Projekt und GKE-Cluster selbst einrichten
Wenn Sie Cloud Service Mesh mithilfe von
asmcli
können Sie
Ihr Projekt und Ihren GKE on Google Cloud-Cluster für
durch Angabe des Flags --enable_all
oder des detaillierteren
Aktivierungs-Flags.
Folgen Sie der Anleitung auf dieser Seite, wenn Sie die Änderungen lieber selbst vornehmen möchten, statt dass asmcli
die Änderungen vornimmt.
Wenn Sie bereits eine frühere Version von Cloud Service Mesh installiert haben,
Änderungen an Ihrem Projekt oder Cluster vornehmen, bevor
asmcli
für Upgrade auf die neueste Version
Cloud Service Mesh-Version.
Standardmäßig installiert asmcli
das istio-ingressgateway
nicht. Wir empfehlen, die Steuerungsebene und die Gateways separat bereitzustellen und zu verwalten.
Cloud Service Mesh unterstützt die automatische Injektion für Gateway-Bereitstellungen. Dadurch wird
Einfachere Cloud Service Mesh-Upgrades. Nach dem Upgrade des Cloud Service Mesh starten Sie den
wie Ihre Dienste, um die neue
Konfiguration der Steuerungsebene zu übernehmen.
Weitere Informationen finden Sie unter Gateways installieren und aktualisieren.
Hinweis
- Voraussetzungen und Anforderungen prüfen
- Installation planen oder Upgrade vornehmen
- Installieren Sie die erforderlichen Tools.
Projekt einrichten
Rufen Sie die Projekt-ID für das Projekt ab, in dem der Cluster erstellt wurde.
gcloud
Führen Sie diesen Befehl aus:
gcloud projects list
Console
Wechseln Sie in der Google Cloud Console zur Seite Dashboard.
Klicken Sie oben auf der Seite auf die Drop-down-Liste. Wählen Sie im angezeigten Fenster Auswählen aus Ihr Projekt aus.
Die Projekt-ID wird auf der Dashboard-Karte Projektinformationen des Projekts angezeigt.
Erstellen Sie mithilfe der Projekt-ID eine Umgebungsvariable für den Arbeitslastpool:
export WORKLOAD_POOL=PROJECT_ID.svc.id.goog
Legen Sie die erforderlichen IAM-Rollen (Identitäts- und Zugriffsverwaltung) fest. Wenn Sie Projektinhaber sind, haben Sie alle erforderlichen Berechtigungen, um die Installation abzuschließen. Wenn Sie kein Projektinhaber sind, benötigen Sie jemanden, der Ihnen die folgenden spezifischen IAM-Rollen zuweisen kann. Im ersetzen Sie
PROJECT_ID
durch den Projekt-ID aus dem vorherigen Schritt undGCP_EMAIL_ADDRESS
mit dem Konto, mit dem Sie sich in Google Cloud anmelden.ROLES=( 'roles/servicemanagement.admin' \ 'roles/serviceusage.serviceUsageAdmin' \ 'roles/meshconfig.admin' \ 'roles/compute.admin' \ 'roles/container.admin' \ 'roles/resourcemanager.projectIamAdmin' \ 'roles/iam.serviceAccountAdmin' \ 'roles/iam.serviceAccountKeyAdmin' \ 'roles/gkehub.admin') for role in "${ROLES[@]}" do gcloud projects add-iam-policy-binding PROJECT_ID \ --member "user:GCP_EMAIL_ADDRESS" \ --role="$role" done
Wenn Sie das Flag
--enable_all
oder--enable_gcp_iam_roles
einfügen, Führen Sieasmcli
aus, werden die erforderlichen IAM-Rollen für Sie festgelegt.Aktivieren Sie die erforderlichen Google APIs:
gcloud services enable \ --project=PROJECT_ID \ mesh.googleapis.com
Neben
mesh.googleapis.com
werden mit diesem Befehl auch folgende APIs aktiviert:API Zweck Kann deaktiviert werden? meshconfig.googleapis.com
Cloud Service Mesh verwendet die Mesh Configuration API, um Konfigurationsdaten von Ihrem Mesh an Google Cloud weiterzuleiten. Wenn Sie die Mesh Configuration API aktivieren, können Sie außerdem auf die Cloud Service Mesh-Seiten in der Google Cloud Console zugreifen und die Cloud Service Mesh-Zertifizierungsstelle verwenden. Nein meshca.googleapis.com
