Pré-requisitos do Cloud Service Mesh

Esta página descreve os pré-requisitos e os requisitos para instalar Cloud Service Mesh, como o licenciamento do GKE Enterprise, requisitos de cluster, frota e requisitos gerais.

do Google Cloud

Antes de começar:

• Selecione ou crie um projeto do Google Cloud.

• Verifique se o faturamento foi ativado para o projeto.

Licenciamento do GKE Enterprise

GKE;

O Cloud Service Mesh está disponível com o GKE Enterprise ou como um serviço independente. As APIs do Google são usadas para determinar como você é cobrado. Para usar o Cloud Service Mesh como um serviço independente, não ative a API GKE Enterprise no seu projeto. O asmcli ativa para você todas as outras APIs do Google necessárias. Para Para mais informações sobre os preços do Cloud Service Mesh, consulte Preços.

• Os assinantes do GKE Enterprise precisam ativar a API GKE Enterprise.

Ativar a API

• Se você não for assinante do GKE Enterprise, ainda poderá instalar o Cloud Service Mesh, mas alguns elementos e recursos UI no console do Google Cloud disponível apenas para assinantes do GKE Enterprise. Para informações sobre o que está disponível para inscritos e não inscritos, veja Diferenças entre a interface do GKE Enterprise e do Cloud Service Mesh.

• Se você ativou a API GKE Enterprise, mas quer usar o Cloud Service Mesh como um serviço independente, desativar a API GKE Enterprise.

Fora do Google Cloud

Para instalar o Cloud Service Mesh no local, no GKE na AWS, em Amazon EKS, ou Microsoft AKS, você precisa ser um cliente do GKE Enterprise. Os clientes do GKE Enterprise não são cobrados separadamente pelo Cloud Service Mesh porque ela já está incluída nos preços do GKE Enterprise. Para mais informações, consulte o Guia de preços do GKE Enterprise.

Requisitos gerais

• Para serem incluídos na malha de serviço, as portas precisam ser nomeadas, e o nome precisa incluir o protocolo da porta na seguinte sintaxe: name: protocol[-suffix], em que os colchetes indicam um sufixo opcional que precisa começar com um traço. Saiba mais em Como nomear portas de serviço.

• Se você criou um perímetro de serviço na sua organização, talvez seja necessário adicionar o serviço de autoridade certificadora ao perímetro. Consulte Como adicionar a autoridade certificadora do Cloud Service Mesh a um perímetro de serviço para mais informações.

• Se você quiser alterar os limites de recursos padrão do contêiner secundário istio-proxy, os novos valores precisarão ser maiores que os padrão para evitar eventos de memória (OOM).

• Um projeto do Google Cloud só pode ter uma malha associada a ele.

Requisitos de cluster

GKE

• Verifique se a versão do cluster está listada em Plataformas compatíveis.

• Seu cluster do GKE precisa atender aos seguintes requisitos:

  • O cluster do GKE precisa ser padrão. Os clusters do Autopilot são compatível apenas com o Cloud Service Mesh gerenciado.

  • Um tipo de máquina que tem pelo menos 4 vCPUs, como e2-standard-4. Se o tipo de máquina do cluster não tiver pelo menos 4 vCPUs, altere o tipo de máquina conforme descrito em Como migrar cargas de trabalho para diferentes tipos de máquina.

  • O número mínimo de nós depende do seu tipo de máquina. Malha de serviço do Cloud requer pelo menos 8 vCPUs. Se o tipo de máquina tiver 4 vCPUs, o cluster precisará ter pelo menos 2 nós. Se o tipo de máquina tiver 8 vCPUs, o cluster precisará apenas de 1 nó. Se for preciso adicionar nós, veja Como redimensionar um cluster.

• A identidade da carga de trabalho do GKE é obrigatória. Recomendamos que você ative a Identidade da carga de trabalho. antes de instalar o Cloud Service Mesh. A ativação da Identidade da carga de trabalho altera a forma como as chamadas das cargas de trabalho para as APIs do Google são protegidas, conforme descrito em Limitações da Identidade da carga de trabalho. Não é necessário ativar o servidor de metadados do GKE em Pools de nós atuais.

