이 가이드에서는 GKE Enterprise 명령줄 인터페이스(CLI)를 사용하여 기존 Google Cloud GKE 클러스터에 Anthos Service Mesh 버전 1.5.10-asm.2을 정상적으로 설치하는 방법을 설명합니다. 이 베타 버전의 GKE Enterprise CLI를 사용할 때는 다음과 같은 제한사항이 있습니다.
- 업그레이드가 지원되지 않습니다. 이전 버전의 Anthos Service Mesh가 클러스터에 설치되어 있으면 GKE에서 Anthos Service Mesh 업그레이드를 참조하세요.
- VMware용 GKE에 설치가 지원되지 않습니다. 기존 VMware용 GKE 클러스터에 Anthos Service Mesh를 설치하려면 Anthos Service Mesh 온프레미스 설치를 참조하세요.
설치를 통해 다음 기능을 사용할 수 있습니다.
또한 이 가이드에서는 클러스터와 동일한 Google Cloud 프로젝트에 있는 Fleet에 클러스터를 등록하는 방법을 설명합니다. Fleet을 사용하면 클러스터를 구성하여 멀티 클러스터를 더욱 간편하게 관리할 수 있습니다. 클러스터를 Fleet에 등록하면 서비스와 기타 인프라를 필요에 따라 그룹화하여 일관된 정책을 적용할 수 있습니다.
시작하기 전에
설치를 시작하기 전에 다음을 수행하세요.
- 환경 설정
- GKE Enterprise CLI를 설치합니다.
- 다음 요구사항 및 제한사항을 검토합니다.
요구사항
GKE Enterprise 무료 체험판 라이선스 또는 구독이 있어야 합니다. 자세한 내용은 GKE Enterprise 가격 책정 가이드를 참조하세요.
GKE 클러스터는 다음 요구사항을 충족해야 합니다.
서비스 메시에 포함하려면 서비스 포트의 이름이 지정되어야 하며 이름은
name: protocol[-suffix]구문에서 포트 프로토콜을 포함해야 합니다. 여기서 대괄호는 대시로 시작해야 하는 선택적 서픽스를 나타냅니다. 자세한 내용은 서비스 포트 이름 지정을 참조하세요.비공개 클러스터에서 Anthos Service Mesh를 설치하는 경우 자동 사이드카 삽입을 사용하려면 포트 15017을 열도록 방화벽 규칙을 추가해야 합니다. 방화벽 규칙을 추가하지 않고 자동 사이드카 삽입이 사용 설정되어 있으면 워크로드를 배포할 때 오류가 발생합니다. 방화벽 규칙 추가에 대한 세부정보는 특정 사용 사례에 대한 방화벽 규칙 추가를 참조하세요.
조직에서 서비스 경계를 만든 경우 경계에 Mesh CA 서비스를 추가해야 할 수도 있습니다. 자세한 내용은 서비스 경계에 Mesh CA 추가를 참조하세요.
제한사항
Google Cloud 프로젝트당 Anthos Service Mesh 설치는 한 개만 지원됩니다. 단일 프로젝트에서 여러 메시 배포는 지원되지 않습니다.
인증서 데이터
Mesh CA의 인증서에는 애플리케이션 서비스에 대한 다음 데이터가 포함됩니다.
- Google Cloud 프로젝트 ID
- GKE 네임스페이스
- GKE 서비스 계정 이름
프로젝트 및 클러스터 기본값 설정
클러스터가 생성된 프로젝트의 프로젝트 ID를 가져옵니다.
gcloud
gcloud projects list
콘솔
Google Cloud Console에서 대시보드 페이지로 이동합니다.
페이지 상단에서 선택 드롭다운 목록을 클릭합니다. 선택 창이 나타나면 프로젝트를 선택합니다. 프로젝트 ID가 프로젝트 대시보드 프로젝트 정보 카드에 표시됩니다.
프로젝트 ID의 환경 변수를 만듭니다.
export PROJECT_ID=
YOUR_PROJECT_IDGoogle Cloud CLI의 기본 프로젝트 ID를 설정합니다.
gcloud config set project ${PROJECT_ID}다음의 환경 변수를 만듭니다.
클러스터 이름을 설정합니다.
export CLUSTER_NAME=YOUR_CLUSTER_NAME
CLUSTER_LOCATION을 클러스터 영역 또는 클러스터 리전으로 설정합니다.export CLUSTER_LOCATION=YOUR_ZONE_OR_REGION
Google Cloud CLI의 기본 영역 또는 리전을 설정합니다.
