Anthos Service Mesh 1.4 はサポート期間が終了し、今後はサポートされません。以前のバージョンからのアップグレードをご覧ください。

最新のドキュメントを表示するか、他の利用可能なバージョンを選択します。

利用可能なバージョン

既存のクラスタへの Anthos Service Mesh のインストール

Anthos Service Mesh は、Google Kubernetes Engine（GKE）と GKE on VMware 上で実行されるサービスを接続、モニタリング、保護するための Istio 互換のフレームワークです。負荷分散、サービス間認証、モニタリングなどを使用して、デプロイされたサービスのネットワークを構築できます。サービスコードの変更は必要ありません。Anthos Service Mesh は、アプリケーションの各 Pod にサイドカープロキシを自動的に挿入します。サイドカープロキシは、Pod との間で送受信されるネットワークトラフィックをすべて傍受します。Anthos Service Mesh は、メッシュへの受信トラフィックを管理するための Ingress ゲートウェイも構成します。オープンソースの Istio API を使用して、サイドカーとゲートウェイに適用されるポリシーを構成できます。

このガイドでは、既存の Google Cloud GKE クラスタに Anthos Service Mesh バージョン 1.4.10-asm.18 をクリーンインストールする方法について説明します。以前のバージョンの Anthos Service Mesh がインストールされている場合は、GKE での Anthos Service Mesh のアップグレードをご覧ください。

インストールすると、次の機能が有効になります。

Anthos Service Mesh のオブザーバビリティ機能。
Anthos Service Mesh 認証局（Mesh CA）を含む Anthos Service Mesh のセキュリティ機能。
サポートされる Istio 機能。

始める前に

設定を始める前に、次の要件と制限事項をご確認ください。

要件

GKE Enterprise の試用版ライセンスまたはサブスクリプションが必要です。詳細については、GKE Enterprise の料金ガイドをご覧ください。
GKE クラスタは次の要件を満たす必要があります。
- 少なくとも 4 つのノード。ノードを追加する必要がある場合は、クラスタのサイズ変更をご覧ください。
- 最小のマシンタイプが 4 つの vCPU を備えた e2-standard-4。クラスタのマシンタイプに 4 つ以上の vCPU がない場合は、異なるマシンタイプへのワークロードの移行の説明に従ってマシンタイプを変更します。
- クラスタがリリースチャンネルに登録されている必要があります。Anthos Service Mesh は静的バージョンをサポートしていません。静的 GKE バージョンがある場合は、既存のクラスタをリリースチャンネルに登録するの手順を行ってください。
サービスメッシュに含めるには、サービスポートに名前を付ける必要があります。名前には、name: protocol[-suffix] の構文でポートのプロトコルを含める必要があります。角かっこは、ダッシュで始まるオプションの接尾辞です。詳細については、サービスポートの命名をご覧ください。
Anthos Service Mesh を限定公開クラスタにインストールする場合に、自動サイドカーインジェクションを使用するには、ポート 9443 を開くファイアウォールルールを追加する必要があります。ファイアウォールルールを追加せず、自動サイドカーインジェクションを有効にすると、ワークロードのデプロイでエラーが発生します。ファイアウォールルールの追加方法については、特定のユースケースに対するファイアウォールルールの追加をご覧ください。
組織にサービス境界を作成した場合は、Mesh CA サービスを境界に追加する必要があります。詳細については、サービス境界へのメッシュ CA の追加をご覧ください。

制限事項

1 つの Google Cloud プロジェクトにインストールできる Anthos Service Mesh は 1 つだけです。1 つのプロジェクトで複数のメッシュデプロイはサポートされていません。

