Menginstal Cloud Service Mesh
Halaman ini menjelaskan cara menginstal Cloud Service Mesh di GKE dan platform on-premise:
- Jalankan
asmcli
untuk melakukan penginstalan baru Cloud Service Mesh 1.20.8-asm.10. - Secara opsional, deploy gateway traffic masuk.
- Deploy atau deploy ulang workload Anda untuk memasukkan proxy sidecar.
Batasan
Perhatikan batasan berikut:
Semua cluster Cloud Service Mesh untuk satu mesh harus terdaftar ke armada yang sama setiap saat untuk menggunakan Cloud Service Mesh. Cluster lain dalam project cluster Cloud Service Mesh tidak boleh didaftarkan ke fleet yang berbeda.
Alat
asmcli
harus memiliki akses ke endpoint Google Kubernetes Engine (GKE). Anda dapat mengonfigurasi akses melalui server"jump", seperti VM Compute Engine dalam Virtual Private Cloud (VPC) yang memberikan akses tertentu.
Sebelum memulai
Sebelum memulai, pastikan Anda:
- Tinjau prasyarat.
- Tinjau informasi di Merencanakan penginstalan.
- Instal alat yang diperlukan.
- Download
asmcli
. - Berikan izin admin cluster.
- Validasi project dan cluster.
Menginstal Anthos Service Mesh
Berikut ini cara menginstal Cloud Service Mesh:
Jalankan
asmcli install
untuk menginstal bidang kontrol dalam cluster di satu cluster. Lihat bagian berikut untuk contoh command line. Contoh ini berisi argumen wajib dan argumen opsional yang mungkin berguna bagi Anda. Sebaiknya Anda selalu menentukan argumenoutput_dir
agar Anda dapat dengan mudah menemukan contoh gateway dan alat sepertiistioctl
. Lihat menu navigasi di sebelah kanan untuk melihat daftar contoh.Cluster GKE pribadi memerlukan langkah konfigurasi firewall tambahan untuk mengizinkan traffic ke
istiod
.Secara opsional, instal gateway traffic masuk. Secara default,
asmcli
tidak menginstalistio-ingressgateway
. Sebaiknya Anda men-deploy dan mengelola bidang kontrol dan gateway secara terpisah. Jika Anda memerlukanistio-ingressgateway
default yang diinstal dengan bidang kontrol dalam cluster, sertakan argumen--option legacy-default-ingressgateway
.Untuk menyelesaikan penyiapan Cloud Service Mesh, Anda perlu mengaktifkan injeksi sidecar otomatis dan men-deploy atau men-deploy ulang workload.
Jika Anda menginstal Cloud Service Mesh di lebih dari satu cluster, jalankan
asmcli install
di setiap cluster. Saat menjalankanasmcli install
, pastikan untuk menggunakanFLEET_PROJECT_ID
yang sama untuk setiap cluster. Setelah Cloud Service Mesh diinstal, lihat petunjuk untuk menyiapkan mesh multi-cluster di GKE atau di luar Google Cloud.Jika cluster Anda berada di jaringan yang berbeda (karena berada dalam mode pulau), Anda harus meneruskan nama jaringan unik ke
asmcli
menggunakan flag--network_id
.
Menginstal fitur default dan CA Mesh
Bagian ini menunjukkan cara menjalankan asmcli
untuk menginstal Cloud Service Mesh dengan fitur yang didukung default untuk platform Anda dan mengaktifkan otoritas sertifikasi Cloud Service Mesh sebagai otoritas sertifikasi.
GKE
Jalankan perintah berikut untuk menginstal platform kontrol dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
./asmcli install \
--project_id PROJECT_ID \
--cluster_name CLUSTER_NAME \
--cluster_location CLUSTER_LOCATION \
--fleet_id FLEET_PROJECT_ID \
--output_dir DIR_PATH \
--enable_all \
--ca mesh_ca
--project_id
,--cluster_name
, dan--cluster_location
Tentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.--fleet_id
Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini,asmcli
akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada
Lokal
Jalankan perintah berikut di Google Distributed Cloud atau Google Distributed Cloud untuk menginstal bidang kontrol dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca mesh_ca
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
AWS
Jalankan perintah berikut di GKE di AWS untuk menginstal bidang kontrol dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca mesh_ca
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada.
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
Azure
Jalankan perintah berikut di GKE di Azure (pratinjau) untuk menginstal control plane dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca mesh_ca
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada.
