Se você tiver criado um perímetro de serviço na sua organização, adicione o serviço Mesh CA ao perímetro nos seguintes casos:
- O cluster em que o Anthos Service Mesh foi instalado está em um projeto incluído em um perímetro de serviço.
- O cluster em que o Anthos Service Mesh foi instalado é um projeto de serviço em uma rede VPC compartilhada.
Se você não adicionar o Mesh CA ao perímetro de serviço, ele não poderá emitir os certificados de carga de trabalho corretamente. Depois de adicionar o Mesh CA ao perímetro de serviço, a emissão de certificados de identidade da carga de trabalho fica restrita à rede de nuvem privada virtual (VPC) do cluster.
Antes de começar
A configuração do perímetro de serviço do VPC Service Controls está no nível da organização. Verifique se você recebeu os papéis adequados para administrar o VPC Service Controls.
Como adicionar o Mesh CA a um perímetro de serviço existente
Console
- Siga as etapas em Como atualizar um perímetro de serviço para editar o perímetro.
- Na página Editar perímetro de serviço VPC, em Serviços a serem protegidos, clique em Adicionar serviços.
- Na caixa de diálogo Especificar serviços a serem restringidos, clique em Filtrar serviços e digite API Cloud Service Mesh Certificate Authority.
- Marque a caixa de seleção do serviço.
- Clique em Adicionar API Cloud Service Mesh Certificate Authority.
- Clique em Save.
gcloud
Para atualizar a lista de serviços restritos, use o comando update
e
especifique os serviços a serem adicionados como uma lista delimitada por vírgulas:
gcloud access-context-manager perimeters update PERIMETER_NAME \ --add-restricted-services=meshca.googleapis.com[,OTHER_SERVICES \ --policy=POLICY_NAME
Em que:
PERIMETER_NAME é o nome do perímetro de serviço que você quer atualizar.
OTHER_SERVICES é uma lista opcional separada por vírgulas de um ou mais serviços a serem incluídos no perímetro, além de
meshca.googleapis.com
. Por exemplo,meshca.googleapis.com,storage.googleapis.com
oumeshca.googleapis.com,storage.googleapis.com,bigquery.googleapis.com
.POLICY_NAME é o nome numérico da política de acesso da sua organização. Por exemplo,
330193482019
.
Consulte Como atualizar um perímetro de serviço para mais informações.