Voraussetzungen für Cloud Service Mesh
Auf dieser Seite werden die Voraussetzungen und Anforderungen für die Installation Cloud Service Mesh, z. B. GKE Enterprise-Lizenzierung, Clusteranforderungen, Flotte Anforderungen und allgemeine Anforderungen.
Cloud-Projekt
Hinweise:
Wählen Sie ein Google Cloud-Projekt aus oder erstellen Sie eines.
Prüfen Sie, ob für Ihr Projekt die Abrechnung aktiviert ist.
GKE Enterprise-Lizenzierung
GKE
Cloud Service Mesh ist mit GKE Enterprise oder als eigenständiger Dienst verfügbar.
Die Abrechnung erfolgt über Google APIs. Wenn Sie Cloud Service Mesh als eigenständigen Dienst verwenden möchten, aktivieren Sie die GKE Enterprise API nicht in Ihrem Projekt.
asmcli
aktiviert alle anderen erforderlichen Google APIs für Sie. Informationen zu den Preisen von Cloud Service Mesh finden Sie unter Preise.
- GKE Enterprise-Abonnenten müssen die GKE Enterprise API aktivieren.
Wenn Sie kein GKE Enterprise-Abonnent sind, können Sie trotzdem Cloud Service Mesh installieren. Bestimmte UI-Elemente und Features in der Google Cloud Console sind jedoch nur für GKE Enterprise-Abonnenten verfügbar. Informationen zu was Abonnenten und anderen Nutzern zur Verfügung stehen, Unterschiede zwischen der GKE Enterprise- und Cloud Service Mesh-UI
Wenn Sie die GKE Enterprise API aktiviert haben, jedoch Cloud Service Mesh als eigenständigen Dienst verwenden möchten, deaktivieren Sie die GKE Enterprise API.
Außerhalb von Google Cloud
Zum Installieren von Cloud Service Mesh lokal in GKE on AWS auf Amazon EKS oder mit Microsoft AKS müssen Sie GKE Enterprise-Kunde sein. GKE Enterprise-Kunden werden die Gebühren für Cloud Service Mesh nicht separat in Rechnung gestellt, da diese bereits in den Kosten für GKE Enterprise enthalten sind. Weitere Informationen finden Sie im Preisleitfaden für GKE Enterprise.
Allgemeine Voraussetzungen
Für die Aufnahme in das Service Mesh müssen Dienstports benannt werden und der Name muss das Protokoll des Ports in der folgenden Syntax enthalten:
name: protocol[-suffix]
, wobei die eckigen Klammern ein optionales Suffix angeben, das mit einem Bindestrich beginnen muss. Weitere Informationen finden Sie unter Dienstports benennen.Wenn Sie in Ihrer Organisation einen Dienstperimeter erstellt haben, müssen Sie möglicherweise den Dienst für die Cloud Service Mesh-Zertifizierungsstelle dem Perimeter hinzufügen. Weitere Informationen finden Sie unter Cloud Service Mesh-Zertifizierungsstelle einem Dienstperimeter hinzufügen.
Wenn Sie die standardmäßigen Ressourcenlimits für den Sidecar-Container
istio-proxy
ändern möchten, müssen die neuen Werte größer als die Standardwerte sein, um Ereignisse aufgrund von Speicherplatzmangel zu vermeiden.Mit einem Google Cloud-Projekt kann nur ein Mesh verknüpft sein.
Clusteranforderungen
GKE
Prüfen Sie, ob Ihre Clusterversion unter Unterstützte Plattformen aufgeführt ist.
Ihr GKE-Cluster muss die folgenden Anforderungen erfüllen:
Der GKE-Cluster muss Standard sein. Autopilot-Cluster werden nur mit verwaltetem Cloud Service Mesh unterstützt.
Ein Maschinentyp mit mindestens vier vCPUs, z. B.
e2-standard-4
. Wenn der Maschinentyp für Ihren Cluster nicht mindestens vier vCPUs hat, ändern Sie den Maschinentyp, wie unter Arbeitslasten zu anderen Maschinentypen migrieren beschrieben.Die Mindestanzahl an Knoten hängt vom Maschinentyp ab. Cloud Service Mesh erfordert mindestens acht vCPUs. Wenn der Maschinentyp vier vCPUs hat, muss der Cluster mindestens zwei Knoten haben. Hat der Maschinentyp acht vCPUs, benötigt der Cluster nur einen Knoten. Informationen zum Hinzufügen von Knoten finden Sie unter Größe eines Clusters anpassen.