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
Amazon EKS
Jalankan perintah berikut di Amazon EKS untuk menginstal bidang kontrol dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --network_id default \ --ca mesh_ca
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.--network_id
Jika Anda menyiapkan mesh multi-jaringan, tetapkan--network_id
ke nilai unik untuk setiap cluster dalam mesh.--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada.
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
Microsoft AKS
Jalankan perintah berikut di Microsoft AKS untuk menginstal bidang kontrol dengan fitur default dan otoritas sertifikat Cloud Service Mesh. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --network_id default \ --ca mesh_ca
HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer
Memungkinkan pendaftaran dengan GKE Hub.--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.--network_id
Jika Anda menyiapkan mesh multi-jaringan, tetapkan--network_id
ke nilai unik untuk setiap cluster dalam mesh.--ca mesh_ca
Gunakan Certificate Authority Cloud Service Mesh sebagai Certificate Authority.asmcli
mengonfigurasi Certificate Authority Cloud Service Mesh untuk menggunakan identitas beban kerja armada.
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
Menginstal fitur default dan Layanan Certificate Authority (CA)
Bagian ini menunjukkan cara menjalankan asmcli
untuk menginstal Cloud Service Mesh dengan
fitur yang didukung default untuk platform Anda dan
mengaktifkan Layanan CA sebagai otoritas sertifikasi.
Selain Mesh CA, Anda dapat mengonfigurasi Cloud Service Mesh untuk menggunakan Certificate Authority Service. Panduan ini memberi Anda kesempatan untuk berintegrasi dengan Layanan CA, yang direkomendasikan untuk kasus penggunaan berikut:
- Jika Anda memerlukan otoritas sertifikasi yang berbeda untuk menandatangani sertifikat workload di cluster yang berbeda.
- Jika Anda ingin menggunakan
istiod
Sertifikat plugin CA Kustom. - Jika Anda perlu mencadangkan kunci penandatanganan di HSM terkelola.
- Jika Anda berada di industri yang diatur dengan regulasi ketat dan tunduk pada kepatuhan.
- Jika Anda ingin membuat rantai CA Cloud Service Mesh ke root CA perusahaan kustom untuk menandatangani sertifikat workload.
Biaya CA Mesh disertakan dalam harga Cloud Service Mesh. Layanan CA tidak disertakan dalam harga dasar Cloud Service Mesh dan ditagih secara terpisah. Selain itu, Layanan CA dilengkapi dengan SLA eksplisit, tetapi Mesh CA tidak.
Untuk integrasi ini, semua beban kerja di Cloud Service Mesh diberi peran IAM:
privateca.workloadCertificateRequester
privateca.auditor
privateca.template
(wajib jika menggunakan template sertifikat)
Mengonfigurasi Layanan CA
- Buat kumpulan CA
di tingkat
DevOps
dan di region yang sama dengan cluster yang dilayaninya untuk menghindari masalah latensi yang berlebihan atau potensi penghentian layanan lintas region. Untuk mengetahui informasi selengkapnya, lihat Tingkat yang dioptimalkan untuk workload. - Buat CA agar memiliki minimal satu otoritas sertifikasi aktif di kumpulan CA dalam project yang sama dengan cluster GKE. Gunakan CA subordinat untuk menandatangani sertifikat workload Cloud Service Mesh. Catat kumpulan CA yang sesuai dengan CA subordinat.
Jika hanya dimaksudkan untuk melayani sertifikat untuk beban kerja Cloud Service Mesh, siapkan kebijakan penerbitan berikut untuk kumpulan CA:
policy.yaml
baselineValues: keyUsage: baseKeyUsage: digitalSignature: true keyEncipherment: true extendedKeyUsage: serverAuth: true clientAuth: true caOptions: isCa: false identityConstraints: allowSubjectPassthrough: false allowSubjectAltNamesPassthrough: true celExpression: expression: subject_alt_names.all(san, san.type == URI && san.value.startsWith("spiffe://PROJECT_ID.svc.id.goog/ns/") )
Untuk memperbarui kebijakan penerbitan kumpulan CA, gunakan perintah berikut:
gcloud privateca pools update CA_POOL --location ca_region --issuance-policy policy.yaml
Untuk mengetahui informasi tentang cara menetapkan kebijakan di kumpulan, lihat Menggunakan kebijakan penerbitan sertifikat.
Jika Anda menggunakan template sertifikat, konfigurasikan sekarang. Untuk informasi selengkapnya, ikuti Panduan Layanan CA untuk sertifikat identitas workload. Pastikan template sertifikat dibuat di region yang sama dengan kumpulan CA. Jika ada beberapa region untuk kumpulan CA, buat template sertifikat per region.
