Menyiapkan mesh multi-cluster di luar Google Cloud

Panduan ini menjelaskan cara menyiapkan mesh multi-cluster untuk platform berikut:

• Google Distributed Cloud
• Google Distributed Cloud
• GKE on Azure
• GKE on AWS
• Cluster terpasang, termasuk cluster Amazon EKS dan cluster Microsoft AKS

Panduan ini menunjukkan cara menyiapkan dua cluster, tetapi Anda dapat memperluas proses ini untuk memasukkan sejumlah cluster ke dalam mesh.

Catatan platform: Perintah asmcli create-mesh yang Anda gunakan untuk mengaktifkan penemuan endpoint mengharuskan semua cluster berada di platform yang sama. Saat ini, asmcli create-mesh hanya mendukung mesh campuran dalam pratinjau.

Sebelum memulai

Panduan ini mengasumsikan bahwa Anda telah menginstal Cloud Service Mesh menggunakan asmcli install. Anda memerlukan asmcli dan paket konfigurasi yang didownload asmcli ke direktori yang Anda tentukan di --output_dir saat menjalankan asmcli install. Jika perlu disiapkan, ikuti langkah-langkah di bagian Menginstal alat dependen dan memvalidasi cluster untuk:

• Menginstal alat yang diperlukan
• Download asmcli
• Memberikan izin admin cluster
• Memvalidasi project dan cluster Anda

Anda memerlukan akses ke file kubeconfig untuk semua cluster yang Anda siapkan di mesh.

Peringatan: Hanya gunakan file kubeconfig dari sumber tepercaya. Menggunakan file kubeconfig yang dibuat khusus dapat mengakibatkan eksekusi kode berbahaya atau ekspos file. Jika Anda harus menggunakan file kubeconfig yang tidak tepercaya, periksa file tersebut dengan cermat terlebih dahulu, seperti yang Anda lakukan pada skrip shell.

Menyiapkan variabel lingkungan dan placeholder

Anda memerlukan variabel lingkungan berikut saat menginstal gateway east-west.

1. Buat variabel lingkungan untuk nomor project. Dalam perintah berikut, ganti FLEET_PROJECT_ID dengan project ID untuk project host fleet.

   export PROJECT_NUMBER=$(gcloud projects describe FLEET_PROJECT_ID \
   --format="value(projectNumber)")
   

2. Buat variabel lingkungan untuk ID mesh.

   export MESH_ID="proj-${PROJECT_NUMBER}"
   

3. Buat variabel lingkungan untuk nama cluster dalam format yang diperlukan asmcli.

   export CLUSTER_1="cn-FLEET_PROJECT_ID-global-CLUSTER_NAME_1"
   export CLUSTER_2="cn-FLEET_PROJECT_ID-global-CLUSTER_NAME_2"
   

4. Dapatkan nama konteks untuk cluster menggunakan nilai di kolom NAME dalam output perintah ini:

   kubectl config get-contexts

5. Tetapkan variabel lingkungan ke nama konteks cluster, yang akan digunakan panduan ini dalam banyak langkah nanti:

   export CTX_1=CLUSTER1_CONTEXT_NAME
   export CTX_2=CLUSTER2_CONTEXT_NAME
   

Menginstal gateway timur-barat

Dalam perintah berikut:

• Ganti CLUSTER_NAME_1 dan CLUSTER_NAME_2 dengan nama cluster Anda.

• Ganti PATH_TO_KUBECONFIG_1 dan PATH_TO_KUBECONFIG_2 dengan file kubeconfig untuk cluster Anda.

Cluster Anthos

CA Mesh atau CA Service

1. Instal gateway di cluster1 yang didedikasikan untuk traffic east-west ke $CLUSTER_2. Secara default, gateway ini akan bersifat publik di Internet. Sistem produksi mungkin memerlukan batasan akses tambahan, misalnya aturan firewall, untuk mencegah serangan eksternal.