단일 영역 클러스터가 있는 경우 기본 영역을 설정합니다.
gcloud config set compute/zone ${CLUSTER_LOCATION}리전 클러스터가 있는 경우 기본 리전을 설정합니다.
gcloud config set compute/region ${CLUSTER_LOCATION}
리소스 구성 파일 준비
GKE Enterprise CLI 및 kustomize를 사용하여 Anthos Service Mesh에 필요한 옵션으로 기존 클러스터를 업데이트하는 데 사용할 구성 커넥터 리소스 파일을 내보내고 패치합니다. 구성 커넥터 리소스는 Google Cloud 리소스의 Kubernetes 표현입니다.
리소스 구성 파일 내보내기
gcloud beta anthos export 명령어를 사용하여 기존 클러스터의 리소스 구성 파일을 출력합니다.
Anthos Service Mesh 리소스의 디렉터리를 만듭니다. 편의를 위해 다음 단계에서는 사용자가 만든 디렉터리를 ASM_RESOURCES라고 부릅니다.
ASM_RESOURCES 디렉터리로 변경합니다.
asm-patch패키지를 현재 작업 디렉터리에 다운로드합니다.kpt pkg get \ https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm-patch@release-1.5-asm .이 명령어는
asm-patch/라는 하위 디렉터리를 만듭니다.BASE_DIR환경 변수에 디렉터리 이름을 추가합니다. 기존 클러스터에 대해gcloud beta anthos export명령어를 실행하면 GKE Enterprise CLI가BASE_DIR에 지정된 이름으로 디렉터리를 만들고 구성 커넥터 리소스 파일을 디렉터리에 출력합니다.export BASE_DIR=YOUR_BASE_DIR
클러스터를 둘 이상 설정할 경우에는 클러스터 이름을 디렉터리 이름으로 사용하는 것이 좋습니다. 예를 들어 두 클러스터의 리소스 구성 파일을 준비하는 경우
cluster-1및cluster-2에 대해gcloud beta anthos export명령어를 실행하면 디렉터리 구조가 다음과 비슷하게 표시됩니다.
다이어그램에서
cluster-1및cluster-2는cluster-1및cluster-2라는 클러스터의 Config Connector 리소스 구성 파일이 포함된 디렉터리입니다.Config Connector 리소스 구성 파일을 내보냅니다.
gcloud beta anthos export ${CLUSTER_NAME} --output-directory ${BASE_DIR}export명령어는 클러스터가 현재gcloud config설정과 일치시킬 수 있도록 프로젝트 ID 및 클러스터 영역/리전을 리소스 구성 파일에 채웁니다. 현재gcloud config설정과 일치하지 않는 클러스터에 대해 리소스 구성 파일을 내보낼 경우에는 다음 명령줄 옵션을 지정할 수 있습니다.-p PROJECT_ID-l YOUR_ZONE_OR_REGION
자세한 내용은
gcloud beta anthos export --help를 참조하세요.
리소스 구성 파일 패치
GKE Enterprise kpt setter와 kustomize를 사용하여 리소스 구성 파일을 업데이트합니다.
asm-patch패키지에 사용 가능한 구성 setter를 나열합니다.kpt cfg list-setters asm-patch/출력은 다음과 비슷합니다.
NAME VALUE SET BY DESCRIPTION COUNT base-dir base 1 gcloud.compute.location your_zone_or_region 1 gcloud.container.cluster your_cluster_name 3 gcloud.core.project your_project_id kpt 11 gcloud.project.projectNumber your_project_number kpt 1
${BASE_DIR}디렉터리와asm-patch디렉터리 간의 상대 경로를 설정합니다.kpt cfg set asm-patch/ base-dir ../${BASE_DIR}클러스터 이름을 설정합니다.
kpt cfg set asm-patch/ gcloud.container.cluster ${CLUSTER_NAME}gcloud config기본값을 설정하지 않았거나 값을 변경하려면 다음 setter를 실행합니다.kpt cfg set asm-patch/ gcloud.compute.location ${CLUSTER_LOCATION}kpt cfg set asm-patch/ gcloud.core.project ${PROJECT_ID}Anthos Service Mesh 패치를 클러스터 리소스 구성 파일에 적용합니다.
pushd ${BASE_DIR} && kustomize create --autodetect \ --namespace ${PROJECT_ID} && popdpushd asm-patch && kustomize build -o ../${BASE_DIR}/all.yaml && popd최종 리소스 구성 검증
kpt fn source ${BASE_DIR} | kpt fn run --image gcr.io/kustomize-functions/validate-asm:v0.1.0오류가 있으면 수정하고 리소스 구성을 다시 검증합니다.
원하는 경우 Cloud Source Repositories와 같은 자체 소스 제어 시스템에 리소스 구성 파일을 대조하여 파일의 변경사항을 추적할 수 있습니다.
