이 가이드에서는 VMware용 GKE에서 Anthos Service Mesh를 1.5.4+ or 1.6.4+ 버전에서 1.6.14 버전으로 업그레이드하는 방법을 설명합니다. Anthos Service Mesh 1.4.5+에서 업그레이드하려면 먼저 Anthos Service Mesh 1.5로 업그레이드해야 합니다. Anthos Service Mesh 1.4에서 1.6으로의 직접 업그레이드는 지원되지 않습니다.
업그레이드할 때 워크로드의 작은 부분으로 새 버전을 테스트하기 때문에 새 버전과 이전 버전의 컨트롤 영역이 모두 실행되는 이중 제어 영역 업그레이드(카나리아 업그레이드라고도 함)를 수행하는 것이 좋습니다. 이러한 접근 방식은 새 버전의 제어 영역이 이전 버전을 대체하는 인플레이스(In-Place) 업그레이드보다 안전합니다. istio-ingressgateway는 인플레이스(In-Place)로 업그레이드되므로 클러스터의 중단을 계획해야 합니다.Anthos Service Mesh 제어 영역 구성요소를 다시 배포하려면 5~10분 정도 걸립니다. 또한 현재 Anthos Service Mesh 버전으로 업데이트되도록 모든 워크로드에 새로운 사이드카 프록시를 삽입해야 합니다. 사이드카 프록시를 업데이트하는 데 걸리는 시간은 포드 수, 노드 수, 배포 확장 설정, 포드 중단 예산, 기타 구성 설정과 같은 다양한 요소에 따라 달라집니다. 사이드카 프록시를 업데이트하는 데 걸리는 대략적인 시간은 분당 포드 100개입니다.
업그레이드 준비
이 섹션에서는 Anthos Service Mesh 업그레이드를 준비하기 위해 실행하는 단계를 설명합니다.
지원되는 기능과 이 가이드를 검토하여 기능과 업그레이드 프로세스를 익히세요.
이전 버전의 Anthos Service Mesh를 설치할 때 선택적 기능을 사용 설정한 경우 업그레이드 시 동일한 기능을 사용 설정해야 합니다.
--set values플래그를 추가하거나istioctl install명령어를 실행할 때 YAML 파일로-f플래그를 지정하여 선택적 기능을 사용 설정할 수 있습니다.Anthos Service Mesh 1.5에서 업그레이드하는 경우 롤백해야 할 경우를 대비하여 다음 단계를 수행합니다.
asm-1-5디렉터리를 만듭니다.asm-1-5디렉터리로 1.5 설치 파일을 다운로드합니다.파일 콘텐츠 압축을
asm-1-5디렉터리로 풉니다.
환경 설정
Anthos Service Mesh를 설치할 머신에 다음 도구가 필요합니다. Anthos Service Mesh는 관리자 클러스터가 아닌 사용자 클러스터에만 설치할 수 있습니다.
curl명령줄 도구- Google Cloud CLI
Google Cloud CLI를 설치한 후 다음을 수행합니다.
Google Cloud CLI로 인증합니다.
gcloud auth login구성요소를 업데이트합니다.
gcloud components updatekubectl을 설치합니다.gcloud components install kubectl필요한
kpt버전을 설치합니다.curl -L https://github.com/GoogleContainerTools/kpt/releases/download/v0.39.2/kpt_linux_amd64 > kpt_0_39_2 chmod +x kpt_0_39_2 alias kpt="$(readlink -f kpt_0_39_2)"컨텍스트를 사용자 클러스터로 전환합니다.
kubectl config use-context CLUSTER_NAME
클러스터 관리자 권한을 사용자 계정(Google Cloud 로그인 이메일 주소)에 부여합니다. Anthos Service Mesh에 필요한 역할 기반 액세스 제어(RBAC) 규칙을 만들려면 이러한 권한이 필요합니다.