証明書データ

Mesh CA からの証明書には、アプリケーションのサービスに関する次のデータが含まれます。

Google Cloud プロジェクト ID。
GKE 名前空間
GKE サービスアカウント名

プロジェクトの設定

クラスタが作成されたプロジェクトのプロジェクト ID を取得します。
gcloud
```
gcloud projects list
```
コンソール
1. Google Cloud コンソールで、[ダッシュボード] ページに移動します。
  [ダッシュボード] ページに移動する
2. ページ上部の [選択元] プルダウンリストをクリックします。表示された [選択元] ウィンドウで、プロジェクトを選択します。
  プロジェクト ID は、プロジェクトダッシュボードの [プロジェクト情報] カードに表示されます。
プロジェクト ID の環境変数を作成します。
```
export PROJECT_ID=YOUR_PROJECT_ID
```
gcloud コマンドラインツールのデフォルトのプロジェクト ID を設定します。
```
gcloud config set project ${PROJECT_ID}
```
プロジェクト番号の環境変数を作成します。
```
export PROJECT_NUMBER=$(gcloud projects describe ${PROJECT_ID} --format="value(projectNumber)")
```
重要: このガイドのコマンドの多くは、これらの環境変数に依存しています。シェル環境を切断して再接続する場合、環境変数を再度設定する必要があります。これらのコマンドは、gcloud コマンドラインツールのデフォルトプロジェクトが設定されていることを前提としています。
必要な Identity and Access Management（IAM）のロールを設定します。プロジェクトオーナーの場合、インストールを完了し、クラスタを Environ に登録するために必要なすべての権限が付与されています。プロジェクトオーナーでない場合は、次の IAM ロールを付与する担当者が必要になります。次のコマンドで、GCP_EMAIL_ADDRESS を Google Cloud へのログインに使用するアカウントに変更します。
```
gcloud projects add-iam-policy-binding ${PROJECT_ID} \
     --member user:GCP_EMAIL_ADDRESS \
     --role=roles/editor \
     --role=roles/compute.admin \
     --role=roles/container.admin \
     --role=roles/resourcemanager.projectIamAdmin \
     --role=roles/iam.serviceAccountAdmin \
     --role=roles/iam.serviceAccountKeyAdmin \
     --role=roles/gkehub.admin
```
IAM のロールを付与する方法については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。これらのロールの説明については、Anthos Service Mesh のインストールに必要な権限をご覧ください。

次の API を有効にします。

gcloud services enable \
    container.googleapis.com \
    compute.googleapis.com \
    monitoring.googleapis.com \
    logging.googleapis.com \
    cloudtrace.googleapis.com \
    meshca.googleapis.com \
    meshtelemetry.googleapis.com \
    meshconfig.googleapis.com \
    iamcredentials.googleapis.com \
    anthos.googleapis.com \
    gkeconnect.googleapis.com \
    gkehub.googleapis.com \
    cloudresourcemanager.googleapis.com

API の有効化に数分かかることがあります。API が有効になると、次のような出力が表示されます。

Operation "operations/acf.601db672-88e6-4f98-8ceb-aa3b5725533c" finished
successfully.

既存の GKE クラスタの設定

このセクションでは、Anthos Service Mesh に必要なオプションで既存の GKE クラスタを設定する方法について説明します。詳細については、GKE のドキュメントをご覧ください。

次の環境変数を作成します。
- クラスタ名を設定します。
```
export CLUSTER_NAME=YOUR_CLUSTER_NAME
```
- CLUSTER_LOCATION をクラスタのゾーンまたはリージョンに設定します。
```
export CLUSTER_LOCATION=YOUR_ZONE_OR_REGION
```
- ワークロードプールを設定します。
```
export WORKLOAD_POOL=${PROJECT_ID}.svc.id.goog
```
- メッシュ ID を設定します。
```
export MESH_ID="proj-${PROJECT_NUMBER}"
```
Google Cloud CLI のデフォルトのゾーンまたはリージョンを設定します。
- シングルゾーンクラスタがある場合は、デフォルトゾーンを設定します。
```
gcloud config set compute/zone ${CLUSTER_LOCATION}
```
- リージョンクラスタがある場合は、デフォルトリージョンを設定します。
```
gcloud config set compute/region ${CLUSTER_LOCATION}
```
ヒント: 今後のシェル環境の設定を容易にするために、各環境変数の export ステートメントをコピーして、新しいシェルの起動時に source するシンプルなシェルスクリプトに貼り付けることができます。スクリプトにデフォルト値を設定する gcloud コマンドを追加することもできます。または、gcloud init を使用して、名前付きの gcloud 構成を作成して有効にすることもできます。
クラスタの mesh_id ラベルを設定します。これは、Google Cloud コンソールの Anthos Service Mesh ダッシュボードに指標を表示するために必要です。クラスタの既存のラベルを残す場合は、mesh_id ラベルの追加時にそれらのラベルを含める必要があります。
1. クラスタに既存のラベルがあるかどうかを確認するには:
```
gcloud container clusters describe ${CLUSTER_NAME}
```
  出力で resourceLabels フィールドを探します。ラベルは、resourceLabels フィールドごとに別々の行に格納されます。次に例を示します。
```
resourceLabels:
  csm: ''
  env: dev
  release: stable
```
  出力に csm ラベルがある場合、保持する必要はありません。mesh_id ラベルは csm ラベルに代わります。
  