   Catatan: Jika Anda menginstal Cloud Service Mesh menggunakan nilai yang berbeda untuk --network_id, Anda harus meneruskan nilai yang sama ke dalam gen-eastwest-gateway.sh dengan flag --network.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_1}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_1 \
       install -y --set spec.values.global.pilotCertProvider=kubernetes -f -
   

2. Instal gateway di $CLUSTER_2 yang didedikasikan untuk traffic timur-barat untuk $CLUSTER_1.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_2}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_2 \
       install -y --set spec.values.global.pilotCertProvider=kubernetes -f -
   

CA Istio

1. Instal gateway di cluster1 yang didedikasikan untuk traffic east-west ke $CLUSTER_2. Secara default, gateway ini akan bersifat publik di Internet. Sistem produksi mungkin memerlukan batasan akses tambahan, misalnya aturan firewall, untuk mencegah serangan eksternal.

   Catatan: Jika Anda menginstal Cloud Service Mesh menggunakan nilai yang berbeda untuk --network_id, Anda harus meneruskan nilai yang sama ke dalam gen-eastwest-gateway.sh dengan flag --network.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_1}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_1 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

2. Instal gateway di $CLUSTER_2 yang didedikasikan untuk traffic timur-barat untuk $CLUSTER_1.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_2}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_2 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

Azure, AWS, & Terlampir

CA Mesh

1. Instal gateway di cluster1 yang didedikasikan untuk traffic east-west ke $CLUSTER_2. Secara default, gateway ini akan bersifat publik di Internet. Sistem produksi mungkin memerlukan batasan akses tambahan, misalnya aturan firewall, untuk mencegah serangan eksternal.

   Catatan: Jika Anda menginstal Cloud Service Mesh menggunakan nilai yang berbeda untuk --network_id, Anda harus meneruskan nilai yang sama ke dalam gen-eastwest-gateway.sh dengan flag --network.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_1}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_1 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

2. Instal gateway di $CLUSTER_2 yang didedikasikan untuk traffic timur-barat untuk $CLUSTER_1.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_2}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_2 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

CA Istio

1. Instal gateway di cluster1 yang didedikasikan untuk traffic east-west ke $CLUSTER_2. Secara default, gateway ini akan bersifat publik di Internet. Sistem produksi mungkin memerlukan batasan akses tambahan, misalnya aturan firewall, untuk mencegah serangan eksternal.

   Catatan: Jika Anda menginstal Cloud Service Mesh menggunakan nilai yang berbeda untuk --network_id, Anda harus meneruskan nilai yang sama ke dalam gen-eastwest-gateway.sh dengan flag --network.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_1}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_1 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

2. Instal gateway di $CLUSTER_2 yang didedikasikan untuk traffic timur-barat untuk $CLUSTER_1.

   asm/istio/expansion/gen-eastwest-gateway.sh \
       --mesh ${MESH_ID}  \
       --cluster ${CLUSTER_2}  \
       --network default \
       --revision asm-11910-9 | \
       ./istioctl --kubeconfig=PATH_TO_KUBECONFIG_2 \
       install -y --set spec.values.global.pilotCertProvider=istiod -f -
   

Catatan platform: Untuk Google Distributed Cloud, alamat IP eksternal tidak akan ditetapkan hingga nanti, saat Anda menyelesaikan langkah-langkah yang dijelaskan dalam Mengonfigurasi alamat IP eksternal untuk Google Distributed Cloud.

Layanan yang menampakkan

Karena cluster berada di jaringan terpisah, Anda perlu mengekspos semua layanan (*.local) di gateway east-west di kedua cluster. Meskipun gateway ini bersifat publik di Internet, layanan di baliknya hanya dapat diakses oleh layanan dengan sertifikat mTLS tepercaya dan ID workload, sama seperti berada di jaringan yang sama.

