Stai visualizzando la documentazione di Service Mesh della versione 1.22.

Versioni disponibili

Cloud Service Mesh
Archivio 1.22
Archivio 1.21
Archivio 1.20
Archivio 1.19
Archivio 1.18

Questa pagina è stata tradotta dall'API Cloud Translation.

Preparati alla configurazione delle API di routing dei servizi con Envoy e carichi di lavoro senza proxy

Questo documento fornisce informazioni sulle attività preliminari per la configurazione Cloud Service Mesh utilizzando le API di routing dei servizi con proxy Envoy o con gRPC senza proxy come piano dati.

La configurazione di Cloud Service Mesh include diverse fasi. Questo documento descrive la prima fase: istruzioni per la preparazione alla configurazione di Cloud Service Mesh con istanze VM o applicazioni gRPC proxyless. Le fasi aggiuntive sono trattate nelle guide specifiche per la piattaforma elencate in Continuare la procedura di configurazione più avanti in questo documento.

Prima di leggere questa guida, consulta i seguenti documenti, che forniscono una panoramica dell'utilizzo di Cloud Service Mesh con le API di routing dei servizi e le API Gateway:

Prerequisiti

Prepara l'ambiente completando le seguenti attività:

Configura progetti in base alle tue esigenze aziendali.
Abilita la fatturazione.
Concedi le autorizzazioni richieste.
Abilita l'API Traffic Director e altre API per il tuo progetto.
Assicurati che l'account di servizio disponga delle autorizzazioni sufficienti per accedere all'API Traffic Director.
Abilita l'API Cloud DNS e configura Cloud DNS.

Le sezioni seguenti forniscono istruzioni per ogni attività.

Configura progetti

Per configurare e gestire i tuoi progetti, consulta Creazione e gestione dei progetti e documentazione correlata.

Abilita fatturazione

Verifica che la fatturazione sia attivata per il tuo progetto Google Cloud. Per maggiori informazioni informazioni, consulta Abilitare, disabilitare o modificare la fatturazione per un progetto.

Concedi le autorizzazioni IAM richieste

Devi disporre di autorizzazioni di Identity and Access Management (IAM) sufficienti per creare una VM e modificare una rete per configurare Cloud Service Mesh. Se disponi del ruolo Proprietario o Editor (roles/owner o roles/editor) del progetto in cui attivi Cloud Service Mesh, hai automaticamente le autorizzazioni corrette.

In caso contrario, devi disporre di tutti i ruoli IAM indicati in seguente. Se disponi di questi ruoli, hai anche le autorizzazioni associate, come descritto nella documentazione IAM di Compute Engine.

Attività	Ruolo richiesto
Imposta il criterio IAM per un account di servizio.	Amministratore account di servizio (`roles/iam.serviceAccountAdmin`)
Attiva Cloud Service Mesh.	Amministratore dell'utilizzo dei servizi (`roles/serviceusage.serviceUsageAdmin`)
Crea reti, subnet e componenti del bilanciatore del carico.	Amministratore rete Compute (`roles/compute.networkAdmin`)
Aggiungi e rimuovi le regole firewall.	Amministratore sicurezza Compute (`roles/compute.securityAdmin`)
Crea istanze.	Amministratore di istanze Compute (`roles/compute.instanceAdmin`)
Consente l'accesso agli account di servizio.	Utente account di servizio (`roles/iam.serviceAccountUser`)
Abilita l'account di servizio per eseguire le attività richieste.	Utente account di servizio (`roles.trafficdirector.client)`

Le VM Compute Engine devono avere l'ambito https://www.googleapis.com/auth/cloud-platform. Per ulteriori informazioni, vedi Risoluzione dei problemi dei deployment che utilizzano gRPC senza proxy.

Abilita l'account di servizio per accedere all'API Traffic Director

Quando configuri il piano dati e lo colleghi a Cloud Service Mesh, I client xDS, che si tratti di proxy Envoy o client gRPC senza proxy, si connettono al server xDS trafficdirector.googleapis.com. Questi client xDS presentano un'identità dell'account di servizio al server xDS per garantire che le comunicazioni tra il piano dati e il piano di controllo siano correttamente autorizzate.

Per una VM di Compute Engine, il client xDS utilizza l'account di servizio assegnati alla VM.

