Aggiunta di Mesh CA a un perimetro di servizio

Se hai creato un perimetro di servizio nella tua organizzazione, devi aggiungere al perimetro il servizio dell'autorità di certificazione Anthos Service Mesh (Mesh CA) nei seguenti casi:

  • Il cluster su cui hai installato Anthos Service Mesh si trova in un progetto incluso in un perimetro di servizio.
  • Il cluster su cui hai installato Anthos Service Mesh è un progetto di servizio in una rete VPC condivisa.

Se non aggiungi Mesh CA al perimetro di servizio, questa non può emettere correttamente i certificati dei carichi di lavoro. Dopo aver aggiunto Mesh CA al perimetro di servizio, l'emissione di certificati di identità per i carichi di lavoro è limitata all'interno della rete VPC (Virtual Private Cloud) del cluster.

Prima di iniziare

La configurazione del perimetro di servizio dei Controlli di servizio VPC è a livello di organizzazione. Assicurati di aver ricevuto i ruoli appropriati per l'amministrazione dei Controlli di servizio VPC.

Aggiunta di Mesh CA a un perimetro di servizio esistente

Console

  1. Segui i passaggi descritti in Aggiornamento di un perimetro di servizio per modificare il perimetro.
  2. Nella pagina Modifica perimetro di servizio VPC, in Servizi da proteggere, fai clic su Aggiungi servizi.
  3. Nella finestra di dialogo Specifica i servizi da limitare, fai clic su Filtra servizi e inserisci API Cloud Service Mesh Certificate Authority.
  4. Seleziona la casella di controllo del servizio.
  5. Fai clic su Aggiungi API Cloud Service Mesh Certificate Authority.
  6. Fai clic su Salva.

gcloud

Per aggiornare l'elenco dei servizi con restrizioni, utilizza il comando update e specifica i servizi da aggiungere come elenco delimitato da virgole:

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --add-restricted-services=meshca.googleapis.com[,OTHER_SERVICES \
  --policy=POLICY_NAME

Dove:

  • PERIMETER_NAME è il nome del perimetro di servizio da aggiornare.

  • OTHER_SERVICES è un elenco facoltativo separato da virgole di uno o più servizi da includere nel perimetro oltre a meshca.googleapis.com. Ad esempio: meshca.googleapis.com,storage.googleapis.com o meshca.googleapis.com,storage.googleapis.com,bigquery.googleapis.com.

  • POLICY_NAME è il nome numerico del criterio di accesso della tua organizzazione. Ad esempio, 330193482019.

Per ulteriori informazioni, consulta Aggiornamento di un perimetro di servizio.