Configura il progetto e il cluster autonomamente

Quando installi Cloud Service Mesh utilizzando asmcli, può configurare il progetto e il cluster se includi il flag --enable_all o il flag più granulare contrassegni di abilitazione. Se preferisci eseguire la configurazione autonomamente anziché chiedere a asmcli di le modifiche, segui la procedura descritta in questa pagina.

Se hai già installato una versione precedente di Cloud Service Mesh, non è necessario apportare modifiche al progetto o al cluster prima di utilizzare asmcli per eseguire l'upgrade alla versione più recente di Cloud Service Mesh.

Per impostazione predefinita, asmcli non installa istio-ingressgateway. Ti consigliamo di eseguire il deployment e gestire il piano di controllo e i gateway separatamente. Cloud Service Mesh supporta l'iniezione automatica per i deployment dei gateway, il che semplifica gli upgrade di Cloud Service Mesh. Dopo aver eseguito l'upgrade di Cloud Service Mesh, riavvia i gateway come i tuoi servizi per acquisire la nuova configurazione del piano di controllo. Per ulteriori informazioni, vedi Installazione e upgrade dei gateway.

Avviso: durante gli upgrade, asmcli rimuove istio-ingressgateway predefinito dall'esploratore di oggetti dello spazio dei nomi istio-system. Se hai bisogno del valore predefinito istio-ingressgateway installato con il piano di controllo in-cluster, includi l'argomento --option legacy-default-ingressgateway.

Prima di iniziare

• Esamina i prerequisiti e i requisiti (al di fuori di Google Cloud, GKE)
• Pianifica l'installazione (all'esterno di Google Cloud, GKE) o l'upgrade
• Installa gli strumenti necessari (al di fuori di Google Cloud, GKE)

Configura il progetto

1. Recupera l'ID progetto in cui è stato creato il cluster.

   gcloud

   Esegui questo comando:

   gcloud projects list
   

   Console

   1. Vai alla pagina Dashboard nella console Google Cloud.

      Vai alla pagina Dashboard

   2. Fai clic sull'elenco a discesa nella parte superiore della pagina. Nella finestra Seleziona da visualizzata, seleziona il tuo progetto.

      L'ID progetto viene visualizzato nella dashboard del progetto Informazioni sul progetto .

2. Crea una variabile di ambiente per il pool di carichi di lavoro utilizzando l'ID progetto:

   export WORKLOAD_POOL=PROJECT_ID.svc.id.goog
   

3. Imposta i ruoli IAM (Identity and Access Management) richiesti. Se sei un proprietario del progetto, disponi di tutte le autorizzazioni necessarie per completare l'installazione. Se non sei un proprietario del progetto, devi avere qualcuno che sia di assegnarti i seguenti ruoli IAM specifici. Nel comando seguente, sostituisci PROJECT_ID con l'ID progetto del passaggio precedente e GCP_EMAIL_ADDRESS con l'account che utilizzi per accedere a Google Cloud.

   ROLES=(
   'roles/servicemanagement.admin' \
   'roles/serviceusage.serviceUsageAdmin' \
   'roles/meshconfig.admin' \
   'roles/compute.admin' \
   'roles/container.admin' \
   'roles/resourcemanager.projectIamAdmin' \
   'roles/iam.serviceAccountAdmin' \
   'roles/iam.serviceAccountKeyAdmin' \
   'roles/gkehub.admin')
   for role in "${ROLES[@]}"
   do
     gcloud projects add-iam-policy-binding PROJECT_ID \
       --member "user:GCP_EMAIL_ADDRESS" \
       --role="$role"
   done
   

   Se includi il flag --enable_all o --enable_gcp_iam_roles quando quando esegui asmcli, che imposta i ruoli IAM richiesti per te.

4. Abilita le API Google richieste:

   gcloud services enable \
       --project=PROJECT_ID \
       mesh.googleapis.com
   

   Oltre a mesh.googleapis.com, questo comando abilita anche le seguenti API:

   Nota: alcune API richieste hanno dipendenze transitorie da altre API.

