUSTER_NAME.
kubectl
의 현재 컨텍스트를 클러스터로 설정합니다.kubectl config set-context CLUSTER_NAME
예상 출력:
Context "CLUSTER_NAME" created.
Cloud Service Mesh 프로비저닝
클러스터를 만든 후 이 페이지를 닫지 않았으면 자리표시자에 gcloud container clusters create
명령어에 입력한 값이 포함됩니다.
프로젝트의 Fleet에 Cloud Service Mesh를 사용 설정합니다.
gcloud container fleet mesh enable --project PROJECT_ID
출력은 다음과 비슷합니다.
Waiting for Feature Service Mesh to be created...done.
프로젝트의 Fleet에 클러스터를 등록합니다.
gcloud container fleet memberships register CLUSTER_NAME-membership \ --gke-cluster=CLUSTER_LOCATION/CLUSTER_NAME \ --enable-workload-identity \ --project PROJECT_ID
출력은 다음과 비슷합니다.
Waiting for membership to be created...done. Finished registering to the Fleet.
Fleet API를 사용하여 클러스터에서 관리형 Cloud Service Mesh를 프로비저닝합니다.
gcloud container fleet mesh update \ --management automatic \ --memberships CLUSTER_NAME-membership \ --project PROJECT_ID
출력은 다음과 비슷합니다.
Waiting for Feature Service Mesh to be updated...done.
관리형 Cloud Service Mesh가 클러스터에 사용 설정되었고 사용할 준비가 되었는지 확인합니다.
gcloud container fleet mesh describe --project PROJECT_ID
Cloud Service Mesh가 프로비저닝되고 클러스터에서 사용할 수 있게 될 때까지 약 10분이 소요될 수 있습니다.
controlPlaneManagement.state: DISABLED
또는controlPlaneManagement.state: PROVISIONING
이 표시되면controlPlaneManagement.state: ACTIVE
가 표시될 때까지 이전 명령어를 몇 분 간격으로 다시 실행해야 합니다.출력은 다음과 비슷합니다.
createTime: '2022-07-06T01:05:39.110120474Z' membershipSpecs: projects/123456789123/locations/global/memberships/your-cluster-membership: mesh: management: MANAGEMENT_AUTOMATIC membershipStates: projects/123456789123/locations/global/memberships/your-cluster-membership: servicemesh: controlPlaneManagement: details: - code: REVISION_READY details: 'Ready: asm-managed' state: ACTIVE dataPlaneManagement: details: - code: OK details: Service is running. state: ACTIVE state: code: OK description: 'Revision(s) ready for use: asm-managed.' updateTime: '2022-07-06T01:19:24.243993678Z' name: projects/your-project-id/locations/global/features/servicemesh resourceState: state: ACTIVE spec: {} state: state: {} updateTime: '2022-07-06T01:19:27.475885687Z'
샘플 코드 다운로드
이 튜토리얼에서 사용된 예시 코드가 포함된 git 저장소를 클론합니다.
git clone https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git
이 튜토리얼의 다음 섹션에서는 DIR_PATH 변수를 사용합니다.
이 변수를 클론한 anthos-service-mesh-packages
저장소의 경로로 설정합니다(예: ./anthos-service-mesh-packages
).
인그레스 게이트웨이 배포
Cloud Service Mesh는 서비스 메시의 일부로 게이트웨이를 배포 및 관리하는 옵션을 제공합니다. 게이트웨이는 들어오거나 나가는 HTTP/TCP 연결을 수신하는 메시지의 에지에서 작동하는 부하 분산기를 설명합니다. 게이트웨이는 메시로 들어오고 나가는 트래픽을 미세하게 제어할 수 있는 Envoy 프록시입니다.
아직 없으면 인그레스 게이트웨이의 네임스페이스를 만듭니다. 게이트웨이는 사용자 워크로드입니다. 권장사항에 따라 컨트롤 플레인 네임스페이스에 배포하지 않아야 합니다.