Bezieht sich auf die Cloud Service Mesh-Zertifizierungsstelle, die vom verwalteten Cloud Service Mesh verwendet wird. Nein container.googleapis.com
Erforderlich zum Erstellen von Google Kubernetes Engine-Clustern (GKE). Nein gkehub.googleapis.com
Erforderlich, um das Mesh als Flotte zu verwalten. Nein monitoring.googleapis.com
Erforderlich zum Erfassen von Telemetrie für Mesh-Arbeitslasten. Nein stackdriver.googleapis.com
Erforderlich für die Verwendung der Dienste-UI. Nein opsconfigmonitoring.googleapis.com
Erforderlich, um die Dienste-UI für Cluster außerhalb von Google Cloud zu verwenden. Nein connectgateway.googleapis.com
Erforderlich, damit die verwaltete Cloud Service Mesh-Steuerungsebene auf Mesh-Arbeitslasten zugreifen kann. Ja* trafficdirector.googleapis.com
Ermöglicht eine hochverfügbare und skalierbare verwaltete Steuerungsebene. Ja* networkservices.googleapis.com
Ermöglicht eine hochverfügbare und skalierbare verwaltete Steuerungsebene. Ja* networksecurity.googleapis.com
Ermöglicht eine hochverfügbare und skalierbare verwaltete Steuerungsebene. Ja* Die Aktivierung der APIs kann einige Minuten dauern. Wenn die APIs aktiviert sind, sieht die Ausgabe in etwa so aus:
Operation "operations/acf.601db672-88e6-4f98-8ceb-aa3b5725533c" finished successfully.
Wenn Sie bei der Ausführung das Flag
--enable_all
oder--enable_apis
angebenasmcli
aktiviert, werden die erforderlichen APIs für Sie aktiviert.
Cluster einrichten
Wenn Sie den Parameter-Flag --enable_all
oder einen der detaillierteren
Flags für die Aktivierung einschließen, richtet das asmcli
-Skript Ihren Cluster für Sie ein.
Legen Sie die Standardzone oder -region für Google Cloud-CLI fest. Wenn Sie hier keine Standardeinstellung festlegen, müssen Sie in den
gcloud container clusters
-Befehlen auf dieser Seite entweder die Option--zone
oder--region
angeben.Wenn Sie einen Cluster mit einer einzelnen Zone haben, legen Sie die Standardzone fest:
gcloud config set compute/zone CLUSTER_LOCATION
Wenn Sie einen regionalen Cluster haben, legen Sie die Standardregion fest:
gcloud config set compute/region CLUSTER_LOCATION
Workload Identity aktivieren:
gcloud container clusters update CLUSTER_NAME \ --project=PROJECT_ID \ --workload-pool=${WORKLOAD_POOL}
Die Aktivierung von Workload Identity kann bis zu 10 bis 15 Minuten dauern.
Initialisieren Sie Ihr Projekt, um es für die Installation vorzubereiten. Mit diesem Befehl wird unter anderem ein Dienstkonto erstellt, mit dem Komponenten der Datenebene, wie der Sidecar-Proxy, sicher auf die Daten und Ressourcen Ihres Projekts zugreifen können. Ersetzen Sie im folgenden Befehl
FLEET_PROJECT_ID
durch das Flottenhostprojekt.curl --request POST \ --header "Authorization: Bearer $(gcloud auth print-access-token)" \ --header "Content-Type: application/json" \ --data '{"workloadIdentityPools":["FLEET_PROJECT_ID.hub.id.goog","FLEET_PROJECT_ID.svc.id.goog","PROJECT_ID.svc.id.goog"]}' \ "https://meshconfig.googleapis.com/v1alpha1/projects/PROJECT_ID:initialize"
Der Befehl gibt ein Paar leere geschweifte Klammern zurück:
{}
Aktivieren Sie Cloud Monitoring und Cloud Logging in GKE:
gcloud container clusters update CLUSTER_NAME \ --project=PROJECT_ID \ --enable-stackdriver-kubernetes
Ihr Projekt und Ihr Cluster sind jetzt für eine neue Installation mit asmcli
bereit.