  利便性を考えて、環境変数にラベルを追加することもできます。以下の例の YOUR_EXISTING_LABELS は、クラスタに存在するラベルのカンマ区切りのリスト（KEY=VALUE 形式、たとえば env=dev,release=stable）で置き換えます。
```
export EXISTING_LABELS="YOUR_EXISTING_LABELS"
```
2. mesh_id ラベルを設定します。
  - クラスタの既存のラベルを残す場合は、mesh_id と既存のラベルでクラスタを更新します。
```
gcloud container clusters update ${CLUSTER_NAME} \
  --update-labels=mesh_id=${MESH_ID},${EXISTING_LABELS}
```
  - クラスタに既存のラベルがない場合は、mesh_id ラベルだけでクラスタを更新します。
```
gcloud container clusters update ${CLUSTER_NAME} \
  --update-labels=mesh_id=${MESH_ID}
```

Workload Identity を有効にします。

gcloud container clusters update ${CLUSTER_NAME} \
   --workload-pool=${WORKLOAD_POOL}

GKE で Cloud Monitoring と Cloud Logging を有効にします。

gcloud container clusters update ${CLUSTER_NAME} \
   --enable-stackdriver-kubernetes

クラスタで静的バージョンの GKE を使用している場合は、クラスタをリリースチャンネルに登録します。

認証情報と権限の設定

次に進む前に、必要な API をすべて有効にしたことを確認してください。不明な場合は、gcloud services enable コマンドを再び実行しても問題ありません。

プロジェクトを初期化してインストールの準備をします。次のコマンドでサービスアカウントを作成し、サイドカープロキシなどの Istio コンポーネントがプロジェクトのデータとリソースに安全にアクセスできるようにします。
```
curl --request POST \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --data '' \
  https://meshconfig.googleapis.com/v1alpha1/projects/${PROJECT_ID}:initialize
```
コマンドを実行すると、空の中かっこ {} が返されます。