클러스터 업데이트 및 Anthos Service Mesh 설치
GKE Enterprise CLI는 Anthos Service Mesh에 필요한 다음 옵션으로 클러스터를 업데이트합니다.
mesh_id라벨을 클러스터에proj-PROJECT_NUMBER형식으로 추가합니다. 여기서PROJECT_NUMBER는 클러스터가 생성된 프로젝트의 프로젝트 번호입니다. Google Cloud Console의 Anthos Service Mesh 대시보드에 측정항목을 표시하려면mesh_id라벨이 필요합니다. 클러스터에 기존 라벨이 있는 경우 GKE Enterprise CLI가 라벨을 유지합니다.워크로드 아이덴티티를 사용 설정합니다.
Kubernetes Engine Monitoring을 사용 설정합니다.
출시 채널 개요에 클러스터를 등록합니다.
다음 명령어를 실행하여 클러스터를 업데이트하고 Anthos Service Mesh를 설치합니다.
gcloud beta anthos apply ${BASE_DIR}
이 명령어는 필수 옵션으로 클러스터를 업데이트한 다음 Anthos Service Mesh를 배포합니다. 이 프로세스를 완료하는 데 약 30분이 소요됩니다.
제어 영역 구성요소 확인
istio-system의 제어 영역 포드가 작동 중인지 확인합니다.
kubectl get pod -n istio-system
예상 출력은 다음과 비슷합니다.
NAME READY STATUS RESTARTS AGE istio-ingressgateway-74cc894bfd-786rg 1/1 Running 0 7m19s istiod-78cdbbbdb-d7tps 1/1 Running 0 7m36s promsd-576b8db4d6-lqf64 2/2 Running 1 7m19s
클러스터 등록
Google Cloud 콘솔에서 통합 사용자 인터페이스에 액세스하려면 프로젝트 Fleet에 클러스터를 등록해야 합니다. Fleet에서는 Google Cloud 외부의 클러스터를 포함하여 클러스터와 워크로드를 통합된 방식으로 보고 관리할 수 있습니다.
Google Cloud 서비스 계정 및 키 파일 만들기
클러스터를 등록하려면 서비스 계정 사용자 인증 정보가 포함된 JSON 파일이 필요합니다. 최소 권한의 원칙을 따르려면 등록한 클러스터마다 별도의 서비스 계정을 만드는 것이 좋습니다.
서비스 계정 및 키 파일을 만들려면 다음 안내를 따르세요.
서비스 계정의 이름을 선택하고 환경 변수를 만듭니다.
export SERVICE_ACCOUNT_NAME=SERVICE_ACCOUNT_NAME
서비스 계정을 만듭니다.
gcloud iam service-accounts create ${SERVICE_ACCOUNT_NAME}프로젝트의 모든 서비스 계정을 나열하여 서비스 계정이 생성되었는지 확인합니다.
gcloud iam service-accounts list
gkehub.connect IAM 역할을 서비스 계정에 바인딩합니다.
gcloud projects add-iam-policy-binding ${PROJECT_ID} \ --member="serviceAccount:${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \ --role="roles/gkehub.connect"JSON 파일을 저장할 로컬 파일 경로의 환경 변수를 만듭니다. 서비스 계정 이름과 프로젝트 ID를 사용하여 파일 이름을 지정하는 것이 좋습니다. 예를 들면
/tmp/creds/${SERVICE_ACCOUNT_NAME}-${PROJECT_ID}.json입니다.export SERVICE_ACCOUNT_KEY_PATH=LOCAL_KEY_PATH
서비스 계정의 비공개 키 JSON 파일을 다운로드합니다.
gcloud iam service-accounts keys create ${SERVICE_ACCOUNT_KEY_PATH} \ --iam-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com
클러스터 등록
다음 명령어에서 MEMBERSHIP_NAME을 허브에 등록하려는 클러스터를 고유하게 나타내는 이름으로 바꿉니다.
gcloud container hub memberships register MEMBERSHIP_NAME \
--gke-cluster=${CLUSTER_LOCATION}/${CLUSTER_NAME} \
--service-account-key-file=${SERVICE_ACCOUNT_KEY_PATH}
이 명령어는 다음과 유사한 출력으로 응답합니다.
kubeconfig entry generated for CLUSTER_NAME. Waiting for membership to be created...done. Created a new membership [projects/PROJECT_ID/locations/global/memberships/MEMBERSHIP_NAME] for the cluster [MEMBERSHIP_NAME] Generating the Connect Agent manifest... Deploying the Connect Agent on cluster [MEMBERSHIP_NAME] in namespace [gke-connect]... Deployed the Connect Agent on cluster [MEMBERSHIP_NAME] in namespace [gke-connect]. Finished registering the cluster [MEMBERSHIP_NAME] with the Hub.