kubectl create clusterrolebinding cluster-admin-binding \ --clusterrole=cluster-admin \ --user=USER_ACCOUNT
설치 파일 다운로드
- Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-linux-amd64.tar.gz
- 서명 파일을 다운로드하고
openssl을 사용하여 서명을 확인합니다.curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-linux-amd64.tar.gz.1.sig openssl dgst -verify /dev/stdin -signature istio-1.6.14-asm.2-linux-amd64.tar.gz.1.sig istio-1.6.14-asm.2-linux-amd64.tar.gz <<'EOF' -----BEGIN PUBLIC KEY----- MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw== -----END PUBLIC KEY----- EOF
예상되는 출력은
Verified OK입니다. -
원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
tar xzf istio-1.6.14-asm.2-linux-amd64.tar.gz
이 명령어는 다음을 포함하는 현재 작업 디렉터리에
istio-1.6.14-asm.2이라는 설치 디렉터리를 만듭니다.- 샘플 애플리케이션은
samples디렉터리에 있습니다. - Anthos Service Mesh를 설치하는 데 사용하는
istioctl명령줄 도구는bin디렉터리에 있습니다. - Anthos Service Mesh 구성 프로필은
manifests/profiles디렉터리에 있습니다.
- 샘플 애플리케이션은
- Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-osx.tar.gz
- 서명 파일을 다운로드하고
openssl을 사용하여 서명을 확인합니다.curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-osx.tar.gz.1.sig openssl dgst -sha256 -verify /dev/stdin -signature istio-1.6.14-asm.2-osx.tar.gz.1.sig istio-1.6.14-asm.2-osx.tar.gz <<'EOF' -----BEGIN PUBLIC KEY----- MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw== -----END PUBLIC KEY----- EOF
예상되는 출력은
Verified OK입니다. -
원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
tar xzf istio-1.6.14-asm.2-osx.tar.gz
이 명령어는 다음을 포함하는 현재 작업 디렉터리에
istio-1.6.14-asm.2이라는 설치 디렉터리를 만듭니다.- 샘플 애플리케이션은
samples디렉터리에 있습니다. - Anthos Service Mesh를 설치하는 데 사용하는
istioctl명령줄 도구는bin디렉터리에 있습니다. - Anthos Service Mesh 구성 프로필은
manifests/profiles디렉터리에 있습니다.
- 샘플 애플리케이션은
- Anthos Service Mesh 설치 파일을 현재 작업 디렉터리에 다운로드합니다.
curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-win.zip
- 서명 파일을 다운로드하고
openssl을 사용하여 서명을 확인합니다.curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.6.14-asm.2-win.zip.1.sig openssl dgst -verify - -signature istio-1.6.14-asm.2-win.zip.1.sig istio-1.6.14-asm.2-win.zip <<'EOF' -----BEGIN PUBLIC KEY----- MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw== -----END PUBLIC KEY----- EOF
예상되는 출력은
Verified OK입니다. -
원하는 파일 시스템 위치에 파일 콘텐츠 압축을 풉니다. 예를 들어 콘텐츠를 현재 작업 디렉터리에 추출하려면 다음을 사용하세요.
tar xzf istio-1.6.14-asm.2-win.zip
이 명령어는 다음을 포함하는 현재 작업 디렉터리에
istio-1.6.14-asm.2이라는 설치 디렉터리를 만듭니다.- 샘플 애플리케이션은
samples디렉터리에 있습니다. - Anthos Service Mesh를 설치하는 데 사용하는
istioctl명령줄 도구는bin디렉터리에 있습니다. - Anthos Service Mesh 구성 프로필은
manifests/profiles디렉터리에 있습니다.
- 샘플 애플리케이션은
- Anthos Service Mesh 설치 루트 디렉터리에 있는지 확인합니다.
cd istio-1.6.14-asm.2
- 편의를 위해
/bin디렉터리의 도구를 PATH에 추가합니다.export PATH=$PWD/bin:$PATH
Linux
MacOS
Windows
Anthos Service Mesh 업그레이드
새 버전의 Anthos Service Mesh를 설치하려면 이중 제어 영역 업그레이드 프로세스(Istio 문서에서는 카나리아 업그레이드라고 함)를 따르는 것이 좋습니다. 이중 제어 영역 업그레이드를 사용하는 경우 기존 제어 영역과 함께 새 버전의 제어 영역을 설치합니다. 새 버전을 설치할 때 새 제어 영역의 버전을 식별하는 revision 라벨을 포함합니다. 각 버전은 자체 배포 및 서비스로 구현된 전체 Anthos Service Mesh 제어 영역입니다.