A meno che tu non modifichi la configurazione, Google Cloud utilizza l'account di servizio predefinito di Compute Engine.

Per concedere all'account di servizio l'accesso all'API Traffic Director, segui le seguenti istruzioni.

Console

Nella console Google Cloud, vai alla pagina IAM e amministrazione.

Vai a IAM e Amministratore
Seleziona il progetto.
Identifica l'account di servizio a cui vuoi aggiungere un ruolo:
- Se l'account di servizio non è già nell'elenco Membri, può non ha ruoli assegnati. Fai clic su Add (Aggiungi) e inserisci l'indirizzo email dell'account di servizio.
- Se l'account di servizio è già nell'elenco Membri, ha ruoli esistenti. Seleziona l'account di servizio, quindi fai clic sull'icona Scheda Ruoli.
Espandi il ruolo. Per l'account di servizio che vuoi modificare, fai clic su Modifica.
Seleziona il ruolo Altro > Client Traffic Director.
Per applicare il ruolo all'account di servizio, fai clic su Salva.

gcloud

Esegui questo comando:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Sostituisci quanto segue:

PROJECT: inserisci gcloud config get-value project
SERVICE_ACCOUNT_EMAIL: l'indirizzo email associato all'account servizio

Abilita le API richieste

Abilita le seguenti API obbligatorie.

osconfig.googleapis.com
trafficdirector.googleapis.com
compute.googleapis.com
networkservices.googleapis.com

Per abilitare le API richieste, segui le istruzioni riportate di seguito.

Console

Nella console Google Cloud, vai alla pagina Libreria API del tuo progetto.

Vai alla libreria API
Nel campo Cerca API e servizi, inserisci Traffic Director.
Nell'elenco dei risultati di ricerca, fai clic su API Traffic Director. Se non vedi l'API Traffic Director in elenco, significa che non disponi delle autorizzazioni necessarie per abilitarla.
Nella pagina dell'API Traffic Director, fai clic su Abilita.
Nella sezione Cerca API e Services, inserisci OS Config.
Nell'elenco dei risultati di ricerca, fai clic su Configurazione OS. Se non vedi l'API OS Config elencata, significa che non disponi delle autorizzazioni necessarie per abilitare l'API Traffic Director.
Nella pagina API OS Config, fai clic su Abilita.
Nella sezione Cerca API e Services, inserisci Compute.
Nell'elenco dei risultati di ricerca, fai clic su API Compute Engine. Se non vedi il dall'API Compute Engine, vuol dire che non hai autorizzazioni per abilitare l'API Compute Engine.
Nella pagina API Compute Engine, fai clic su Abilita.
Nel campo Cerca API e servizi, inserisci Network Services.
Nell'elenco dei risultati di ricerca, fai clic su API Network Services. Se non vedi il l'API Network Services elencata, significa che non si dispone dei le autorizzazioni per abilitare l'API Network Services.
Nella pagina API Network Services, fai clic su Abilita.

gcloud

Esegui questo comando:

gcloud services enable osconfig.googleapis.com \
trafficdirector.googleapis.com \
compute.googleapis.com \
networkservices.googleapis.com

Versione xDS

Le API di routing dei servizi richiedono l'utilizzo di xDS 3. Per informazioni sull'aggiornamento il deployment da xDS v2 a xDS v3, consulta API del piano di controllo xDS.

Requisiti aggiuntivi con i proxy Envoy

Questa sezione descrive requisiti aggiuntivi per l'utilizzo di Cloud Service Mesh con le API di routing dei servizi e i proxy Envoy. Se esegui il deployment con gRPC senza proxy, consulta Requisiti aggiuntivi con gRPC senza proxy.

Come viene installato Envoy

Durante il processo di deployment di Cloud Service Mesh, crei un modello VM che installa automaticamente Envoy sulle VM in cui vengono eseguite le applicazioni.

Informazioni sulle versioni di Envoy

Envoy deve avere la versione 1.20.0 o successiva per funzionare con Cloud Service Mesh. Ti consigliamo di utilizzare sempre la versione più recente di Envoy per assicurarti che le vulnerabilità di sicurezza conosciute siano mitigate.