Mengonfigurasi Cloud Service Mesh untuk menggunakan CA Service
GKE
Instal bidang kontrol Cloud Service Mesh yang menggunakan Certificate Authority Service sebagai CA:
./asmcli install \ --project_id PROJECT_ID \ --cluster_name CLUSTER_NAME \ --cluster_location CLUSTER_LOCATION \ --enable_all \ --ca gcp_cas \ --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca gcp_cas
Gunakan Certificate Authority Service sebagai otoritas sertifikat. Mengubah certificate authority selama upgrade akan menyebabkan periode nonaktif.asmcli
mengonfigurasi Layanan Certificate Authority untuk menggunakan identitas workload armada--ca_pool
ID lengkap untuk CA Pool Layanan Certificate Authority. Jika template sertifikat digunakan, tambahkan ID template yang dipisahkan dengan:
.--ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
Instal gateway traffic masuk untuk menerima koneksi HTTP/TCP masuk atau keluar. Untuk mengetahui detailnya, lihat Menginstal Gateway.
Selesaikan penginstalan Cloud Service Mesh untuk mengaktifkan injeksi proxy sidecar otomatis pada workload Anda. Untuk mengetahui detailnya, lihat Men-deploy dan men-deploy ulang workload.
Lokal
Jalankan perintah berikut di Google Distributed Cloud atau Google Distributed Cloud untuk menginstal bidang kontrol dengan fitur default dan Layanan Otoritas Sertifikasi. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --kubeconfig KUBECONFIG_FILE \ --fleet_id FLEET_PROJECT_ID \ --output_dir DIR_PATH \ --enable_all \ --ca gcp_cas \ --platform multicloud \ --ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca gcp_cas
Gunakan Certificate Authority Service sebagai otoritas sertifikat. Mengubah certificate authority selama upgrade akan menyebabkan periode nonaktif.asmcli
mengonfigurasi Layanan Certificate Authority untuk menggunakan identitas workload armada--ca_pool
ID lengkap untuk CA Pool Layanan Certificate Authority. Jika Anda menggunakan template sertifikat, tambahkan ID template yang dipisahkan oleh:
. Contoh:--ca_pool projects/CA_POOL_PROJECT_ID/locations/ca_region/caPools/CA_POOL:projects/CA_POOL_PROJECT_ID/locations/ca_region/certificateTemplates/CERT_TEMPLATE_ID
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
Menginstal fitur default dengan CA Istio
Bagian ini menjelaskan cara:
- Buat sertifikat dan kunci untuk CA Istio yang digunakan Cloud Service Mesh untuk menandatangani workload Anda.
- Jalankan
asmcli
untuk menginstal Cloud Service Mesh dengan fitur default dan mengaktifkan Istio CA.
Secara default, lingkungan yang menginstal Cloud Service Mesh dengan Istio CA melaporkan metrik ke Prometheus. Jika ingin menggunakan dasbor Cloud Service Mesh, Anda harus mengaktifkan Stackdriver. Untuk mengetahui informasi selengkapnya, lihat Menginstal dengan fitur opsional.
Untuk keamanan terbaik, sebaiknya pertahankan root CA offline dan gunakan CA bawahan untuk menerbitkan sertifikat untuk setiap cluster. Untuk informasi selengkapnya, lihat Menyambungkan Sertifikat CA. Dalam konfigurasi ini, semua workload di mesh layanan menggunakan root certificate authority (CA) yang sama. Setiap CA Cloud Service Mesh menggunakan kunci dan sertifikat penandatanganan CA perantara, yang ditandatangani oleh CA root. Jika ada beberapa CA dalam mesh, hal ini akan membentuk hierarki kepercayaan di antara CA. Anda dapat mengulangi langkah-langkah ini untuk menyediakan sertifikat dan kunci untuk sejumlah otoritas sertifikasi.
Makefile untuk membuat sertifikat terletak di subdirektori istio-1.20.8-asm.10
di direktori --output_dir
yang Anda tentukan dalam perintah asmcli validate
. Jika tidak menjalankan asmcli validate
, atau tidak memiliki direktori yang didownload secara lokal, Anda bisa mendapatkan Makefile dengan mendownload file penginstalan Cloud Service Mesh dan mengekstrak kontennya.