GATEWAY_NAMESPACE
를 네임스페이스의 이름으로 바꿉니다.kubectl create namespace GATEWAY_NAMESPACE
예상 출력:
namespace/GATEWAY_NAMESPACE created
게이트웨이에 자동 삽입을 사용 설정합니다. 필요한 단계는 기본 삽입 라벨(예:
istio-injection=enabled
) 또는 게이트웨이 네임스페이스의 버전 라벨을 사용할지 여부에 따라 다릅니다. 기본 버전 태그 및 버전 라벨은 사이드카 인젝터 웹훅에서 삽입된 프록시를 특정 제어 영역 버전과 연결하는 데 사용됩니다.기본 삽입 라벨
기본 삽입 라벨을 네임스페이스에 적용합니다.
kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-
버전 라벨
다음 명령어를 사용하여
istiod
에서 버전 라벨을 찾습니다.kubectl get deploy -n istio-system -l app=istiod -o \ "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"
이 명령어는 Cloud Service Mesh 버전에 해당하는 버전 라벨을 출력합니다(예:
asm-11910-9
).네임스페이스에 버전 라벨을 적용합니다. 다음 명령어에서
REVISION
은 이전 단계에서 확인한istiod
버전 라벨의 값입니다.kubectl label namespace GATEWAY_NAMESPACE \ istio.io/rev=REVISION --overwrite
예상 출력:
namespace/GATEWAY_NAMESPACE labeled
출력에서
"istio.io/rev" not found
메시지는 무시해도 됩니다. 즉, 네임스페이스에 이전에istio.io/rev
라벨이 사용되지 않았으며, Cloud Service Mesh를 새로 설치하거나 새로 배포해야 합니다. 네임스페이스에istio.io/rev
및istio-injection
라벨이 모두 포함된 경우 자동 삽입이 실패하기 때문에 Cloud Service Mesh 문서에서 모든kubectl label
명령어는 두 라벨을 모두 명시적으로 지정합니다.게이트웨이 네임스페이스에 라벨이 지정되지 않은 경우 게이트웨이가
auto
이미지를 가져와서 시도하면ImagePullBackOff
오류가 표시되면서istio-ingressgateway
포드가 실패합니다. 이 이미지를 웹훅으로 교체해야 합니다.anthos-service-mesh-packages
저장소에서 예시 인그레스 게이트웨이 .yaml 구성 파일을 다운로드합니다.인그레스 게이트웨이 .yaml 예시 구성을 있는 그대로 적용하거나 필요에 따라 수정합니다.
kubectl apply -n GATEWAY_NAMESPACE \ -f CONFIG_PATH/istio-ingressgateway
예상 출력:
deployment.apps/istio-ingressgateway created poddisruptionbudget.policy/istio-ingressgateway created horizontalpodautoscaler.autoscaling/istio-ingressgateway created role.rbac.authorization.k8s.io/istio-ingressgateway created rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created service/istio-ingressgateway created serviceaccount/istio-ingressgateway created
게이트웨이 권장사항에 대해 자세히 알아보세요.
Online Boutique 샘플 배포
anthos-service-mesh-packages
저장소의 Online Boutique 샘플 애플리케이션은 microservices-demo
저장소의 원래 매니페스트 세트에서 수정됩니다. 권장사항에 따라 각 서비스는 고유한 서비스 계정을 사용하여 별도의 네임스페이스에 배포됩니다.
애플리케이션의 네임스페이스를 만듭니다.
kubectl apply -f \ DIR_PATH/samples/online-boutique/kubernetes-manifests/namespaces
예상 출력:
namespace/ad created namespace/cart created namespace/checkout created namespace/currency created namespace/email created namespace/frontend created namespace/loadgenerator created namespace/payment created namespace/product-catalog created namespace/recommendation created namespace/shipping created
자동 사이드카 삽입을 사용 설정합니다(자동 삽입). 필요한 명령어는 기본 삽입 라벨(예:
istio-injection=enabled
) 또는 인그레스 게이트웨이 네임스페이스에 주석을 추가하는 데 사용했던 것과 동일한 버전 라벨을 사용할지 여부에 따라 다릅니다.기본 삽입 라벨
기본 삽입 라벨을 네임스페이스에 적용합니다. 다음 명령어에서 GATEWAY_NAMESPACE은 인그레스 게이트웨이 네임스페이스에 주석을 추가하는 데 사용한 값과 동일합니다.