Se decidi di eseguire il deployment di Envoy utilizzando uno dei nostri metodi automatici, gestiamo questa attività per te:

Il deployment automatizzato di Envoy con le VM di Compute Engine installa Envoy convalidata per l'uso con Cloud Service Mesh. Quando viene creata una nuova VM utilizzando il modello di istanza, la VM riceve all'ultima versione che abbiamo convalidato. Se hai una VM di lunga durata, puoi utilizzare un aggiornamento progressivo per sostituire le VM esistenti e installare la versione più recente.

Per informazioni su versioni specifiche di Envoy, consulta Cronologia delle versioni. Per informazioni sulle vulnerabilità di sicurezza, vedi Avvertenze sulla sicurezza.

Requisiti aggiuntivi con gRPC senza proxy

Questa sezione descrive i requisiti aggiuntivi per l'utilizzo di Cloud Service Mesh con le API di routing dei servizi e gRPC senza proxy. Se esegui il deployment con Envoy consulta Requisiti aggiuntivi per i proxy Envoy.

Processo complessivo con gRPC senza proxy

Segui questa procedura generale per configurare le applicazioni gRPC proxyless in un mesh di servizi:

Aggiorna i client gRPC alla versione più recente di gRPC, con la versione una nuova patch.
Aggiorna i prodotti o servizi dei tuoi clienti Schema del resolver del nome gRPC quando crei un canale per specificare un file di bootstrap di Cloud Service Mesh.
Configura le risorse Cloud Service Mesh e Cloud Load Balancing.

Questo documento fornisce informazioni per completare i primi due passaggi. La procedura di configurazione utilizzata per il passaggio 3 dipende dal fatto che il deployment utilizzi VM Compute Engine o gruppi di endpoint di rete (NEG) GKE.

Lingue e versioni di gRPC supportati

gRPC è un progetto open source e il relativo supporto delle release è descritto nelle Domande frequenti su gRPC. Ti consigliamo di utilizzare la versione più recente di gRPC per garantire che le le vulnerabilità della sicurezza vengono ridotte. In questo modo, le tue applicazioni hanno accesso alle funzionalità più recenti supportate da Cloud Service Mesh. Le funzionalità di service mesh supportate in varie implementazioni e versioni di gRPC sono elencate su GitHub. Per un elenco di linguaggi e funzionalità gRPC supportati con Cloud Service Mesh e i servizi gRPC proxyless, consulta le funzionalità di Cloud Service Mesh.

Cloud Service Mesh mantiene la compatibilità con le versioni correnti e supportate di gRPC e si impegna a essere compatibile con le versioni di gRPC precedenti a un anno, in conformità ai Termini di servizio della piattaforma Google Cloud.

Aggiorna i client gRPC

Aggiorna la libreria gRPC nell'applicazione alla versione che supporta le funzionalità di cui hai bisogno. Per maggiori dettagli, consulta la sezione precedente.

Aggiungi il name-resolver xDS come dipendenza dalle applicazioni gRPC. I requisiti per lingua per Java e Go sono riportati nelle sezioni seguenti. Per altre lingue non sono previsti requisiti aggiuntivi.

Requisiti Java

In Java, se utilizzi Gradle, aggiungi la dipendenza grpc-xds al file build.gradle. Sostituisci LATEST_GRPC_VERSION con l'ultima versione gRPC.

dependencies {
  runtimeOnly 'io.grpc:grpc-xds:LATEST_GRPC_VERSION'
}

Se utilizzi Maven, aggiungi quanto segue alla sezione <dependencies> di pom.xml. Sostituisci LATEST_GRPC_VERSION con l'ultima versione di gRPC.

    <dependency>
      <groupId>io.grpc</groupId>
      <artifactId>grpc-xds</artifactId>
      <version>LATEST_GRPC_VERSION</version>
      <scope>runtime</scope>
    </dependency>

Requisiti di Go

Se utilizzi Go, importa il pacchetto Go xds.

Imposta il resolver dei nomi gRPC per utilizzare `xds`

Imposta o modifica le applicazioni gRPC in modo che utilizzino lo schema di risoluzione dei nomi xds nell'URI di destinazione anziché DNS o qualsiasi altro schema di resolver. Per farlo, usa il prefisso xds:/// nel nome target quando crei un canale gRPC. Il bilanciamento del carico per i client gRPC si basa sul canale.