Ubah ke direktori
istio-1.20.8-asm.10
.Buat direktori untuk sertifikat dan kunci:
mkdir -p certs && \ pushd certs
Buat sertifikat dan kunci root:
make -f ../tools/certs/Makefile.selfsigned.mk root-ca
Tindakan ini akan menghasilkan file berikut:
- root-cert.pem: root certificate
- root-key.pem: kunci root
- root-ca.conf: konfigurasi untuk openssl guna membuat root certificate
- root-cert.csr: CSR untuk root certificate
Buat sertifikat dan kunci perantara:
make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts
Tindakan ini akan menghasilkan file berikut di direktori bernama
cluster1
:- ca-cert.pem: sertifikat perantara
- ca-key.pem: kunci perantara
- cert-chain.pem: rantai sertifikat yang digunakan
istiod
- root-cert.pem: root certificate
Jika Anda melakukan langkah-langkah ini menggunakan komputer offline, salin direktori yang dihasilkan ke komputer dengan akses ke cluster.
Kembali ke direktori sebelumnya:
popd
Jalankan
asmcli
untuk menginstal mesh menggunakan CA Istio:GKE
Jalankan perintah berikut untuk menginstal platform kontrol dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
./asmcli install \ --project_id PROJECT_ID \ --cluster_name CLUSTER_NAME \ --cluster_location CLUSTER_LOCATION \ --fleet_id FLEET_PROJECT_ID \ --output_dir DIR_PATH \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH
--project_id
,--cluster_name
, dan--cluster_location
Tentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.--fleet_id
Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini,asmcli
akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat
Lokal
Jalankan perintah berikut di Google Distributed Cloud atau Google Distributed Cloud untuk menginstal bidang kontrol dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat
AWS
Jalankan perintah berikut di GKE di AWS untuk menginstal kontrol platform dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan. Anda dapat memilih untuk mengaktifkan Ingress untuk subnet publik atau subnet pribadi.
Publik
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.
Pribadi
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Simpan YAML berikut ke file bernama
istio-operator-internal-lb.yaml
:apiVersion: install.istio.io/v1alpha1 kind: IstioOperator spec: components: ingressGateways: - enabled: true k8s: serviceAnnotations: service.beta.kubernetes.io/aws-load-balancer-internal: "true" name: istio-ingressgateway
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert FILE_PATH \ --ca_key FILE_PATH \ --root_cert FILE_PATH \ --cert_chain FILE_PATH \ --custom_overlay istio-operator-internal-lb.yaml
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--custom_overlay
Nama file overlay yang dibuat. Untuk informasi selengkapnya tentang file overlay, lihat Mengaktifkan fitur opsional di panel kontrol dalam cluster
Azure
Jalankan perintah berikut di GKE di Azure (pratinjau) untuk menginstal control plane dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan. Anda dapat memilih untuk mengaktifkan Ingress untuk subnet publik atau subnet pribadi.
Publik
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.
Pribadi
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Simpan YAML berikut ke file bernama
istio-operator-internal-lb.yaml
:apiVersion: install.istio.io/v1alpha1 kind: IstioOperator spec: components: ingressGateways: - enabled: true k8s: serviceAnnotations: service.beta.kubernetes.io/aws-load-balancer-internal: "true" name: istio-ingressgateway
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --ca citadel \ --ca_cert FILE_PATH \ --ca_key FILE_PATH \ --root_cert FILE_PATH \ --cert_chain FILE_PATH \ --custom_overlay istio-operator-internal-lb.yaml
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--custom_overlay
Nama file overlay yang dibuat. Untuk informasi selengkapnya tentang file overlay, lihat Mengaktifkan fitur opsional di panel kontrol dalam cluster
Amazon EKS
Jalankan perintah berikut di Amazon EKS untuk menginstal platform kontrol dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --network_id default
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--network_id
Jika Anda menyiapkan mesh multi-jaringan, tetapkan--network_id
ke nilai unik untuk setiap cluster dalam mesh.
Microsoft AKS
Jalankan perintah berikut di Microsoft AKS untuk menginstal platform kontrol dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --option attached-cluster \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --network_id default
HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer
Memungkinkan pendaftaran dengan GKE Hub.--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--option attached-cluster
Mengubah utilitas penandatanganan default menjadi istiod.-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--network_id
Jika Anda menyiapkan mesh multi-jaringan, tetapkan--network_id
ke nilai unik untuk setiap cluster dalam mesh.
Menginstal dengan CA Istio dengan Google Cloud Observability diaktifkan
Jika ingin menggunakan dasbor Cloud Service Mesh, Anda harus mengaktifkan Stackdriver.
GKE
Jalankan perintah berikut untuk menginstal kontrol plane dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
./asmcli install \
--project_id PROJECT_ID \
--cluster_name CLUSTER_NAME \
--cluster_location CLUSTER_LOCATION \
--fleet_id FLEET_PROJECT_ID \
--output_dir DIR_PATH \
--enable_all \
--ca citadel \
--ca_cert CA_CERT_FILE_PATH \
--ca_key CA_KEY_FILE_PATH \
--root_cert ROOT_CERT_FILE_PATH \
--cert_chain CERT_CHAIN_FILE_PATH
--project_id
,--cluster_name
, dan--cluster_location
Tentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.--fleet_id
Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini,asmcli
akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.