1. Ekspos layanan melalui gateway east-west untuk CLUSTER_NAME_1.

   kubectl --kubeconfig=PATH_TO_KUBECONFIG_1 apply -n istio-system -f \
       asm/istio/expansion/expose-services.yaml
   

2. Ekspos layanan melalui gateway east-west untuk CLUSTER_NAME_2.

   kubectl --kubeconfig=PATH_TO_KUBECONFIG_2 apply -n istio-system -f \
       asm/istio/expansion/expose-services.yaml
   

Mengaktifkan penemuan endpoint

Catatan: Untuk informasi selengkapnya tentang penemuan endpoint, lihat Penemuan endpoint dengan beberapa panel kontrol.

Jalankan perintah asmcli create-mesh untuk mengaktifkan penemuan endpoint. Contoh ini hanya menampilkan dua cluster, tetapi Anda dapat menjalankan perintah untuk mengaktifkan penemuan endpoint di cluster tambahan, yang tunduk pada batas layanan GKE Hub.

  ./asmcli create-mesh \
      FLEET_PROJECT_ID \
      PATH_TO_KUBECONFIG_1 \
      PATH_TO_KUBECONFIG_2

Memverifikasi konektivitas multicluster

Bagian ini menjelaskan cara men-deploy contoh layanan HelloWorld dan Sleep ke lingkungan multi-cluster untuk memverifikasi bahwa load balancing lintas cluster berfungsi.

Catatan: Contoh layanan ini terletak di direktori samples Istio yang disertakan dalam tarball istioctl (terletak di OUTPUT_DIR/istio-${ASM_VERSION%+*}/samples), bukan direktori samples yang didownload oleh asmcli (terletak di OUTPUT_DIR/samples).

Mengaktifkan injeksi sidecar

Temukan nilai label revisi, yang akan Anda gunakan di langkah berikutnya.

Catatan: Jika setiap cluster memiliki versi Cloud Service Mesh yang berbeda, Anda harus menjalankan perintah berikut untuk setiap cluster.

Gunakan perintah berikut untuk menemukan label revisi, yang akan Anda gunakan di langkah berikutnya.

kubectl -n istio-system get pods -l app=istiod --show-labels

Outputnya terlihat mirip dengan yang berikut ini:

NAME                                READY   STATUS    RESTARTS   AGE   LABELS
istiod-asm-173-3-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-173-3,istio=istiod,pod-template-hash=5788d57586
istiod-asm-173-3-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-173-3,istio=istiod,pod-template-hash=5788d57586

Dalam output, di kolom LABELS, catat nilai label revisi istiod, yang mengikuti awalan istio.io/rev=. Dalam contoh ini, nilainya adalah asm-173-3. Gunakan nilai revisi dalam langkah-langkah di bagian berikutnya.

Menginstal layanan HelloWorld

Catatan: Contoh layanan HelloWorld menggunakan Docker Hub. Dalam cluster pribadi, runtime container dapat mengambil image container dari Artifact Registry secara default. Runtime container tidak dapat mengambil image dari registry image container lainnya di internet. Anda dapat mendownload image dan mengirimkannya ke Artifact Registry atau menggunakan Cloud NAT untuk memberikan akses internet keluar bagi node pribadi tertentu. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan penampung eksternal dan Membuat cluster pribadi.

1. Buat contoh namespace dan Definisi Layanan di setiap cluster. Dalam perintah berikut, ganti REVISION dengan label revisi istiod yang Anda catat dari langkah sebelumnya.

   for CTX in ${CTX_1} ${CTX_2}
   do
       kubectl create --context=${CTX} namespace sample
       kubectl label --context=${CTX} namespace sample \
           istio-injection- istio.io/rev=REVISION --overwrite
   done
   

   dengan REVISION adalah label revisi istiod yang sebelumnya Anda catat.