将来、このクラスタに新しいバージョンの Anthos Service Mesh をインストールする場合は、コマンドを再実行する必要はありませんが、コマンドを再実行してもインストールには影響しません。
クラスタとやり取りするために必要な認証情報を取得します。
```
gcloud container clusters get-credentials ${CLUSTER_NAME}
```
現在のユーザーにクラスタ管理者の権限を付与します。この権限は、Anthos Service Mesh に必要なロールベースのアクセス制御（RBAC）ルールを作成するのに必要です。
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user="$(gcloud config get-value core/account)"
```
"cluster-admin-binding" already exists エラーが発生した場合は、無視して既存の cluster-admin-binding を続行しても問題ありません。

クラスタの登録

Google Cloud コンソールで統合ユーザーインターフェースにアクセスするには、クラスタをプロジェクトのフリートに登録する必要があります。フリートは、Google Cloud 外のクラスタを含むクラスタとそのワークロードを表示して管理するために統合された方法を提供します。

Google Cloud のサービスアカウントと鍵ファイルを作成する

クラスタを登録するには、サービスアカウントの認証情報を含む JSON ファイルが必要です。最小権限の原則に従い、登録するクラスタごとに個別のサービスアカウントを作成することをおすすめします。

サービスアカウントとキーファイルを作成するには:

サービスアカウントの名前を選択して、その環境変数を作成します。
```
export SERVICE_ACCOUNT_NAME=SERVICE_ACCOUNT_NAME
```

サービスアカウントを作成します。

gcloud iam service-accounts create ${SERVICE_ACCOUNT_NAME}

プロジェクトのサービスアカウントをすべて一覧表示して、サービスアカウントが作成されたことを確認します。
```
gcloud iam service-accounts list
```

サービスアカウントに gkehub.connect IAM ロールをバインドします。

gcloud projects add-iam-policy-binding ${PROJECT_ID} \
   --member="serviceAccount:${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
   --role="roles/gkehub.connect"

JSON ファイルを保存するローカルファイルパスの環境変数を作成します。ファイル名にサービスアカウント名とプロジェクト ID を使用することをおすすめします（例: /tmp/creds/${SERVICE_ACCOUNT_NAME}-${PROJECT_ID}.json）。
```
export SERVICE_ACCOUNT_KEY_PATH=LOCAL_KEY_PATH
```

サービスアカウントの秘密鍵の JSON ファイルをダウンロードします。

gcloud iam service-accounts keys create ${SERVICE_ACCOUNT_KEY_PATH} \
   --iam-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com

クラスタを登録する

次のコマンドを使用して、MEMBERSHIP_NAME を Hub に登録されているクラスタを一意に識別する名前に置き換えます。

gcloud container hub memberships register MEMBERSHIP_NAME \
    --gke-cluster=${CLUSTER_LOCATION}/${CLUSTER_NAME} \
    --service-account-key-file=${SERVICE_ACCOUNT_KEY_PATH}

次のような出力が返されます。

kubeconfig entry generated for CLUSTER_NAME.
Waiting for membership to be created...done.
Created a new membership [projects/PROJECT_ID/locations/global/memberships/MEMBERSHIP_NAME] for the cluster [MEMBERSHIP_NAME]
Generating the Connect Agent manifest...
Deploying the Connect Agent on cluster [MEMBERSHIP_NAME] in namespace [gke-connect]...
Deployed the Connect Agent on cluster [MEMBERSHIP_NAME] in namespace [gke-connect].
Finished registering the cluster [MEMBERSHIP_NAME] with the Hub.

このサービスアカウントキーは、creds-gcp という名前のシークレットとして gke-connect 名前空間に保存されます。

クラスタの登録の詳細については、Connect のドキュメントでクラスタの登録をご覧ください。

Anthos Service Mesh のインストールの準備

次に進む前に、ASM Mesh Data Plane Service Account がプロジェクトのメンバーであることを確認します。

gcloud projects get-iam-policy ${PROJECT_ID} | grep -B 1 'roles/meshdataplane.serviceAgent'

上述のコマンドで何も出力されない場合は、認証情報と権限の設定セクションに戻り、curl コマンドを実行します。

Linux

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-linux.tar.gz

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-linux.tar.gz.1.sig
openssl dgst -verify - -signature istio-1.4.10-asm.18-linux.tar.gz.1.sig istio-1.4.10-asm.18-linux.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

Mac OS

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-osx.tar.gz

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.4.10-asm.18-osx.tar.gz.1.sig istio-1.4.10-asm.18-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

Windows

Anthos Service Mesh インストールファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-win.zip

署名ファイルをダウンロードし、openssl を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.4.10-asm.18-win.zip.1.sig