Lokal
Jalankan perintah berikut di Google Distributed Cloud atau Google Distributed Cloud untuk menginstal platform kontrol dengan Stackdriver dan fitur opsional lainnya serta Istio CA. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.
Untuk melihat SLO dan metrik infrastruktur di UI Cloud Service Mesh, Anda juga harus melakukan tiga langkah pertama di Mengaktifkan logging dan pemantauan aplikasi. Jika logging dan pemantauan tidak diaktifkan dan tidak menerima log dan metrik kustom, dasbor Cloud Service Mesh tidak akan menampilkan SLO, log error, atau metrik CPU dan memori.
AWS
Jalankan perintah berikut di GKE di AWS untuk menginstal platform kontrol dengan Stackdriver dan fitur opsional lainnya serta CA Istio. Masukkan nilai Anda di placeholder yang disediakan. Anda dapat memilih untuk mengaktifkan Ingress untuk subnet publik atau subnet pribadi.
Publik
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --option stackdriver
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.
Pribadi
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Simpan YAML berikut ke file bernama
istio-operator-internal-lb.yaml
:apiVersion: install.istio.io/v1alpha1 kind: IstioOperator spec: components: ingressGateways: - enabled: true k8s: serviceAnnotations: service.beta.kubernetes.io/aws-load-balancer-internal: "true" name: istio-ingressgateway
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert FILE_PATH \ --ca_key FILE_PATH \ --root_cert FILE_PATH \ --cert_chain FILE_PATH --custom_overlay istio-operator-internal-lb.yaml \ --option stackdriver
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--custom_overlay
Nama file overlay yang dibuat. Untuk informasi selengkapnya tentang file overlay, lihat Mengaktifkan fitur opsional di panel kontrol dalam cluster--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
. Atau, Anda dapat mengaktifkan Stackdriver menggunakan--custom_overlay stackdriver.yaml
. Anda harus Mendownload paket anthos-service-mesh atau membuatstackdriver.yaml
dari manifes yang disediakan.
Azure
Jalankan perintah berikut di GKE di Azure (pratinjau) untuk menginstal control plane dengan Stackdriver dan fitur opsional lainnya serta Istio CA. Masukkan nilai Anda di placeholder yang disediakan. Anda dapat memilih untuk mengaktifkan Ingress untuk subnet publik atau subnet pribadi.
Publik
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --option stackdriver
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.
Pribadi
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Simpan YAML berikut ke file bernama
istio-operator-internal-lb.yaml
:apiVersion: install.istio.io/v1alpha1 kind: IstioOperator spec: components: ingressGateways: - enabled: true k8s: serviceAnnotations: service.beta.kubernetes.io/aws-load-balancer-internal: "true" name: istio-ingressgateway
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert FILE_PATH \ --ca_key FILE_PATH \ --root_cert FILE_PATH \ --cert_chain FILE_PATH --custom_overlay istio-operator-internal-lb.yaml \ --option stackdriver
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Sertifikat intermediate.--ca_key
Kunci untuk sertifikat perantara.--root_cert
Root certificate.--cert_chain
Rantai sertifikat.--custom_overlay
Nama file overlay yang dibuat. Untuk informasi selengkapnya tentang file overlay, lihat Mengaktifkan fitur opsional di panel kontrol dalam cluster--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
. Atau, Anda dapat mengaktifkan Stackdriver menggunakan--custom_overlay stackdriver.yaml
. Anda harus Mendownload paket anthos-service-mesh atau membuatstackdriver.yaml
dari manifes yang disediakan.
Amazon EKS
Jalankan perintah berikut di Amazon EKS untuk menginstal platform kontrol dengan Stackdriver dan fitur opsional lainnya serta CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --option stackdriver \ --option attached-cluster
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.--option stackdriver
Mengubah utilitas penandatanganan default menjadiistiod
.