   Output-nya adalah:

   label "istio-injection" not found.
   namespace/sample labeled
   

   Anda dapat mengabaikan label "istio-injection" not found. dengan aman

2. Buat layanan HelloWorld di kedua cluster:

   kubectl create --context=${CTX_1} \
       -f ${SAMPLES_DIR}/samples/helloworld/helloworld.yaml \
       -l service=helloworld -n sample
   

   kubectl create --context=${CTX_2} \
       -f ${SAMPLES_DIR}/samples/helloworld/helloworld.yaml \
       -l service=helloworld -n sample
   

Men-deploy HelloWorld v1 dan v2 ke setiap cluster

1. Deploy HelloWorld v1 ke CLUSTER_1 dan v2 ke CLUSTER_2, yang nantinya akan membantu memverifikasi load balancing lintas cluster:

   kubectl create --context=${CTX_1} \
     -f ${SAMPLES_DIR}/samples/helloworld/helloworld.yaml \
     -l version=v1 -n sample

   kubectl create --context=${CTX_2} \
     -f ${SAMPLES_DIR}/samples/helloworld/helloworld.yaml \
     -l version=v2 -n sample

2. Pastikan HelloWorld v1 dan v2 berjalan menggunakan perintah berikut. Pastikan output-nya mirip dengan yang ditampilkan.:

   kubectl get pod --context=${CTX_1} -n sample

   NAME                            READY     STATUS    RESTARTS   AGE
   helloworld-v1-86f77cd7bd-cpxhv  2/2       Running   0          40s

   kubectl get pod --context=${CTX_2} -n sample

   NAME                            READY     STATUS    RESTARTS   AGE
   helloworld-v2-758dd55874-6x4t8  2/2       Running   0          40s

Men-deploy layanan Tidur

1. Deploy layanan Sleep ke kedua cluster. Pod ini menghasilkan traffic jaringan buatan untuk tujuan demonstrasi:

   for CTX in ${CTX_1} ${CTX_2}
   do
       kubectl apply --context=${CTX} \
           -f ${SAMPLES_DIR}/samples/sleep/sleep.yaml -n sample
   done
   

2. Tunggu hingga layanan Sleep dimulai di setiap cluster. Pastikan output-nya mirip dengan yang ditampilkan:

   kubectl get pod --context=${CTX_1} -n sample -l app=sleep

   NAME                             READY   STATUS    RESTARTS   AGE
   sleep-754684654f-n6bzf           2/2     Running   0          5s

   kubectl get pod --context=${CTX_2} -n sample -l app=sleep

   NAME                             READY   STATUS    RESTARTS   AGE
   sleep-754684654f-dzl9j           2/2     Running   0          5s

Memverifikasi load balancing lintas cluster

Panggil layanan HelloWorld beberapa kali dan periksa output untuk memverifikasi respons alternatif dari v1 dan v2:

1. Panggil layanan HelloWorld:

   kubectl exec --context="${CTX_1}" -n sample -c sleep \
       "$(kubectl get pod --context="${CTX_1}" -n sample -l \
       app=sleep -o jsonpath='{.items[0].metadata.name}')" \
       -- /bin/sh -c 'for i in $(seq 1 20); do curl -sS helloworld.sample:5000/hello; done'
   

   Outputnya mirip dengan yang ditampilkan:

   Hello version: v2, instance: helloworld-v2-758dd55874-6x4t8
   Hello version: v1, instance: helloworld-v1-86f77cd7bd-cpxhv
   ...

2. Panggil layanan HelloWorld lagi:

   kubectl exec --context="${CTX_2}" -n sample -c sleep \
       "$(kubectl get pod --context="${CTX_2}" -n sample -l \
       app=sleep -o jsonpath='{.items[0].metadata.name}')" \
       -- /bin/sh -c 'for i in $(seq 1 20); do curl -sS helloworld.sample:5000/hello; done'
   

   Outputnya mirip dengan yang ditampilkan:

   Hello version: v2, instance: helloworld-v2-758dd55874-6x4t8
   Hello version: v1, instance: helloworld-v1-86f77cd7bd-cpxhv
   ...

Selamat, Anda telah memverifikasi Cloud Service Mesh multi-cluster yang di-load balance.

Pembersihan

Setelah Anda selesai memverifikasi load balancing, hapus layanan HelloWorld dan Sleep dari cluster.

kubectl delete ns sample --context ${CTX_1}
kubectl delete ns sample --context ${CTX_2}