Visão geral do Cloud Service Mesh

O Cloud Service Mesh é uma malha de serviço disponível no Google Cloud e nas plataformas do GKE Enterprise com suporte. Ele oferece suporte a serviços executados em várias infraestruturas de computação. O Cloud Service Mesh é controlado por APIs projetadas para o Google Cloud, para código aberto ou para os dois.

Este documento é para você se for um novo usuário do Cloud Service Mesh ou um cliente do Anthos Service Mesh ou do Traffic Director.

O que é uma malha de serviço?

Uma malha de serviço é uma arquitetura que permite a comunicação gerenciada, observável e segura entre seus serviços, facilitando a criação de aplicativos empresariais robustos compostos por muitos microsserviços na infraestrutura escolhida. As malhas de serviço gerenciam os requisitos comuns da execução de serviço, como monitoramento, rede e segurança, com recursos de serviço, facilitando o trabalho dos desenvolvedores e operadores de criando e gerenciando ótimos aplicativos para os usuários.

Em termos de arquitetura, uma malha de serviço consiste em um ou mais planos de controle e um plano de dados. A malha de serviço monitora todo o tráfego de entrada e saída dos serviços. No Kubernetes, um proxy é implantado por uma padrão de arquivo secundário aos microsserviços na malha. No Compute Engine, é possível implantar proxies em VMs ou usar gRPC sem proxy no plano de dados.

Esse padrão dissocia a lógica de aplicativo ou de negócios das funções de rede e permite que os desenvolvedores se concentrem nos recursos necessários para os negócios. As malhas de serviço também permitem que as equipes de operações e de desenvolvimento separem o trabalho uma da outra.

Arquitetar os aplicativos como microsserviços oferece muitos benefícios. No entanto, suas cargas de trabalho podem se tornar mais complexas e fragmentadas à medida que são escalonadas. A malha de serviços ajuda a resolver o problema de fragmentação e facilita o gerenciamento dos microsserviços.

O que é o Cloud Service Mesh?

O Cloud Service Mesh é a solução do Google para o Google Cloud e ambientes do GKE Enterprise com suporte.

  • No Google Cloud: o Cloud Service Mesh fornece APIs específicas para a infraestrutura de computação em que as cargas de trabalho são executadas.
  • Fora do Google Cloud: com o Distributed Cloud ou o GKE multicloud, O Cloud Service Mesh oferece suporte às APIs do Istio para Kubernetes do Google Cloud.

Com o Cloud Service Mesh, você pode gerenciar, observar e proteger seus serviços sem precisar mudar o código do aplicativo.

O Cloud Service Mesh reduz as tarefas repetitivas nas operações e no desenvolvimento simplificando a entrega de serviços, desde o gerenciamento de tráfego e a malha e telemetria para proteger as comunicações entre serviços. A plataforma de gerenciamento a malha de serviço permite gerenciar ambientes complexos e aproveitar os benefícios promessa.

Recursos

O Cloud Service Mesh tem um pacote de recursos para gerenciamento de tráfego, observabilidade e telemetria e segurança.

Gerenciamento de tráfego

O Cloud Service Mesh controla o fluxo de tráfego entre os serviços na malha, na malha (entrada) e para serviços externos (saída). Você configura e implantar recursos para gerenciar esse tráfego na camada do aplicativo (L7). Por exemplo, é possível realizar estas ações:

  • Use a descoberta de serviços.
  • Configurar o balanceamento de carga entre serviços.
  • Crie implantações canário e azul-verde.
  • Controle o roteamento dos seus serviços.
  • Configurar disjuntores.

O Cloud Service Mesh mantém uma lista de todos os serviços na malha por nome e pelos respectivos endpoints. Ele mantém essa lista para gerenciar o fluxo de por exemplo, os endereços IP do pod do Kubernetes ou os endereços IP de VMs do Compute Engine em um grupo gerenciado de instâncias). Ao usar esse registro de serviço e executar os proxies lado a lado com os serviços, a malha pode direcionar o tráfego para o endpoint apropriado. Cargas de trabalho gRPC sem proxy também podem ser usados em paralelo com cargas de trabalho por meio de proxies Envoy.

Insights sobre observabilidade

A interface do usuário do Cloud Service Mesh no console do Google Cloud oferece insights sobre a malha de serviço. Essas métricas são geradas automaticamente para cargas de trabalho configuradas pelas APIs do Istio.

