自行设置项目和集群

使用以下代码安装 Cloud Service Mesh 时 asmcli，它可以配置项目和集群如果添加了 --enable_all 标记或更为精细的启用标志。如果您希望自行设置，而不是让 asmcli 进行更改，请按照本页面中的步骤操作。

如果您已安装旧版 Cloud Service Mesh，那么在使用 asmcli 升级至最新 Cloud Service Mesh 版本之前，无需对项目或集群进行任何更改。

默认情况下，asmcli 不会安装 istio-ingressgateway。我们建议您单独部署和管理控制平面和网关。Cloud Service Mesh 支持网关部署的自动注入，这使得 Cloud Service Mesh 升级更容易。升级 Cloud Service Mesh 后，您需要重启选择新的控制平面配置。如需了解详情，请参阅安装和升级网关。

准备工作

查看前提条件和要求（Google Cloud 外部、GKE）
规划安装（Google Cloud 外部、GKE）或升级
安装所需工具（Google Cloud 外部、GKE）

设置项目

获取集群所属的项目的 ID 创建于其中。
gcloud
运行以下命令：
```
gcloud projects list
```
控制台
1. 前往 Google Cloud 控制台中的信息中心页面。
  
  转到“信息中心”页面
2. 点击页面顶部的下拉列表。在随即显示的请选择：窗口中，选择您的项目。
  
  项目 ID 会显示在项目信息中心的项目信息卡片上。
使用项目 ID 为工作负载池创建环境变量：
```
export WORKLOAD_POOL=PROJECT_ID.svc.id.goog
```

设置所需的 Identity and Access Management (IAM) 角色。如果您是 Project Owner，则拥有完成安装所需的全部权限。如果您不是 Project Owner，则需要有人授予您以下特定 IAM 角色。在请将 PROJECT_ID 替换为上一步中的项目 ID 和 GCP_EMAIL_ADDRESS 登录 Google Cloud 账号。

ROLES=(
'roles/servicemanagement.admin' \
'roles/serviceusage.serviceUsageAdmin' \
'roles/meshconfig.admin' \
'roles/compute.admin' \
'roles/container.admin' \
'roles/resourcemanager.projectIamAdmin' \
'roles/iam.serviceAccountAdmin' \
'roles/iam.serviceAccountKeyAdmin' \
'roles/gkehub.admin')
for role in "${ROLES[@]}"
do
  gcloud projects add-iam-policy-binding PROJECT_ID \
    --member "user:GCP_EMAIL_ADDRESS" \
    --role="$role"
done

如果您在运行 asmcli 时添加 --enable_all 或 --enable_gcp_iam_roles 标志，它会为您设置所需的 IAM 角色。

启用所需的 Google API：

gcloud services enable \
    --project=PROJECT_ID \
    mesh.googleapis.com

除了 mesh.googleapis.com 之外，此命令还会启用以下 API：

API	用途	是否可以停用
`meshconfig.googleapis.com`	Cloud Service Mesh 使用 Mesh Configuration API 将配置数据从网格中继到 Google Cloud。此外，通过启用 Mesh Configuration API，您还可以在 Google Cloud 控制台中访问 Cloud Service Mesh 页面，并使用 Cloud Service Mesh 证书授权机构。	否
`meshca.googleapis.com`	与托管式 Cloud Service Mesh 使用的 Cloud Service Mesh 证书授权机构相关。	否
`container.googleapis.com`	必须启用此 API 才能创建 Google Kubernetes Engine (GKE) 集群。	否
`gkehub.googleapis.com`	必须启用此 API 才能以舰队形式管理网格。	否
`monitoring.googleapis.com`	必须启用此 API 才能捕获网格工作负载的遥测数据。	否
`stackdriver.googleapis.com`	必须启用此 API 才能使用服务界面。	否
`opsconfigmonitoring.googleapis.com`	必须启用此 API 才能将服务界面用于 Google Cloud 外部的集群。	否
`connectgateway.googleapis.com`	必须执行此操作，代管式 Cloud Service Mesh 控制平面才能访问网格工作负载。	是*
`trafficdirector.googleapis.com`	实现可用性高且可伸缩的托管式控制平面。	是*
`networkservices.googleapis.com`	实现可用性高且可伸缩的托管式控制平面。	是*
`networksecurity.googleapis.com`	实现可用性高且可伸缩的托管式控制平面。	是*

启用 API 可能需要 1 分钟或更长时间才能完成。启用这些 API 后，您将看到如下输出：

Operation "operations/acf.601db672-88e6-4f98-8ceb-aa3b5725533c" finished
successfully.

如果您在运行 asmcli 时添加 --enable_all 或 --enable_apis 标志，则会为您启用所需的 API。

设置集群

如果您添加 --enable_all 标志或更精细的启用标志，asmcli 脚本会为您设置集群。

将集群注册到舰队。
初始化您的项目，以便准备好安装。除了其他操作，以下命令还会创建一个服务账号，可让数据平面组件（例如边车代理）安全地访问您的项目的数据和资源：在以下命令中，将 FLEET_PROJECT_ID 替换为舰队宿主项目

警告：如果您的 FLEET_PROJECT_ID 与 PROJECT_ID 相同，请从以下命令中移除 "FLEET_PROJECT_ID.hub.id.goog",。否则，您会收到因 INVALID_ARGUMENT 而导致的错误代码。
```
curl --request POST  \
 --header "Authorization: Bearer $(gcloud auth print-access-token)" \
 --header "Content-Type: application/json" \
 --data '{"workloadIdentityPools":["FLEET_PROJECT_ID.hub.id.goog","FLEET_PROJECT_ID.svc.id.goog","PROJECT_ID.svc.id.goog"]}' \
 "https://meshconfig.googleapis.com/v1alpha1/projects/PROJECT_ID:initialize"
```
该命令会以空花括号作为响应：{}
对于 Google Cloud 上的 GKE 集群，请为 Google Cloud CLI 设置默认可用区或区域。如果您未在此处设置默认值，请务必在本页面的 gcloud container clusters 命令中指定 --zone 或 --region 选项。
- 如果您有一个单可用区集群，请设置默认可用区：
```
gcloud config set compute/zone CLUSTER_LOCATION
```
- 如果您有一个区域级集群，请设置默认区域：
```
gcloud config set compute/region CLUSTER_LOCATION
```
对于 GKE on Google Cloud 集群，请启用 Workload Identity：
```
gcloud container clusters update CLUSTER_NAME \
    --project=PROJECT_ID \
    --workload-pool=${WORKLOAD_POOL}
```
启用 Workload Identity 最长可能需要 10 到 15 分钟。

对于 GKE on Google Cloud 集群，请启用 GKE 上的 Cloud Monitoring 和 Cloud Logging：

gcloud container clusters update CLUSTER_NAME \
    --project=PROJECT_ID \
    --enable-stackdriver-kubernetes

您的项目和集群现在已准备好使用 asmcli 进行新的安装。