이 서비스 계정 키는 gke-connect 네임스페이스에 creds-gcp라는 보안 비밀로 저장됩니다.
클러스터 등록에 대한 자세한 내용은 연결 문서의 클러스터 등록을 참조하세요.
사이드카 프록시 삽입
Anthos Service Mesh는 사이드카 프록시를 사용하여 네트워크 보안, 안정성, 관측 가능성을 개선합니다. Anthos Service Mesh를 사용하면 이러한 함수가 애플리케이션의 기본 컨테이너에서 추상화되고 동일한 포드에서 별도의 컨테이너로 제공되는 공용 프로세스 외부 프록시로 구현됩니다.
Anthos Service Mesh를 설치하기 전에 클러스터에서 실행 중이었던 모든 워크로드는 현재 Anthos Service Mesh 버전을 포함하도록 사이드카 프록시를 삽입하거나 업데이트해야 합니다. 새 워크로드를 배포하기 전에 사이드카 프록시 삽입을 구성하여 Anthos Service Mesh가 트래픽을 모니터링하고 보호할 수 있도록 해야 합니다.명령어 하나로 자동 사이드카 삽입을 사용 설정할 수 있습니다. 예를 들면 다음과 같습니다.
kubectl label namespace NAMESPACE istio-injection=enabled --overwrite
여기서 NAMESPACE는 네임스페이스를 명시적으로 만들지 않은 경우 애플리케이션 서비스의 네임스페이스 이름 또는 default입니다.
자세한 내용은 사이드카 프록시 삽입을 참조하세요.
Anthos Service Mesh 페이지 보기
사이드카 프록시가 삽입된 클러스터에 워크로드가 배포되면 Google Cloud 콘솔의 Anthos Service Mesh 페이지에서 Anthos Service Mesh에서 제공하는 모든 관측 가능성 기능을 볼 수 있습니다. 워크로드를 배포한 후 Google Cloud 콘솔에 원격 분석 데이터가 표시되는 데 약 1~2분 정도가 걸립니다.
Google Cloud 콘솔에서 Anthos Service Mesh에 대한 액세스는 Identity and Access Management(IAM)로 제어됩니다. Anthos Service Mesh 페이지에 액세스하려면 프로젝트 소유자가 사용자에게 프로젝트 편집자 또는 뷰어 역할이나 Google Cloud 콘솔에서 Anthos Service Mesh에 대한 액세스 제어에 설명된 더 제한적인 역할을 부여해야 합니다.
Google Cloud 콘솔에서 Anthos Service Mesh로 이동합니다.
메뉴 바의 드롭다운 목록에서 Google Cloud 프로젝트를 선택합니다.
서비스 메시가 2개 이상 있으면 Service Mesh 드롭다운 목록에서 해당 메시를 선택합니다.
자세한 내용은 Google Cloud 콘솔에서 Anthos Service Mesh 탐색을 참조하세요.
Anthos Service Mesh 페이지 외에도 서비스와 관련된 측정항목(예: 특정 서비스에서 수신한 요청 수)이 Cloud Monitoring으로 전송되어 측정항목 탐색기에 표시됩니다.
측정항목을 보려면 다음 안내를 따르세요.
Google Cloud 콘솔에서 Monitoring 페이지로 이동합니다.
리소스 > 측정항목 탐색기를 선택합니다.
측정항목의 전체 목록은 Cloud Monitoring 문서의 Istio 측정항목을 참조하세요.
kpt를 사용하여 샘플 설치
선택적으로 kpt를 사용하여 Hipster 샘플을 클러스터에 설치할 수 있습니다.
샘플을 다운로드합니다.
kpt pkg get \ https://github.com/GoogleCloudPlatform/microservices-demo.git/release \ hipster-demo자동 사이드카 삽입을 사용 설정합니다.
kubectl label namespace default istio-injection=enabled클러스터에 샘플을 배포합니다.
kubectl apply -f hipster-demo애플리케이션의 외부 IP 주소를 찾습니다.
kubectl get service frontend-external브라우저에서 애플리케이션을 방문하여 설치를 확인합니다.
http://EXTERNAL_IP/
샘플이 실행되면 Google Cloud Console에서 Anthos Service Mesh 관측 가능성을 탐색할 수 있습니다. 토폴로지 그래프가 메시에 서비스를 표시하는 데 최대 10분이 걸릴 수 있습니다.
탐색이 끝나면 Hipster 샘플을 삭제합니다.
kubectl delete -f hipster-demo
다음 단계
GKE Enterprise CLI에서 사용되는 구성 리소스에 대해 자세히 알아봅니다.