GKE Workload Identity ist erforderlich. Wir empfehlen, Workload Identity zu aktivieren, bevor Sie Cloud Service Mesh installieren. Wenn Sie Workload Identity aktivieren, ändert sich die Art und Weise, wie Aufrufe Ihrer Arbeitslasten an Google APIs gesichert werden. Weitere Informationen hierzu finden Sie unter Einschränkungen bei Workload Identity. Der GKE-Metadatenserver muss nicht auf vorhandenen Knotenpools aktiviert werden.
Es wird empfohlen, den Cluster in einer Release-Version zu registrieren. Dies ist jedoch optional. Wir empfehlen Ihnen, sich für die Release-Version „Regular“ anzumelden, da andere Kanäle basieren möglicherweise auf einer nicht unterstützten GKE-Version mit Cloud Service Mesh 1.23.2. Weitere Informationen finden Sie unter Unterstützte Plattformen. Folgen Sie der Anleitung unter Vorhandenen Cluster in einer Release-Version registrieren, wenn Sie eine statische GKE-Version haben.
Wenn Sie Cloud Service Mesh in einem privaten Cluster installieren, müssen Sie den Port öffnen 15017 in der Firewall, um die Webhooks für automatische Sidecar-Einfügung und Konfiguration Validierung funktioniert. Weitere Informationen finden Sie unter Port auf einem privaten Cluster öffnen.
Achten Sie darauf, dass der Clientcomputer, von dem Sie Cloud Service Mesh installieren, Netzwerkverbindung zum API-Server.
Für Windows Server-Arbeitslasten wird Cloud Service Mesh nicht unterstützt. Wenn Ihr Cluster sowohl Linux- als auch Windows Server-Knotenpools hat, können Sie Cloud Service Mesh und verwenden Sie es auf Ihren Linux-Arbeitslasten.
- Nachdem Sie Cloud Service Mesh bereitgestellt haben, müssen Sie den Support kontaktieren, bevor Sie die IP-Rotation oder die Rotation von Zertifikatsanmeldedaten starten.
Außerhalb von Google Cloud
Achten Sie darauf, dass der Nutzercluster, auf dem Sie Cloud Service Mesh installieren, mindestens 4 vCPUs, 15 GB Arbeitsspeicher und 4 Knoten hat.
Prüfen Sie, ob Ihre Clusterversion unter Unterstützte Plattformen aufgeführt ist.
Achten Sie darauf, dass der Clientcomputer, von dem Sie Cloud Service Mesh installieren, Netzwerkverbindung zum API-Server.
Wenn Sie Sidecars in Anwendungs-Pods bereitstellen, in denen keine direkte Verbindung zu CA-Diensten (z. B.
meshca.googleapis.com
undprivateca.googleapis.com
) verfügbar ist, müssen Sie einen explizitenCONNECT
-basierten HTTPS-Proxy konfigurieren.Bei öffentlichen Clustern mit ausgehenden Firewallregeln, die implizierte Regeln blockieren, müssen Sie HTTP-/HTTPS- und DNS-Regeln konfigurieren, um öffentliche Google APIs zu erreichen.
Flottenanforderungen
Bei Cloud Service Mesh 1.11 und höher müssen alle Cluster bei einer Flotte registriert sein und Flotten-Workload Identity muss aktiviert sein. Sie können entweder die Cluster selbst einrichten oder asmcli
die Cluster registrieren lassen, solange sie die folgenden Anforderungen erfüllen:
GKE: (gilt für clusterinternes und verwaltetes Cloud Service Mesh) Aktivieren Sie GKE Workload Identity in Ihrem Google Kubernetes Engine-Cluster, falls noch nicht aktiviert. Außerdem müssen Sie den Cluster mit Workload Identity der Flotte registrieren.
GKE-Cluster außerhalb von Google Cloud: (gilt für das Cloud Service Mesh im Cluster) Google Distributed Cloud Google Distributed Cloud GKE on AWS und GKE on Azure sind die bei der Clustererstellung automatisch bei Ihrer Projektflotte registriert sind. Ab GKE Enterprise 1.8 aktivieren alle diese Clustertypen Workload Identity der Flotte automatisch, wenn sie registriert werden. Vorhandene registrierte Cluster werden aktualisiert , um Workload Identity für die Flotte zu verwenden, wenn ein Upgrade auf GKE Enterprise 1.8 durchgeführt wird.
Amazon EKS-Cluster: (gilt für Cloud Service Mesh im Cluster) Der Cluster muss einen öffentlichen IAM-OIDC-Identitätsanbieter haben. Folgen Sie dazu der Anleitung unter IAM-OIDC-Anbieter für Ihren Cluster erstellen um zu prüfen, ob ein Anbieter vorhanden ist, und bei Bedarf einen zu erstellen.
Wenn Sie asmcli install
ausführen, geben Sie die Projekt-ID des Flottenhostprojekts an.
asmcli
registriert den Cluster, falls er noch nicht registriert wurde.