Microsoft AKS
Jalankan perintah berikut di Microsoft AKS untuk menginstal platform kontrol dengan fitur default dan CA Istio. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
:HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer ./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca citadel \ --ca_cert CA_CERT_FILE_PATH \ --ca_key CA_KEY_FILE_PATH \ --root_cert ROOT_CERT_FILE_PATH \ --cert_chain CERT_CHAIN_FILE_PATH \ --option stackdriver \ --option attached-cluster
HUB_REGISTRATION_EXTRA_FLAGS=--has-private-issuer
Memungkinkan pendaftaran dengan GKE Hub.--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
-ca citadel
Menggunakan CA Istio sebagai otoritas sertifikat.--ca_cert
Intermediate certificate--ca_key
Kunci untuk intermediate certificate--root_cert
Root certificate--cert_chain
Rantai sertifikat--option stackdriver
Mengaktifkan opsi Stackdriver. Perhatikan bahwa Anda juga dapat mengaktifkan Stackdriver dan Prometheus menggunakan--option prometheus-and-stackdriver
.--option stackdriver
Mengubah utilitas penandatanganan default menjadiistiod
.
Menginstal dengan fitur opsional
File overlay adalah file YAML yang berisi resource kustom (CR) IstioOperator
yang Anda teruskan ke asmcli
untuk mengonfigurasi platform kontrol. Anda dapat
mengganti konfigurasi platform kontrol default dan
mengaktifkan fitur opsional dengan meneruskan
file YAML ke asmcli
. Anda dapat menambahkan lebih banyak overlay, dan setiap file overlay akan mengganti konfigurasi di lapisan sebelumnya. Sebagai praktik terbaik,
sebaiknya simpan file overlay di sistem kontrol versi Anda.
Ada dua opsi untuk mengaktifkan fitur opsional:
--option
dan
--custom_overlay
.
Gunakan --option
jika Anda tidak perlu mengubah file
overlay. Dengan metode ini, asmcli
akan mengambil file dari
repositori GitHub
untuk Anda.
Gunakan --custom_overlay
saat Anda perlu menyesuaikan file overlay.
Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan fitur opsional di panel kontrol dalam cluster.
GKE
Jalankan perintah berikut untuk menginstal platform kontrol dengan fitur opsional. Untuk menambahkan beberapa file, tentukan --custom_overlay
dan nama file,
misalnya: --custom_overlay overlay_file1.yaml
--custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml
Masukkan nilai Anda di placeholder yang disediakan.
./asmcli install \
--project_id PROJECT_ID \
--cluster_name CLUSTER_NAME \
--cluster_location CLUSTER_LOCATION \
--fleet_id FLEET_PROJECT_ID \
--output_dir DIR_PATH \
--enable_all \
--ca mesh_ca \
--custom_overlay OVERLAY_FILE
--project_id
,--cluster_name
, dan--cluster_location
Tentukan project ID tempat cluster berada, nama cluster, dan zona atau region cluster.--fleet_id
Project ID dari project host fleet. Jika Anda tidak menyertakan opsi ini,asmcli
akan menggunakan project tempat cluster dibuat saat mendaftarkan cluster.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan otoritas sertifikat Cloud Service Mesh sebagai otoritas sertifikat. Perhatikan bahwaasmcli
mengonfigurasi otoritas sertifikasi Cloud Service Mesh untuk menggunakan identitas beban kerja fleet--custom_overlay
Tentukan nama file overlay.
Di luar Google Cloud
Jalankan perintah berikut di Google Distributed Cloud, Google Distributed Cloud, GKE di AWS, Amazon EKS, atau Microsoft AKS. Masukkan nilai Anda di placeholder yang disediakan.
Tetapkan konteks saat ini ke cluster pengguna Anda:
kubectl config use-context CLUSTER_NAME
Jalankan
asmcli install
untuk menginstal bidang kontrol dengan fitur opsional. Untuk menambahkan beberapa file, tentukan--custom_overlay
dan nama file, misalnya:--custom_overlayoverlay_file1.yaml --custom_overlay overlay_file2.yaml --custom_overlay overlay_file3.yaml
./asmcli install \ --fleet_id FLEET_PROJECT_ID \ --kubeconfig KUBECONFIG_FILE \ --output_dir DIR_PATH \ --platform multicloud \ --enable_all \ --ca mesh_ca \ --custom_overlay OVERLAY_FILE
--fleet_id
Project ID dari project host fleet.--kubeconfig
Jalur lengkap ke filekubeconfig
. Variabel lingkungan$PWD
tidak berfungsi di sini. Selain itu, lokasi filekubeconfig
relatif yang menggunakan `~` tidak akan berfungsi.--output_dir
Sertakan opsi ini untuk menentukan direktori tempatasmcli
mendownload paketanthos-service-mesh
dan mengekstrak file penginstalan, yang berisiistioctl
, sampel, dan manifes. Jika tidak,asmcli
akan mendownload file ke direktoritmp
. Anda dapat menentukan jalur relatif atau jalur lengkap. Variabel lingkungan$PWD
tidak berfungsi di sini.--platform multicloud
Menentukan bahwa platform tersebut adalah sesuatu yang bukan Google Cloud, seperti lokal atau multi-cloud.-
--enable_all
Mengizinkan skrip untuk:- Berikan izin IAM yang diperlukan.
