Pianificazione di un'installazione

Questa pagina fornisce informazioni utili per pianificare una nuova installazione di Cloud Service Mesh.

Personalizzare il piano di controllo

Le funzionalità supportate da Cloud Service Mesh variano a seconda della piattaforma. I nostri suggerimenti di esaminare le Funzionalità supportate per scopri quali funzionalità sono supportate sulla tua piattaforma. Alcune funzionalità sono attive per impostazione predefinita e altre opzioni che puoi abilitare se possono essere attivate creando un IstioOperator file di overlay. Quando esegui asmcli install, puoi personalizzare il piano di controllo specificando il --custom_overlay con il file di overlay. Come best practice, ti consigliamo di risparmiare i file degli overlay nel sistema di controllo della versione.

La anthos-service-mesh in GitHub contiene molti file di overlay. Questi file contengono personalizzazioni alla configurazione predefinita. Puoi utilizzare questi file mentre o apportare modifiche aggiuntive in base alle necessità. Alcuni file sono tenuti a abilitare le funzionalità facoltative di Cloud Service Mesh. Il pacchetto anthos-service-mesh viene scaricato quando esegui asmcli in convalida il progetto e il cluster.

Quando installi Cloud Service Mesh utilizzando asmcli install, puoi specificare uno o più file di overlay con --option o --custom_overlay. Se non devi apportare modifiche ai file in anthos-service-mesh repository, puoi utilizzare --option e lo script recupera il file da GitHub per te. Altrimenti, puoi apportare modifiche al file dell'overlay e utilizzare --custom_overlay per passarlo a asmcli.

Scegli un'autorità di certificazione

A seconda del caso d'uso, della piattaforma e del tipo di piano di controllo (in-cluster o gestite), puoi scegliere una delle seguenti autorità di certificazione (CA) per emissione del TLS reciproca (mTLS) certificati:

Questa sezione fornisce informazioni generali su ciascuna di queste opzioni di CA e nei loro casi d'uso.

CA mesh

A meno che tu non abbia bisogno di una CA personalizzata, ti consigliamo di usare Autorità di certificazione Cloud Service Mesh per i seguenti motivi:

  • L'autorità di certificazione Cloud Service Mesh è un servizio altamente affidabile e scalabile, e ottimizzato per carichi di lavoro con scalabilità dinamica.
  • Con l'autorità di certificazione Cloud Service Mesh, Google gestisce la sicurezza e la disponibilità del backend della CA.
  • L'autorità di certificazione Cloud Service Mesh ti consente di affidarti a un'unica radice di attendibilità tra cluster.

I certificati emessi dall'autorità di certificazione Cloud Service Mesh includono i seguenti dati su dei servizi della tua applicazione:

  • ID del progetto Google Cloud
  • Lo spazio dei nomi GKE
  • Il nome dell'account di servizio GKE

Servizio CA

Oltre a Mesh CA, puoi configurare Cloud Service Mesh per utilizzare Certificate Authority Service. Questo offre l'opportunità di eseguire l'integrazione con CA Service, consigliato per i seguenti casi d'uso:

  • Se sono necessarie autorità di certificazione diverse per firmare i certificati dei carichi di lavoro su cluster diversi.
  • Se vuoi utilizzare istiod certificati plug-in CA personalizzati.
  • Se devi eseguire il backup delle chiavi di firma in un HSM gestito.
  • Se operi in un settore altamente regolamentato e sei soggetto a conformità.
  • Se vuoi collegare la tua CA Cloud Service Mesh a una radice aziendale personalizzata per firmare i certificati dei carichi di lavoro.

Il costo di Mesh CA è incluso nella Prezzi di Cloud Service Mesh. La CA Service non è incluso nel prezzo base di Cloud Service Mesh ed è con un addebito separato. Inoltre, CA Service include SLA esplicito, al contrario della CA mesh.

Per questa integrazione, sono concessi tutti i carichi di lavoro in Cloud Service Mesh Ruoli IAM:

  • privateca.workloadCertificateRequester
  • privateca.auditor
  • privateca.template (obbligatorio se utilizzi un modello di certificato)

CA Istio

Ti consigliamo di utilizzare Istio CA se soddisfi i seguenti criteri:

  • Il tuo mesh utilizza già Istio CA e non è necessario disporre dei vantaggi abilitati Autorità di certificazione o servizio CA di Cloud Service Mesh.
  • Hai bisogno di una CA radice personalizzata.
  • Hai carichi di lavoro esterni a Google Cloud in cui Il servizio CA gestito da Google Cloud non è accettabile.

Prepara la configurazione del gateway

Cloud Service Mesh ti offre la possibilità di eseguire il deployment dei gateway e gestirli del tuo mesh di servizi. Un gateway descrive un bilanciatore del carico che opera a livello perimetrale del mesh che riceve connessioni HTTP/TCP in entrata o in uscita. I gateway sono Proxy Envoy che forniscono un controllo granulare sul traffico in entrata senza uscire dalla rete.

asmcli non installa istio-ingressgateway. Ti consigliamo di il deployment e la gestione del piano di controllo e dei gateway separatamente. Per maggiori informazioni consulta Installazione e upgrade dei gateway.

Passaggi successivi