그런 다음 워크로드의 동일한 revision 라벨이 새 제어 영역을 가리키도록 설정하고 순차적 재시작을 수행하여 새 Anthos Service Mesh 버전으로 프록시를 다시 삽입합니다. 이 방식을 사용하면 일부 워크로드에서 업그레이드의 효과를 모니터링할 수 있습니다. 애플리케이션을 테스트한 후 모든 트래픽을 새 버전으로 마이그레이션할 수 있습니다. 이 방식은 새로운 제어 영역이 이전 버전의 제어 영역을 대체하는 인플레이스(In-Place) 업그레이드보다 훨씬 안전합니다.
제어 영역 업데이트
다음 명령어를 실행하여 새 제어 영역을 배포합니다. 지원되는 선택 기능을 사용 설정하려면 다음 명령줄에 -f와 YAML 파일 이름을 포함합니다. 자세한 내용은 선택 기능 사용 설정을 참조하세요.
istioctl install \ --set profile=asm-multicloud \ --set revision=asm-1614-2
--set revision 인수는 istio.io/rev 라벨을 istiod에 추가합니다. 명령어를 실행하면 두 개의 제어 영역 배포와 서비스가 나란히 실행됩니다.
kubectl get pods -n istio-system
출력 예시:
NAME READY STATUS RESTARTS AGE istio-ingressgateway-c56675fcd-86zdn 1/1 Running 0 2m9s istio-ingressgateway-c56675fcd-vn4nv 1/1 Running 0 2m21s istiod-asm-1614-2-6d5cfd4b89-xztlr 1/1 Running 0 3m44s istiod-fb7f746f4-wcntn 1/1 Running 0 50m promsd-579f9f9bf4-m65nc 2/2 Running 1 50m
워크로드 재배포
새 버전을 설치해도 기존 사이드카 프록시에는 영향을 미치지 않습니다. 기존 사이드카 프록시를 업그레이드하려면 새 제어 영역을 가리키도록 구성해야 합니다. 사이드카 삽입 중에는 네임 스페이스 라벨 istio.io/rev를 기반으로 제어됩니다.
새로운 Anthos Service Mesh 버전으로 삽입되도록 워크로드를 업데이트합니다.
kubectl label namespace NAMESPACE istio-injection- istio.io/rev=asm-1614-2 --overwrite
istio-injection라벨은istio.io/rev라벨보다 우선하므로 삭제해야 합니다.포드를 다시 시작하여 다시 삽입을 트리거합니다.
kubectl rollout restart deployment -n NAMESPACE
포드가
istiod-asm-1614-2제어 영역을 가리키도록 구성되어 있는지 확인합니다.kubectl get pods -n NAMESPACE -l istio.io/rev=asm-1614-2
애플리케이션을 테스트하여 워크로드가 올바르게 작동하는지 확인합니다.
다른 네임스페이스에 워크로드가 있으면 각 네임스페이스에 이전 단계를 반복합니다.
애플리케이션이 예상대로 작동한다고 판단되면 업그레이드 완료로 건너뜁니다. 그렇지 않으면 다음 단계를 수행하여 이전 버전으로 롤백합니다.
제어 영역의 이전 버전으로 삽입되도록 워크로드를 업데이트합니다.
kubectl label namespace NAMESPACE istio.io/rev- istio-injection=enabled --overwrite
프록시에 이전 버전이 지정되도록 다시 삽입을 트리거하는 포드를 다시 시작합니다.
kubectl rollout restart deployment -n NAMESPACE
제어 영역 구성요소 롤백
이전 1.6으로 롤백
istio-ingressgateway의 이전 버전을 다시 배포합니다.kubectl -n istio-system rollout undo deploy istio-ingressgateway새 제어 영역을 삭제합니다.
kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-asm-1614-2 -n istio-system --ignore-not-found=true
1.5로 롤백
1.5 Anthos Service Mesh 설치 파일을 다운로드한 디렉터리로 변경합니다.
이전 버전의 Anthos Service Mesh를 다시 설치합니다. 다음 명령어에서 선택적 기능을 사용 설정한 경우 YAML 파일 이름이 포함된 해당
--set values플래그나-f플래그를 포함해야 합니다.bin/istioctl install \ --set profile=asm-multicloud \
업그레이드 완료
애플리케이션이 예상대로 작동한다고 판단되면 이전 제어 영역을 삭제하여 업그레이드를 완료합니다.
kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod -n istio-system --ignore-not-found=true