- Aktifkan Google API yang diperlukan.
- Tetapkan label pada cluster yang mengidentifikasi mesh.
- Daftarkan cluster ke fleet jika belum terdaftar.
--ca mesh_ca
Gunakan otoritas sertifikat Cloud Service Mesh sebagai otoritas sertifikat. Perhatikan bahwaasmcli
mengonfigurasi otoritas sertifikasi Cloud Service Mesh untuk menggunakan identitas beban kerja fleet--custom_overlay
Tentukan nama file overlay.
Menginstal gateway
Cloud Service Mesh memberi Anda opsi untuk men-deploy dan mengelola gateway sebagai bagian dari mesh layanan Anda. Gateway menjelaskan load balancer yang beroperasi di tepi mesh yang menerima koneksi HTTP/TCP masuk atau keluar. Gateway adalah proxy Envoy yang memberi Anda kontrol terperinci atas traffic yang masuk dan keluar dari mesh.
Buat namespace untuk gateway masuk jika Anda belum memilikinya. Gateway adalah beban kerja pengguna, dan sebagai praktik terbaik, gateway tidak boleh di-deploy di namespace bidang kontrol. Ganti
GATEWAY_NAMESPACE
dengan nama namespace Anda.kubectl create namespace GATEWAY_NAMESPACE
Output yang diharapkan:
namespace/GATEWAY_NAMESPACE created
Aktifkan injeksi otomatis di gateway. Langkah-langkah yang diperlukan bergantung pada apakah Anda ingin menggunakan label injeksi default (misalnya,
istio-injection=enabled
) atau label revisi di namespace gateway. Tag revisi dan label revisi default digunakan oleh webhook injector sidecar untuk mengaitkan proxy yang dimasukkan dengan revisi bidang kontrol tertentu.Label injeksi default
Terapkan label injeksi default ke namespace.
kubectl label namespace GATEWAY_NAMESPACE istio-injection=enabled istio.io/rev-
Label revisi
Gunakan perintah berikut untuk menemukan label revisi di
istiod
:kubectl get deploy -n istio-system -l app=istiod -o \ "jsonpath={.items[*].metadata.labels['istio\.io/rev']}{'\n'}"
Perintah ini menghasilkan label revisi yang sesuai dengan versi Cloud Service Mesh, misalnya:
asm-1208-10
Terapkan label revisi ke namespace. Dalam perintah berikut,
REVISION
adalah nilai label revisiistiod
yang Anda catat di langkah sebelumnya.kubectl label namespace GATEWAY_NAMESPACE \ istio.io/rev=REVISION --overwrite
Output yang diharapkan:
namespace/GATEWAY_NAMESPACE labeled
Anda dapat mengabaikan pesan
"istio.io/rev" not found
dalam output. Artinya, namespace sebelumnya tidak memiliki labelistio.io/rev
, yang akan Anda temukan dalam penginstalan baru Cloud Service Mesh atau deployment baru. Karena injeksi otomatis gagal jika namespace memiliki labelistio.io/rev
danistio-injection
, semua perintahkubectl label
dalam dokumentasi Cloud Service Mesh secara eksplisit menentukan kedua label tersebut.Jika namespace gateway tidak diberi label, pod
istio-ingressgateway
akan gagal dengan errorImagePullBackOff
saat gateway mencoba menarik dan imageauto
. Gambar ini akan diganti oleh webhook.Download contoh file konfigurasi .yaml gateway ingress dari repositori
anthos-service-mesh-packages
.Terapkan contoh konfigurasi .yaml gateway masuk apa adanya, atau ubah sesuai kebutuhan.
kubectl apply -n GATEWAY_NAMESPACE \ -f CONFIG_PATH/istio-ingressgateway
Output yang diharapkan:
deployment.apps/istio-ingressgateway created poddisruptionbudget.policy/istio-ingressgateway created horizontalpodautoscaler.autoscaling/istio-ingressgateway created role.rbac.authorization.k8s.io/istio-ingressgateway created rolebinding.rbac.authorization.k8s.io/istio-ingressgateway created service/istio-ingressgateway created serviceaccount/istio-ingressgateway created
Pelajari lebih lanjut praktik terbaik untuk gateway.