  • Métricas e registros de serviço para o tráfego HTTP no GKE da malha cluster do GKE são ingeridos automaticamente no Google Cloud.
  • Os painéis de serviço pré-configurados mostram as informações necessárias para você entender seus serviços.
  • A telemetria detalhada, com a tecnologia do Cloud Monitoring, Cloud Logging e Cloud Trace, permite aprofundar a análise das métricas do serviço e registros. É possível filtrar e segmentar dados em uma ampla variedade de atributos.
  • As relações serviço a serviço ajudam a entender rapidamente as relações entre serviços dependências e quem se conecta a cada serviço.
  • Você pode ver rapidamente a postura de segurança da comunicação não apenas serviço, mas suas relações com outros serviços.
  • Os objetivos de nível de serviço (SLOs, na sigla em inglês) oferecem insights sobre a integridade dos serviços. Você pode definir um SLO e um alerta para seus próprios padrões de integridade de serviço.

Saiba mais sobre os recursos de observabilidade do Cloud Service Mesh na nossa Guia de observabilidade.

Benefícios de segurança

O Cloud Service Mesh oferece muitos benefícios de segurança.

  • Reduz os riscos de ataques de reprodução ou de falsificação de identidade que usam credenciais roubadas. O Cloud Service Mesh depende de certificados de mTLS para autenticar pares, em vez de tokens do portador, como JSON Web Tokens (JWT).
  • Garante a criptografia em trânsito. O uso da mTLS para autenticação também garante que todas as comunicações TCP sejam criptografadas em trânsito.
  • Diminui o risco de clientes não autorizados acessarem um serviço com dados sensíveis independentemente do local da rede do cliente e do nível do aplicativo credenciais.
  • Reduz o risco de violação de dados do usuário na rede de produção. Você pode garantir que pessoas com informações privilegiadas só possam acessar dados sensíveis por clientes autorizados.
  • Identifica quais clientes acessaram um serviço com dados confidenciais. Malha de serviço do Cloud de acesso captura a identidade mTLS do cliente, além da o endereço IP público.
  • Todos os componentes do plano de controle no cluster são criados com módulos de criptografia validados pelo FIPS 140-2.

Saiba mais sobre os benefícios e recursos de segurança do Service Mesh na Guia de segurança.

Opções de implantação

Você tem as seguintes opções de implantação no Cloud Service Mesh:

  • No Google Cloud
    • Cloud Service Mesh gerenciado: plano de dados e controle gerenciado para GKE (recomendado)
    • Cloud Service Mesh gerenciado: controle gerenciado e plano de dados para Compute Engine com VMs (recomendado)
    • Plano de controle no cluster para o GKE com APIs do Istio (desaconselhado)
  • Fora do Google Cloud
    • Plano de controle no cluster para o Kubernetes com APIs do Istio

Cloud Service Mesh gerenciado

O Cloud Service Mesh gerenciado consiste no plano de controle gerenciado para todas as infraestruturas e no plano de dados gerenciado para o GKE. Com o Managed Cloud Service Mesh, o Google lida com upgrades, escalonamento e segurança para você, minimizando a manutenção manual do usuário. Isso inclui o plano de controle, o plano de dados e os recursos relacionados.

Implementação do plano de dados

Se você usa APIs do Google Cloud, o plano de dados pode ser fornecido pelo Envoy proxies ou por aplicativos gRPC sem proxy. Se você estiver atualizando uma aplicativo, a abordagem baseada em arquivo secundário permite a integração na malha sem alterar seu aplicativo. Se você quiser evitar a sobrecarga de execução de um sidecar, atualize o aplicativo para usar o gRPC.

Os proxies Envoy e o gRPC sem proxy usam a API xDS para se conectar ao plano de controle. Se você usa gRPC sem proxy, há várias opções de idiomas com suporte para seus aplicativos, incluindo Go, C++, Java e Python.

Se você usar APIs do Istio de código aberto, seu plano de dados será fornecido por proxies do Envoy.

Implementação do plano de controle

Seu plano de controle do Cloud Service Mesh depende da configuração está ativada ou desativada no Google Cloud e se você é um novo para o cliente.

Implementação do plano de controle para usuários atuais

Para determinar seu plano de controle atual, leia Identificar a implementação do plano de controle. Para mais informações sobre planos de controle e migração do plano de controle, consulte Visão geral do plano de controle gerenciado para clientes contínuos.

Implementação do plano de controle para novos usuários

Migração do plano de controle

Se você for um cliente do Anthos Service Mesh e usar as APIs do Istio, seus clusters vão começar a migrar para o plano de controle do Traffic Director. Você pode continuar usando as APIs do Istio para configuração.

Para determinar se os clusters ainda usam o plano de controle do Istio ou se foram migrados para o novo plano de controle global, leia Identificar a implementação do plano de controle.

A seguir