Pianificazione di un'installazione
Questa pagina fornisce informazioni utili per pianificare una nuova installazione di Cloud Service Mesh in-cluster per i carichi di lavoro Kubernetes al di fuori di Google Cloud.
Personalizzare il piano di controllo
Le funzionalità supportate da Cloud Service Mesh variano a seconda della piattaforma. I nostri suggerimenti
di esaminare le Funzionalità supportate per
scopri quali funzionalità sono supportate sulla tua piattaforma. Alcune funzionalità sono attive
per impostazione predefinita e altre opzioni che puoi abilitare, creando un IstioOperator
di overlay. Quando esegui asmcli install, puoi personalizzare il piano di controllo
specificando l'opzione --custom_overlay
con il file overlay. Come best practice, ti consigliamo di salvare
i file di overlay nel sistema di controllo delle versioni.
La
directory asmcli
in GitHub contiene molti file overlay. Questi file contengono personalizzazioni comuni
alla configurazione predefinita. Puoi utilizzare questi file così come sono oppure
apportarvi modifiche aggiuntive, se necessario. Alcuni file sono necessari
abilitare le funzionalità facoltative di Cloud Service Mesh.
Il pacchetto anthos-service-mesh viene scaricato quando esegui asmcli per
convalidare il progetto e il cluster.
Quando installi Cloud Service Mesh utilizzando asmcli install,
puoi specificare uno o più file di overlay con --option o --custom_overlay.
Se non devi apportare modifiche ai file in anthos-service-mesh
repository, puoi utilizzare --option e lo script recupera il file da GitHub
per te. In caso contrario, puoi apportare modifiche al file overlay e utilizzare l'opzione --custom_overlay per trasmetterlo a asmcli.
Scegli un'autorità di certificazione
A seconda del caso d'uso e della piattaforma, puoi scegliere una delle seguenti come autorità di certificazione (CA) per l'emissione di certificati mTLS (mutual TLS):
Questa sezione fornisce informazioni generali su ciascuna di queste opzioni di CA e nei loro casi d'uso.
Mesh CA
A meno che tu non abbia bisogno di una CA personalizzata, ti consigliamo di usare Autorità di certificazione Cloud Service Mesh per i seguenti motivi:
- L'autorità di certificazione Cloud Service Mesh è un servizio estremamente affidabile e scalabile ottimizzato per i carichi di lavoro con scalabilità dinamica.
- Con l'autorità di certificazione Cloud Service Mesh, Google gestisce la sicurezza e la disponibilità del backend della CA.
- L'autorità di certificazione Cloud Service Mesh ti consente di fare affidamento su un'unica radice di attendibilità nei diversi cluster.
I certificati emessi dall'autorità di certificazione Cloud Service Mesh includono i seguenti dati su dei servizi della tua applicazione:
- ID del progetto Google Cloud
- Lo spazio dei nomi GKE
- Il nome dell'account di servizio GKE
Servizio CA
Oltre all'autorità di certificazione Cloud Service Mesh, puoi configurare Cloud Service Mesh in modo da utilizzare Certificate Authority Service. Questa guida ti offre l'opportunità di eseguire l'integrazione con CA Service, consigliato per i seguenti casi d'uso:
- Se sono necessarie autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
- Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
- Se operi in un settore altamente regolamentato e sei soggetto a conformità.
- Se vuoi collegare la tua CA Cloud Service Mesh a una radice aziendale personalizzata per firmare i certificati dei carichi di lavoro.
Il costo dell'autorità di certificazione Cloud Service Mesh è incluso nei prezzi di Cloud Service Mesh. La CA Service non è incluso nel prezzo base di Cloud Service Mesh ed è con un addebito separato. Inoltre, il servizio CA è dotato di un SLA esplicito, ma l'autorità di certificazione Cloud Service Mesh no.
CA Istio
Ti consigliamo di utilizzare la CA Istio se soddisfi i seguenti criteri:
- Il tuo mesh utilizza già Istio CA e non sono necessari i vantaggi abilitati Autorità di certificazione o servizio CA di Cloud Service Mesh.
- Hai bisogno di una CA radice personalizzata.
- Hai carichi di lavoro esterni a Google Cloud per i quali un servizio CA gestito da Google Cloud non è accettabile.
Prepara la configurazione del gateway
Cloud Service Mesh ti offre la possibilità di eseguire il deployment e gestire i gateway all'interno del tuo mesh di servizi. Un gateway descrive un bilanciatore del carico che opera a livello perimetrale mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono proxy Envoy che ti offrono un controllo granulare sul traffico in entrata e in uscita dal mesh.
asmcli non installa istio-ingressgateway. Ti consigliamo di
il deployment e la gestione
del piano di controllo e dei gateway separatamente. Per ulteriori informazioni, consulta Installare e eseguire l'upgrade dei gateway.