Voraussetzungen für Cloud Service Mesh im Cluster
Auf dieser Seite werden die Voraussetzungen und Anforderungen für die Installation von Cloud Service Mesh für Kubernetes-Arbeitslasten außerhalb von Google Cloud beschrieben, z. B. die GKE Enterprise-Lizenzierung, Cluster- und Flottenanforderungen sowie allgemeine Anforderungen.
Cloud-Projekt
Hinweise:
Wählen Sie ein Google Cloud-Projekt aus oder erstellen Sie eines.
Prüfen Sie, ob für Ihr Projekt die Abrechnung aktiviert ist.
GKE Enterprise-Lizenzierung
Zum Installieren von Cloud Service Mesh lokal in GKE on AWS auf Amazon EKS, auf GKE on Azure oder auf Microsoft AKS, GKE Enterprise-Kunde ist. GKE Enterprise-Kunden werden nicht separat abgerechnet für Cloud Service Mesh, da es bereits in GKE Enterprise enthalten ist Preise. Weitere Informationen finden Sie in der GKE Enterprise-Preisübersicht.
Allgemeine Voraussetzungen
Für die Aufnahme in das Service Mesh müssen Dienstports benannt werden und der Name muss das Protokoll des Ports in der folgenden Syntax enthalten:
name: protocol[-suffix]
, wobei die eckigen Klammern ein optionales Suffix angeben, das mit einem Bindestrich beginnen muss. Weitere Informationen finden Sie unter Dienstports benennen.Wenn Sie in Ihrer Organisation einen Dienstperimeter erstellt haben, müssen Sie möglicherweise den Dienst für die Cloud Service Mesh-Zertifizierungsstelle dem Perimeter hinzufügen. Weitere Informationen finden Sie unter Cloud Service Mesh-Zertifizierungsstelle zu einem Dienstperimeter hinzufügen .
Wenn Sie die standardmäßigen Ressourcenlimits für den Sidecar-Container
istio-proxy
ändern möchten, müssen die neuen Werte größer als die Standardwerte sein, um Ereignisse aufgrund von Speicherplatzmangel zu vermeiden.Mit einem Google Cloud-Projekt kann nur ein Mesh verknüpft sein.
Clusteranforderungen
Achten Sie darauf, dass der Nutzercluster, auf dem Sie Cloud Service Mesh installieren, mindestens 4 vCPUs, 15 GB Arbeitsspeicher und 4 Knoten hat.
Prüfen Sie, ob Ihre Clusterversion unter Unterstützte Plattformen aufgeführt ist.
Achten Sie darauf, dass der Clientcomputer, von dem Sie Cloud Service Mesh installieren, Netzwerkverbindung zum API-Server.
Wenn Sie Sidecars in Anwendungs-Pods bereitstellen, in denen keine direkte Verbindung zu CA-Diensten (z. B.
meshca.googleapis.com
undprivateca.googleapis.com
) verfügbar ist, müssen Sie einen explizitenCONNECT
-basierten HTTPS-Proxy konfigurieren.Für öffentliche Cluster mit festgelegten Firewallregeln für ausgehenden Traffic, die den Traffic blockieren impliziten Regeln erstellt werden, HTTP/HTTPS- und DNS-Regeln konfiguriert, um öffentliche Google APIs zu erreichen.
Flottenanforderungen
Alle Cluster müssen in einer Flotte registriert sein und Flotten-Workload Identity muss aktiviert sein. Sie können entweder die Cluster selbst einrichten oder asmcli
die Cluster registrieren lassen, solange sie die folgenden Anforderungen erfüllen:
- GKE-Cluster außerhalb von Google Cloud: (gilt für das Cloud Service Mesh im Cluster) Google Distributed Cloud Google Distributed Cloud GKE on AWS und GKE on Azure sind die bei der Clustererstellung automatisch bei Ihrer Projektflotte registriert sind. Ab GKE Enterprise 1.8, alle diese Clustertypen aktivieren die Flotte automatisch Workload Identity bei Registrierung. Vorhandene registrierte Cluster werden bei der Aktualisierung auf GKE Enterprise 1.8 so aktualisiert, dass Workload Identity der Flotte verwendet wird.
- Amazon EKS-Cluster: (gilt für Cloud Service Mesh innerhalb des Clusters) Der Cluster muss einen öffentlichen IAM-OIDC-Identitätsanbieter haben. Folgen Sie der Anleitung unter IAM-OIDC-Anbieter für Ihren Cluster erstellen, um zu prüfen, ob ein Anbieter vorhanden ist, und erstellen Sie bei Bedarf einen Anbieter.
Wenn Sie asmcli install
ausführen, geben Sie die Projekt-ID des Flottenhostprojekts an.
asmcli
registriert den Cluster, falls er noch nicht registriert wurde.