openssl dgst -verify - -signature istio-1.4.10-asm.18-win.zip.1.sig istio-1.4.10-asm.18-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

想定される出力は Verified OK です。

ファイルシステム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。
```
tar xzf istio-1.4.10-asm.18-linux.tar.gz
```
このコマンドにより、現在の作業ディレクトリに istio-1.4.10-asm.18 という名前のインストールディレクトリが作成されます。このディレクトリには、次のものが含まれます。
- samples にはサンプルアプリケーション。
- bin ディレクトリには次のツール:
  - istioctl: istioctl は Anthos Service Mesh のインストールに使用します。
  - asmctl: asmctl を使用して、Anthos Service Mesh をインストールした後、セキュリティ構成を検証します（現在、asmctl は GKE on VMware ではサポートされていません）。
Anthos Service Mesh インストールのルートディレクトリに移動していることを確認します。
```
cd istio-1.4.10-asm.18
```
利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。
```
export PATH=$PWD/bin:$PATH
```

Anthos Service Mesh のインストール

このセクションでは、Anthos Service Mesh をインストールして有効にする方法を説明します。

サポートされている機能に記載されているサポート対象のデフォルトの機能。
Anthos Service Mesh の認証局（Mesh CA）。
Google Cloud コンソールで Anthos Service Mesh ダッシュボードを強化するテレメトリーデータパイプライン。

サポートされているオプション機能の有効化については、オプション機能の有効化をご覧ください。

Anthos Service Mesh をインストールするには:

次のいずれかのコマンドを選択して、PERMISSIVE 相互 TLS（mTLS）認証モードまたは STRICT mTLS モードで Anthos Service Mesh を構成します。

PERMISSIVE mTLS

istioctl manifest apply --set profile=asm \
  --set values.global.trustDomain=${WORKLOAD_POOL} \
  --set values.global.sds.token.aud=${WORKLOAD_POOL} \
  --set values.nodeagent.env.GKE_CLUSTER_URL=https://container.googleapis.com/v1/projects/${PROJECT_ID}/locations/${CLUSTER_LOCATION}/clusters/${CLUSTER_NAME} \
  --set values.global.meshID=${MESH_ID} \
  --set values.global.proxy.env.GCP_METADATA="${PROJECT_ID}|${PROJECT_NUMBER}|${CLUSTER_NAME}|${CLUSTER_LOCATION}"

注意: PERMISSIVE モードでは、デフォルトで、平文トラフィックと相互 TLS トラフィックを同時に受け入れ、平文のイントラメッシュトラフィックを送信できます。インストール後にサービスメッシュを保護するには、相互 TLS 移行での説明に沿って、サービスを相互 TLS STRICT モードに移行します。

STRICT mTLS

istioctl manifest apply --set profile=asm \
  --set values.global.trustDomain=${WORKLOAD_POOL} \
  --set values.global.sds.token.aud=${WORKLOAD_POOL} \
  --set values.nodeagent.env.GKE_CLUSTER_URL=https://container.googleapis.com/v1/projects/${PROJECT_ID}/locations/${CLUSTER_LOCATION}/clusters/${CLUSTER_NAME} \
  --set values.global.meshID=${MESH_ID} \
  --set values.global.proxy.env.GCP_METADATA="${PROJECT_ID}|${PROJECT_NUMBER}|${CLUSTER_NAME}|${CLUSTER_LOCATION}" \
  --set values.global.mtls.enabled=true

コントロールプレーンコンポーネントを確認する

istio-system のコントロールプレーン Pod が稼働していることを確認します。

kubectl get pod -n istio-system

出力は次のようになります。

NAME                                      READY   STATUS      RESTARTS   AGE
istio-galley-5c65896ff7-m2pls             2/2     Running     0          18m
istio-ingressgateway-587cd459f-q6hqt      2/2     Running     0          18m
istio-nodeagent-74w69                     1/1     Running     0          18m
istio-nodeagent-7524w                     1/1     Running     0          18m
istio-nodeagent-7652w                     1/1     Running     0          18m
istio-nodeagent-7948w                     1/1     Running     0          18m
istio-pilot-9db77b99f-7wfb6               2/2     Running     0          18m
istio-sidecar-injector-69c4d9f875-dt8rn   1/1     Running     0          18m
promsd-55f464d964-lqs7w                   2/2     Running     0          18m

クラスタ内の各ノードの istio-nodeagent のインスタンスが表示されます。Citadel OSS Istio コンポーネントを置き換える Mesh CA は、サービスメッシュで実行されているワークロードの mTLS 証明書を発行するノードエージェントを作成します。

セキュリティ機能の検証