Men-deploy dan men-deploy ulang workload
Cloud Service Mesh menggunakan proxy sidecar untuk meningkatkan keamanan, keandalan, dan kemampuan observasi jaringan. Dengan Cloud Service Mesh, fungsi ini diabstraksi dari penampung utama aplikasi dan diterapkan dalam proxy out-of-process umum yang dikirim sebagai penampung terpisah di Pod yang sama.
Penginstalan tidak akan selesai hingga Anda mengaktifkan injeksi proxy sidecar otomatis (injeksi otomatis) dan memulai ulang Pod untuk beban kerja apa pun yang berjalan di cluster sebelum Anda menginstal Cloud Service Mesh.
Untuk mengaktifkan injeksi otomatis, Anda memberi label pada namespace dengan
label injeksi default
jika tag default disiapkan, atau label revisi
yang ditetapkan di istiod
saat Anda menginstal Cloud Service Mesh. Tag revisi
dan label revisi default digunakan oleh webhook injector sidecar untuk mengaitkan
sidecar yang dimasukkan dengan revisi istiod
. Setelah menambahkan label, setiap Pod yang ada di namespace harus dimulai ulang agar sidecar dapat dimasukkan.
Sebelum men-deploy beban kerja baru di namespace baru, pastikan untuk mengonfigurasi injeksi otomatis sehingga Cloud Service Mesh dapat memantau dan mengamankan traffic.
Langkah-langkah yang diperlukan untuk mengaktifkan injeksi otomatis bergantung pada apakah Anda ingin menggunakan label injeksi default atau label revisi:
Label injeksi default
Dalam perintah berikut,
NAMESPACE
adalah nama namespace tempat Anda ingin mengaktifkan injeksi otomatis.kubectl label namespace NAMESPACE istio-injection=enabled istio.io/rev-
Karena label injeksi default akan memasukkan revisi yang dituju tag default, Anda tidak perlu memberi label ulang namespace.
Label revisi
Gunakan perintah berikut untuk menemukan label revisi di
istiod
:kubectl -n istio-system get pods -l app=istiod --show-labels
Outputnya terlihat mirip dengan yang berikut ini:
NAME READY STATUS RESTARTS AGE LABELS istiod-asm-1208-10-5788d57586-bljj4 1/1 Running 0 23h app=istiod,istio.io/rev=asm-1208-10,istio=istiod,pod-template-hash=5788d57586 istiod-asm-1208-10-5788d57586-vsklm 1/1 Running 1 23h app=istiod,istio.io/rev=asm-1208-10,istio=istiod,pod-template-hash=5788d57586
Dalam output, di kolom
LABELS
, catat nilai label revisiistiod
, yang mengikuti awalanistio.io/rev=
. Dalam contoh ini, nilainya adalahasm-1208-10
.Terapkan label revisi dan hapus label
istio-injection
jika ada. Dalam perintah berikut,NAMESPACE
adalah nama namespace tempat Anda ingin mengaktifkan injeksi otomatis, danREVISION
adalah label revisi yang Anda catat di langkah sebelumnya.kubectl label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
Anda dapat mengabaikan pesan
"istio-injection not found"
dalam output. Artinya, namespace sebelumnya tidak memiliki labelistio-injection
, yang akan Anda temukan dalam penginstalan baru Cloud Service Mesh atau deployment baru. Karena perilaku injeksi otomatis tidak ditentukan saat namespace memiliki labelistio-injection
dan revisi, semua perintahkubectl label
dalam dokumentasi Cloud Service Mesh secara eksplisit memastikan bahwa hanya satu yang ditetapkan.
Jika beban kerja berjalan di cluster sebelum Anda menginstal Cloud Service Mesh, mulai ulang Pod untuk memicu injeksi ulang.
Cara memulai ulang Pod bergantung pada aplikasi dan lingkungan tempat cluster berada. Misalnya, di lingkungan staging, Anda dapat menghapus semua Pod, yang menyebabkannya dimulai ulang. Namun, di lingkungan produksi, Anda mungkin memiliki proses yang menerapkan deployment blue-green sehingga Anda dapat memulai ulang Pod dengan aman untuk menghindari gangguan traffic.
Anda dapat menggunakan
kubectl
untuk melakukan mulai ulang bertahap:kubectl rollout restart deployment -n NAMESPACE
Apa langkah selanjutnya?
Pelajari cara menyiapkan mesh multi-cluster:
Jika mesh Anda sepenuhnya terdiri dari cluster GKE, lihat Menyiapkan mesh multi-cluster di GKE.
Jika mesh Anda terdiri dari cluster di luar Google Cloud, lihat Menyiapkan mesh multi-cluster di luar Google Cloud.