for ns in ad cart checkout currency email frontend loadgenerator payment product-catalog recommendation shipping; do kubectl label namespace $ns istio-injection=enabled istio.io/rev- done;
예상 출력:
namespace/ad labeled namespace/cart labeled namespace/checkout labeled namespace/currency labeled namespace/email labeled namespace/frontend labeled namespace/loadgenerator labeled namespace/payment labeled namespace/product-catalog labeled namespace/recommendation labeled namespace/shipping labeled
버전 라벨
애플리케이션 네임스페이스에 버전 라벨을 적용합니다. 다음 명령어에서 REVISION은 인그레스 게이트웨이 네임스페이스에 주석을 추가하는 데 사용한 값과 동일합니다.
for ns in ad cart checkout currency email frontend loadgenerator payment product-catalog recommendation shipping; do kubectl label namespace $ns istio.io/rev=REVISION --overwrite done;
예상 출력:
namespace/ad labeled namespace/cart labeled namespace/checkout labeled namespace/currency labeled namespace/email labeled namespace/frontend labeled namespace/loadgenerator labeled namespace/payment labeled namespace/product-catalog labeled namespace/recommendation labeled namespace/shipping labeled
클러스터에 샘플 애플리케이션을 배포합니다.
서비스 계정 및 배포 생성:
kubectl apply -f \ DIR_PATH/samples/online-boutique/kubernetes-manifests/deployments
예상 출력:
serviceaccount/ad created deployment.apps/adservice created serviceaccount/cart created deployment.apps/cartservice created serviceaccount/checkout created deployment.apps/checkoutservice created serviceaccount/currency created deployment.apps/currencyservice created serviceaccount/email created deployment.apps/emailservice created serviceaccount/frontend created deployment.apps/frontend created serviceaccount/loadgenerator created deployment.apps/loadgenerator created serviceaccount/payment created deployment.apps/paymentservice created serviceaccount/product-catalog created deployment.apps/productcatalogservice created serviceaccount/recommendation created deployment.apps/recommendationservice created serviceaccount/shipping created deployment.apps/shippingservice created
서비스 생성:
kubectl apply -f \ DIR_PATH/samples/online-boutique/kubernetes-manifests/services
예상 출력:
service/adservice created service/cartservice created service/checkoutservice created service/currencyservice created service/emailservice created service/frontend created service/frontend-external created service/paymentservice created service/productcatalogservice created service/recommendationservice created service/shippingservice created
서비스 항목 생성:
kubectl apply -f \ DIR_PATH/samples/online-boutique/istio-manifests/allow-egress-googleapis.yaml
예상 출력:
serviceentry.networking.istio.io/allow-egress-googleapis created serviceentry.networking.istio.io/allow-egress-google-metadata created
애플리케이션 노출 및 액세스
애플리케이션을 노출하는 방법에는 여러 가지가 있습니다. 이 가이드에서는 위에서 배포한 인그레스 게이트웨이를 사용합니다. Online Boutique 애플리케이션을 노출하는 다른 방법은 Online Boutique 샘플 애플리케이션 배포 가이드의 애플리케이션 노출 및 액세스 섹션을 참조하세요.
프런트엔드 서비스에
Gateway
및VirtualService
를 배포합니다.kubectl apply -f \ DIR_PATH/samples/online-boutique/istio-manifests/frontend-gateway.yaml
예상 출력:
gateway.networking.istio.io/frontend-gateway created virtualservice.networking.istio.io/frontend-ingress created
인그레스 게이트웨이의 외부 IP 주소를 가져오고 자리표시자를 다음 정보로 바꿉니다.
- GATEWAY_SERVICE_NAME: 인그레스 게이트웨이 서비스의 이름입니다. 수정 없이 샘플 게이트웨이를 배포한 경우
istio-ingressgateway
입니다. - GATEWAY_NAMESPACE: 인그레스 게이트웨이를 배포한 네임스페이스입니다.
kubectl get service GATEWAY_SERVICE_NAME \ -n GATEWAY_NAMESPACE
출력은 다음과 비슷합니다.