Includi il nome del servizio utilizzato nell'URI di destinazione nella configurazione di Cloud Service Mesh. Ad esempio, in Java, crei il canale utilizzando questa struttura, in cui il nome del servizio è helloworld:

ManagedChannelBuilder.forTarget("xds:///helloworld[:PORT_NUMBER]")

Crea e configura un file di bootstrap

Lo schema del resolver xds indica all'applicazione gRPC di connettersi a Cloud Service Mesh per ottenere le informazioni di configurazione per il servizio di destinazione. Pertanto, svolgi i seguenti passaggi:

Crea un file di bootstrap, come mostrato nell'esempio seguente. Questo file indica gRPC per connettersi a un server xDS (Cloud Service Mesh) per ottenere la configurazione per servizi specifici.
Definisci una variabile di ambiente denominata GRPC_XDS_BOOTSTRAP con il nome del file di bootstrap come valore della variabile di ambiente.

Le istruzioni di configurazione includono esempi che mostrano come generare il file di bootstrap. Per praticità, puoi utilizzare la versione più recente di gRPC Cloud Service Mesh generatore di bootstrap.

Un file di bootstrap contenente le informazioni necessarie per connettersi a Cloud Service Mesh deve essere incluso nell'applicazione. Un file di bootstrap di esempio ha il seguente aspetto:

{
  "xds_servers": [
    {
      "server_uri": "trafficdirector.googleapis.com:443",
      "channel_creds": [
        {
          "type": "google_default"
        }
      ],
      "server_features": ["xds_v3"]
    }
  ],
  "node": {
    "id": "projects/123456789012/networks/default/nodes/b7f9c818-fb46-43ca-8662-d3bdbcf7ec18",
    "metadata": {
      "TRAFFICDIRECTOR_NETWORK_NAME": "default"
    },
    "locality": {
      "zone": "us-central1-a"
    }
  }
}

La tabella seguente illustra i campi nel file di bootstrap.

Campo	Valore e descrizione
`xds_servers`	Un elenco di server xDS. gRPC utilizza solo il primo nell'elenco.
`server_uri`	Specifica almeno uno. gRPC tenta di connettersi solo al primo server xDS nell'elenco di `xds_servers`. Il valore predefinito è `trafficdirector.googleapis.com:443`.
`channel_creds`	Credenziali da utilizzare con il server xDS.
`type`	Utilizza il valore `google_default`. Per ulteriori informazioni le credenziali, vedi Guida introduttiva all'autenticazione.
`server_features`	Un elenco delle funzionalità supportate dal server, ad esempio il supporto di xDS v3. Il valore predefinito è vuoto.
`node`	Informazioni sul client che si connette al server xDS.
`id`	`id` deve avere il seguente formato, come mostrato nell'esempio precedente: projects/`PROJECT_NUMBER`/networks/`NETWORK_NAME`/nodes/`ID` Fornisci una stringa univoca come valore di `ID`. Ciò consente di identificare il client gRPC a cui si connette Cloud Service Mesh.
`metadata`	Informazioni specifiche del server xDS.
`TRAFFICDIRECTOR_MESH_NAME`	Se il campo è vuoto o non specificato, il valore viene impostato su `default`.
`locality`	La zona Google Cloud in cui è in esecuzione il client gRPC.

Continua la procedura di configurazione

Dopo aver completato i prerequisiti descritti in questo documento, continua con uno di questi documenti se stai configurando Cloud Service Mesh con le API di routing dei servizi:

Preparati alla configurazione delle API di routing dei servizi con Envoy e carichi di lavoro senza proxy

Prerequisiti

Configura progetti

Abilita fatturazione

Concedi le autorizzazioni IAM richieste

Abilita l'account di servizio per accedere all'API Traffic Director

Console

gcloud

Abilita le API richieste

Console

gcloud

Versione xDS

Requisiti aggiuntivi con i proxy Envoy

Come viene installato Envoy

Informazioni sulle versioni di Envoy

Requisiti aggiuntivi con gRPC senza proxy

Processo complessivo con gRPC senza proxy

Lingue e versioni di gRPC supportati

Aggiorna i client gRPC

Requisiti Java

Requisiti di Go

Imposta il resolver dei nomi gRPC per utilizzare xds

Crea e configura un file di bootstrap

Continua la procedura di configurazione

Imposta il resolver dei nomi gRPC per utilizzare `xds`