asmctl 分析ツールを使用して、プロジェクト、クラスタ、ワークロードの基本構成を検証することをおすすめします。asmctl テストに失敗した場合は、可能であれば asmctl は推奨の解決策を提示します。asmctl validate コマンドは、以下を確認する基本的なテストを実行します。

Anthos Service Mesh で必要な API がプロジェクトで有効になっている。
Istio-Ingressgateway が Mesh CA を呼び出すよう適切に構成されている。
Istiod と Istio-Ingressgateway の全般的な状態。

オプションの --with-testing-workloads フラグを使用して asmctl validate コマンドを実行した場合、基本テストに加えて、asmctl は以下を確認するセキュリティテストを実行します。

相互 TLS（mTLS）通信が適切に構成されている。
メッシュ CA が証明書を発行できる。

セキュリティテストを行う際に asmctl はクラスタ上のテスト用名前空間にワークロードをデプロイします。mTLS 通信のテストを実行して結果を出力し、テスト用名前空間を削除します。

asmctl を実行するには:

gcloud application-default 認証情報が設定されていることを確認します。
```
 gcloud auth application-default login
```
まだ行っていない場合は、クラスタとのやり取りに必要な認証情報を取得します。
```
 gcloud container clusters get-credentials ${CLUSTER_NAME}
```

基本テストとセキュリティテストの両方を実行するには（istio-1.4.10-asm.18/bin が PATH にあると想定）:

asmctl validate --with-testing-workloads

成功すると、次のような出力が返されます。

[asmctl version 0.3.0]
Using Kubernetes context: example-project_us-central1-example-cluster
To change the context, use the --context flag
Validating enabled APIs
OK
Validating ingressgateway configuration
OK
Validating istio system
OK
Validating sample traffic
Launching example services...
Sent traffic to example service http code: 200
verified mTLS configuration
OK
Validating issued certs
OK

サイドカープロキシの挿入

Anthos Service Mesh は、サイドカープロキシを使用してネットワークのセキュリティ、信頼性、オブザーバビリティを強化します。Anthos Service Mesh では、これらの機能がアプリケーションのプライマリコンテナから抽出され、同じ Pod 内の個別のコンテナとして提供される共通のプロセス外プロキシに実装されます。

Anthos Service Mesh のインストール前にクラスタで実行されていたワークロードの場合、現在の Anthos Service Mesh バージョンを使用するように、サイドカープロキシを挿入または更新する必要があります。新しいワークロードをデプロイする前に、Anthos Service Mesh がトラフィックをモニタリングおよび保護できるように、サイドカープロキシインジェクションを構成します。

自動サイドカーインジェクションは、次のように 1 つのコマンドで有効にできます。

kubectl label namespace NAMESPACE istio-injection=enabled --overwrite

ここで、NAMESPACE はアプリケーションのサービスの名前空間の名前です。名前空間を明示的に作成していない場合は default です。

詳細については、サイドカープロキシの挿入をご覧ください。

Pod のセキュリティポリシーの有効化

サービスメッシュのセキュリティを最適化するには、Pod のセキュリティポリシーを有効にすることをおすすめします。

Anthos の [サービスメッシュ] ページの表示

サイドカープロキシが挿入されたクラスタにワークロードをデプロイすると、Google Cloud コンソールの Anthos の [サービスメッシュ] ページで、Anthos Service Mesh が提供するすべてのオブザーバビリティ機能を確認できます。ワークロードをデプロイした後、Google Cloud コンソールにテレメトリーデータが表示されるまでに 1～2 分ほどかかることがあります。

Google Cloud コンソールでの Anthos Service Mesh へのアクセスは、Identity and Access Management（IAM）によって制御されます。Anthos Service Mesh ページにアクセスするには、プロジェクトオーナーがユーザーに対して、プロジェクト編集者または閲覧者のロール、または、より限定的なロール（Google Cloud コンソールでの Anthos Service Mesh に対するアクセス制御を参照）を付与する必要があります。

Google Cloud コンソールで、[Anthos Service Mesh] に移動します。

Anthos の [サービスメッシュ] に移動する
メニューバーのプルダウンリストから Google Cloud プロジェクトを選択します。
複数のサービスメッシュがある場合は、[サービスメッシュ] プルダウンリストからメッシュを選択します。

詳細については、Google Cloud コンソールでの Anthos Service Mesh の確認をご覧ください。

Anthos Service Mesh ページに加えて、サービスに関連する指標（特定のサービスで受信したリクエストの数など）が Cloud Monitoring に送信され、Metrics Explorer に表示されます。

指標を表示するには:

Google Cloud コンソールで、[Monitoring] ページに移動します。

[Monitoring] に移動
[リソース] > [Metrics Explorer] を選択します。

指標の完全なリストについては、Cloud Monitoring のドキュメントの Istio 指標をご覧ください。

既存のクラスタへの Anthos Service Mesh のインストール

始める前に

要件

制限事項

証明書データ

プロジェクトの設定

gcloud

コンソール

既存の GKE クラスタの設定

認証情報と権限の設定

クラスタの登録

Google Cloud のサービス アカウントと鍵ファイルを作成する

クラスタを登録する

Anthos Service Mesh のインストールの準備

Linux

Mac OS

Windows

Anthos Service Mesh のインストール

PERMISSIVE mTLS

STRICT mTLS

コントロール プレーン コンポーネントを確認する

セキュリティ機能の検証

サイドカー プロキシの挿入

Pod のセキュリティ ポリシーの有効化

Anthos の [サービス メッシュ] ページの表示

次のステップ

Google Cloud のサービスアカウントと鍵ファイルを作成する

コントロールプレーンコンポーネントを確認する

サイドカープロキシの挿入

Pod のセキュリティポリシーの有効化

Anthos の [サービスメッシュ] ページの表示