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE istio-ingressgateway LoadBalancer 10.19.247.233 35.239.7.64 80:31380/TCP,443:31390/TCP,31400:31400/TCP 27m
이 예시에서 인그레스 게이트웨이의 IP 주소는
35.239.7.64
입니다.- GATEWAY_SERVICE_NAME: 인그레스 게이트웨이 서비스의 이름입니다. 수정 없이 샘플 게이트웨이를 배포한 경우
브라우저에서 애플리케이션을 방문하여 설치를 확인합니다.
http://EXTERNAL_IP/
서비스 메시 대시보드 보기
사이드카 프록시가 삽입된 클러스터에 워크로드가 배포되면 Google Cloud 콘솔의 Cloud Service Mesh 페이지에서 Cloud Service Mesh에서 제공하는 모든 관측 가능성 기능을 볼 수 있습니다. 워크로드를 배포한 후 Google Cloud 콘솔에 원격 분석 데이터가 표시되는 데 약 1~2분 정도가 걸립니다.
Google Cloud 콘솔에서 Cloud Service Mesh에 대한 액세스는 Identity and Access Management(IAM)로 제어됩니다. Cloud Service Mesh 페이지에 액세스하려면 프로젝트 소유자가 사용자에게 프로젝트 편집자 또는 뷰어 역할이나 Google Cloud 콘솔에서 Cloud Service Mesh에 대한 액세스 제어에 설명된 더 제한적인 역할을 부여해야 합니다.
Google Cloud 콘솔에서 Cloud Service Mesh로 이동합니다.
메뉴 바의 드롭다운 목록에서 Google Cloud 프로젝트를 선택합니다.
서비스 메시가 2개 이상 있으면 Service Mesh 드롭다운 목록에서 해당 메시를 선택합니다.
자세한 내용은 Google Cloud 콘솔에서 Cloud Service Mesh 탐색을 참조하세요.
삭제
삭제하기 전에 상호 TLS에 대해 자세히 알아보려면 Cloud Service Mesh 예: mTLS를 참조하세요.
클러스터를 유지하고 Online Boutique를 삭제하려면 다음 안내를 따르세요.
애플리케이션 네임스페이스를 삭제합니다.
kubectl delete -f DIR_PATH/samples/online-boutique/kubernetes-manifests/namespaces
예상 출력:
namespace "ad" deleted namespace "cart" deleted namespace "checkout" deleted namespace "currency" deleted namespace "email" deleted namespace "frontend" deleted namespace "loadgenerator" deleted namespace "payment" deleted namespace "product-catalog" deleted namespace "recommendation" deleted namespace "shipping" deleted
서비스 항목을 삭제합니다.
kubectl delete -f DIR_PATH/samples/online-boutique/istio-manifests/allow-egress-googleapis.yaml
예상 출력:
serviceentry.networking.istio.io "allow-egress-googleapis" deleted serviceentry.networking.istio.io "allow-egress-google-metadata" deleted
추가 요금이 청구되지 않도록 하려면 클러스터를 삭제하세요.
다음 명령어를 실행합니다.
gcloud container clusters delete CLUSTER_NAME \ --project=PROJECT_ID \ --zone=CLUSTER_LOCATION
계속하시겠어요(Y/n)? 프롬프트에서 y를 입력합니다.
몇 분 후에 다음과 같은 출력이 표시됩니다.
Deleting cluster CLUSTER_NAME...done. Deleted [https://container.googleapis.com/v1/projects/PROJECT_ID/zones/CLUSTER_LOCATION/clusters/CLUSTER_NAME].
다음 단계
- 관리형 Cloud Service Mesh에 대한 자세한 내용은 관리형 Cloud Service Mesh 프로비저닝을 참조하세요.
- 이 튜토리얼에 사용된 gcloud CLI에 대한 간략한 소개는
gcloud
명령어를 참조하세요. - Google Cloud Console에서 Cloud Service Mesh를 탐색하는 방법을 알아보려면 Google Cloud 콘솔에서 Cloud Service Mesh 탐색을 참조하세요.
- Cloud Trace, distroless 프록시 이미지, 최종 사용자 인증과 같은 Cloud Service Mesh 선택적 기능을 살펴보려면 관리형 Cloud Service Mesh에서 선택 기능 사용 설정을 참조하세요.
- Cloud Service Mesh의 보안에 대해 자세히 알아보려면 Cloud Service Mesh 보안 개요 및 Cloud Service Mesh 보안 권장사항을 참조하세요.
- Cloud Service Mesh의 원격 분석에 대한 자세한 내용은 관측 가능성 개요를 참조하세요.