• Como opção recomendada, inscreva o cluster em um canal de lançamento. Recomendamos que você se inscreva no canal de lançamento Regular porque outros podem ser baseados em uma versão do GKE que não é compatível com o Cloud Service Mesh 1.23.2. Para mais informações, consulte Plataformas compatíveis. Siga as instruções em Como registrar um cluster existente em um canal de lançamento se você tiver uma versão estática do GKE.

• Se você estiver instalando o Cloud Service Mesh em um cluster particular, será necessário abrir a porta no firewall para receber os webhooks usados para injeção automática de arquivos secundários e configuração para funcionar. Para mais informações, consulte Como abrir uma porta em um cluster particular.

• Verifique se a máquina cliente usada para instalar o Cloud Service Mesh tem conectividade de rede com o servidor da API.

• O Cloud Service Mesh não é compatível com as cargas de trabalho do Windows Server. Se as tem pools de nós do Linux e do Windows Server, ainda é possível e use o Cloud Service Mesh nas suas cargas de trabalho do Linux.

• Depois de provisionar o Cloud Service Mesh, você precisa entre em contato com o suporte antes de iniciar Rotação de IP ou rotação de credenciais de certificados.

Fora do Google Cloud

• Verifique se o cluster de usuário em que você instala o Cloud Service Mesh tem pelo menos pelo menos 4 vCPUs, 15 GB de memória e 4 nós.

• Verifique se a versão do cluster está listada em Plataformas compatíveis.

• Verifique se a máquina cliente usada para instalar o Cloud Service Mesh tem conectividade de rede com o servidor da API.

• Para implantar sidecars em pods de aplicativos em que a conectividade direta com os serviços de CA (como meshca.googleapis.com e privateca.googleapis.com) não está disponível, configure um proxy HTTPS explícito baseado em CONNECT.

• Para clusters públicos com regras de firewall de saída definidas que bloqueiam regras implícitas, verifique se você configurou regras HTTP/HTTPS e DNS para acessar as APIs públicas do Google.

Requisitos de frota

Com o Cloud Service Mesh 1.11 e mais recente, todos os clusters precisam ser registrados fleet e identidade da carga de trabalho da frota precisa ser ativada. É possível configurar os clusters por conta própria ou permitir que asmcli registre os clusters, desde que eles atendam aos seguintes requisitos:

Cuidado: todos os clusters do Cloud Service Mesh de uma malha precisam ser registrados para a mesma frota sempre para usar o Cloud Service Mesh. Outros clusters da o projeto de um cluster do Cloud Service Mesh não pode ser registrado em um frota.

• GKE: (se aplica ao Cloud Service Mesh gerenciado e no cluster) Ativar a Identidade da carga de trabalho do GKE no cluster do Google Kubernetes Engine, caso ainda não esteja ativado. Além disso, é necessário registrar o cluster usando a Identidade da carga de trabalho da frota.

• Clusters do GKE fora do Google Cloud: (se aplica ao Cloud Service Mesh no cluster) O Google Distributed Cloud, Google Distributed Cloud, GKE na AWS O GKE no Azure está registradas automaticamente na frota do projeto no momento da criação do cluster. A partir do GKE Enterprise 1.8, todos esses tipos de cluster ativam automaticamente a Identidade da carga de trabalho da frota quando registrados. Os clusters registrados que já existem são atualizados para usar a Identidade da carga de trabalho da frota quando fazem upgrade para o GKE Enterprise 1.8.

• Clusters do Amazon EKS: (aplica-se ao Cloud Service Mesh no cluster) o cluster precisa ter um provedor de identidade OIDC do IAM público. Siga as instruções Crie um provedor OIDC do IAM para o cluster para verificar se existe um provedor e criar um, se necessário.

Ao executar asmcli install, você especifica o ID do projeto host da frota. asmcli registra o cluster se ainda não estiver registrado.

Observação: se você não registrou um cluster de um projeto para uma frota hospedada em um projeto diferente antes, há etapas extras necessárias para configurar as permissões da frota. Para instruções detalhadas, consulte Conceder permissões para registrar um cluster em um projeto diferente.

A seguir

• Planejar uma nova instalação
• Planejar um upgrade