   API	Finalità	Può essere disattivato
   meshconfig.googleapis.com	Cloud Service Mesh utilizza l'API Mesh Configuration per inoltrare i dati di configurazione dal mesh a Google Cloud. Inoltre, l'abilitazione dell'API di configurazione mesh ti consente di accedere alle pagine di Cloud Service Mesh nella console Google Cloud e di utilizzare l'autorità di certificazione Cloud Service Mesh.	No
   meshca.googleapis.com	Contenuti correlati all'autorità di certificazione Cloud Service Mesh utilizzata da Cloud Service Mesh gestito.	No
   container.googleapis.com	Obbligatorio per creare cluster Google Kubernetes Engine (GKE).	No
   gkehub.googleapis.com	Necessario per gestire il mesh come parco risorse.	No
   monitoring.googleapis.com	Obbligatorio per acquisire la telemetria per i carichi di lavoro mesh.	No
   stackdriver.googleapis.com	Necessaria per utilizzare l'UI dei Servizi.	No
   opsconfigmonitoring.googleapis.com	Richiesta per utilizzare l'interfaccia utente di Services per i cluster esterni a Google Cloud.	No
   connectgateway.googleapis.com	Obbligatorio affinché il control plane di Cloud Service Mesh gestito possa accedere ai carichi di lavoro del mesh.	Sì*
   trafficdirector.googleapis.com	Consente un piano di controllo gestito altamente disponibile e scalabile.	Sì*
   networkservices.googleapis.com	Consente un piano di controllo gestito altamente disponibile e scalabile.	Sì*
   networksecurity.googleapis.com	Consente un piano di controllo gestito altamente disponibile e scalabile.	Sì*

   Avviso: disattivazione di connectgateway.googleapis.com, trafficdirector.googleapis.com, networkservices.googleapis.com e/o networksecurity.googleapis.com cause gestite che il piano di controllo di Cloud Service Mesh smetta di funzionare. Se il parco risorse non utilizza Cloud Service Mesh gestito su qualsiasi cluster, queste API possono essere disabilitate.

   L'attivazione delle API può richiedere un minuto o più. Quando le API sono attivate, viene visualizzato un output simile al seguente:

   Operation "operations/acf.601db672-88e6-4f98-8ceb-aa3b5725533c" finished
   successfully.
   

   Se includi il flag --enable_all o --enable_apis quando esegui asmcli, abilita le API richieste per tuo conto.

Configurazione del cluster

Se includi il flag --enable_all o uno dei flag più granulari flag di abilitazione, asmcli configura il cluster per te.

1. Registra il cluster nel parco risorse.

2. Inizializza il progetto in modo da prepararlo per l'installazione. Tra le altre cose, questo comando crea un account di servizio per consentire ai componenti del piano dati, come il proxy sidecar, di accedere in modo sicuro ai dati e alle risorse del progetto. Nel comando seguente sostituisci FLEET_PROJECT_ID con il progetto host del parco risorse:

   Avviso: se FLEET_PROJECT_ID è uguale a PROJECT_ID, rimuovi "FLEET_PROJECT_ID.hub.id.goog", dal comando seguente. In caso contrario, riceverai un codice di errore dovuto a INVALID_ARGUMENT.

   curl --request POST  \
    --header "Authorization: Bearer $(gcloud auth print-access-token)" \
    --header "Content-Type: application/json" \
    --data '{"workloadIdentityPools":["FLEET_PROJECT_ID.hub.id.goog","FLEET_PROJECT_ID.svc.id.goog","PROJECT_ID.svc.id.goog"]}' \
    "https://meshconfig.googleapis.com/v1alpha1/projects/PROJECT_ID:initialize"
   

   Il comando risponde con parentesi graffe vuote: {}

3. Per GKE su cluster Google Cloud, imposta la zona o la regione predefinite per Google Cloud CLI. Se non imposti il valore predefinito qui, assicurati di specificare l'opzione --zone o --region nei comandi gcloud container clusters in questa pagina.

   • Se hai un cluster a zona singola, imposta la zona predefinita:

     gcloud config set compute/zone CLUSTER_LOCATION
     

   • Se hai un cluster a livello di regione, imposta la regione predefinita:

     gcloud config set compute/region CLUSTER_LOCATION
     

4. Per i cluster GKE su Google Cloud, abilita Identità carico di lavoro:

   gcloud container clusters update CLUSTER_NAME \
       --project=PROJECT_ID \
       --workload-pool=${WORKLOAD_POOL}
   

   L'abilitazione di Workload Identity può richiedere fino a 10-15 minuti.

5. Per i cluster GKE su Google Cloud, attiva Cloud Monitoring e Cloud Logging su GKE:

   gcloud container clusters update CLUSTER_NAME \
       --project=PROJECT_ID \
       --enable-stackdriver-kubernetes
   

Il progetto e il cluster sono ora pronti per una nuova installazione utilizzando asmcli.

Passaggi successivi

• Installa gli strumenti dipendenti e convalida il cluster al di fuori di Google Cloud
• Installa strumenti dipendenti e convalida il cluster su GKE