Como adicionar a CA da malha a um perímetro de serviço

Se você tiver criado um perímetro de serviço na sua organização, adicione o serviço Mesh CA ao perímetro nos seguintes casos:

  • O cluster em que o Anthos Service Mesh foi instalado está em um projeto incluído em um perímetro de serviço.
  • O cluster em que o Anthos Service Mesh foi instalado é um projeto de serviço em uma rede VPC compartilhada.

Se você não adicionar o Mesh CA ao perímetro de serviço, ele não poderá emitir os certificados de carga de trabalho corretamente. Depois de adicionar o Mesh CA ao perímetro de serviço, a emissão de certificados de identidade da carga de trabalho fica restrita à rede de nuvem privada virtual (VPC) do cluster.

Antes de começar

A configuração do perímetro de serviço do VPC Service Controls está no nível da organização. Verifique se você recebeu os papéis adequados para administrar o VPC Service Controls.

Como adicionar o Mesh CA a um perímetro de serviço existente

Console

  1. Siga as etapas em Como atualizar um perímetro de serviço para editar o perímetro.
  2. Na página Editar perímetro de serviço VPC, em Serviços a serem protegidos, clique em Adicionar serviços.
  3. Na caixa de diálogo Especificar serviços a serem restringidos, clique em Filtrar serviços e digite API Cloud Service Mesh Certificate Authority.
  4. Marque a caixa de seleção do serviço.
  5. Clique em Adicionar API Cloud Service Mesh Certificate Authority.
  6. Clique em Save.

gcloud

Para atualizar a lista de serviços restritos, use o comando update e especifique os serviços a serem adicionados como uma lista delimitada por vírgulas:

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --add-restricted-services=meshca.googleapis.com[,OTHER_SERVICES \
  --policy=POLICY_NAME

Em que:

  • PERIMETER_NAME é o nome do perímetro de serviço que você quer atualizar.

  • OTHER_SERVICES é uma lista opcional separada por vírgulas de um ou mais serviços a serem incluídos no perímetro, além de meshca.googleapis.com. Por exemplo, meshca.googleapis.com,storage.googleapis.com ou meshca.googleapis.com,storage.googleapis.com,bigquery.googleapis.com.

  • POLICY_NAME é o nome numérico da política de acesso da sua organização. Por exemplo, 330193482019.

Consulte Como atualizar um perímetro de serviço para mais informações.