Anthos Service Mesh 1.7 已达到服务终止期限，不再受支持。请参阅从早期版本升级。

查看最新文档或选择其他可用版本：

可用版本

此页面由 Cloud Translation API 翻译。

安装 Anthos Service Mesh

本页面是多页指南中的一部分，介绍如何在 GKE 集群上为包含属于不同 Google Cloud 项目的多个集群的网格安装 Anthos Service Mesh 版本 1.7.8。如需了解单集群网格上的安装或为包含属于同一 Google Cloud 项目的多个集群的网格进行安装，请参阅在 GKE 上安装、迁移和升级。如果您的多集群/多项目网格是从 Istio 进行迁移，请参阅从 Istio 迁移到 Anthos Service Mesh。

< 上一页

准备工作

在安装 Anthos Service Mesh 之前，请确保您已经：

设置您的环境以安装所需的工具。
设置您的项目以启用所需的 API 并设置权限。
设置您的集群以启用所需的集群选项。

设置凭据和权限

初始化您的项目，以便准备好安装。除此之外，以下命令会创建一个服务账号，可让控制层面组件（例如边车代理）安全地访问您的项目的数据和资源。
```
curl --request POST \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --data '' \
  "https://meshconfig.googleapis.com/v1alpha1/projects/${PROJECT_ID}:initialize"
```
该命令会以空花括号作为响应：{}
获取身份验证凭据以便与集群进行交互。此命令还会将 kubectl 的当前上下文设置为该集群。
```
gcloud container clusters get-credentials ${CLUSTER_NAME} \
    --project=${PROJECT_ID}
```
注意：除非您设置了默认可用区或区域，否则需要在命令中提供区域 (--region=REGION) 或可用区 (--zone=ZONE)。
向当前用户授予集群管理员权限。您需要这些权限，以便为 Anthos Service Mesh 创建必要的基于角色的访问权限控制 (RBAC) 规则。
```
kubectl create clusterrolebinding cluster-admin-binding \
  --clusterrole=cluster-admin \
  --user="$(gcloud config get-value core/account)"
```

如果看到 "cluster-admin-binding" already exists 错误，您可以放心地忽略该错误并继续采用现有集群管理员绑定。

下载安装文件

Linux

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-linux-amd64.tar.gz

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-linux-amd64.tar.gz.1.sig
openssl dgst -verify /dev/stdin -signature istio-1.7.8-asm.10-linux-amd64.tar.gz.1.sig istio-1.7.8-asm.10-linux-amd64.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：

tar xzf istio-1.7.8-asm.10-linux-amd64.tar.gz

该命令会在当前工作目录中创建一个名为 istio-1.7.8-asm.10 的安装目录，其中包含：

samples 目录中的示例应用。
用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。

Mac OS

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-osx.tar.gz

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-osx.tar.gz.1.sig
openssl dgst -sha256 -verify /dev/stdin -signature istio-1.7.8-asm.10-osx.tar.gz.1.sig istio-1.7.8-asm.10-osx.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：

tar xzf istio-1.7.8-asm.10-osx.tar.gz

该命令会在当前工作目录中创建一个名为 istio-1.7.8-asm.10 的安装目录，其中包含：

samples 目录中的示例应用。
用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。

Windows

将 Anthos Service Mesh 安装文件下载到当前工作目录中：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-win.zip

下载签名文件并使用 openssl 验证签名：

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.7.8-asm.10-win.zip.1.sig
openssl dgst -verify - -signature istio-1.7.8-asm.10-win.zip.1.sig istio-1.7.8-asm.10-win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

预期输出为 Verified OK

将文件内容提取到文件系统上的任意位置。例如，如需将内容提取到当前工作目录，请运行以下命令：

tar xzf istio-1.7.8-asm.10-win.zip

该命令会在当前工作目录中创建一个名为 istio-1.7.8-asm.10 的安装目录，其中包含：

samples 目录中的示例应用。
用于安装 Anthos Service Mesh 的 istioctl 命令行工具位于 bin 目录中。
Anthos Service Mesh 配置文件位于 manifests/profiles 目录中。

确保您位于 Anthos Service Mesh 安装的根目录。
```
cd istio-1.7.8-asm.10
```
为方便起见，请将 /bin 目录中的工具添加到 PATH：
```
export PATH=$PWD/bin:$PATH
```

准备资源配置文件

运行 istioctl install 命令时，请在命令行中指定 -f istio-operator.yaml。此文件包含 Anthos Service Mesh 所需的项目和集群的相关信息。您需要下载包含 istio-operator.yaml 和其他资源配置文件的软件包，以便设置项目和集群信息。

如需准备资源配置文件，请执行以下操作：

Mesh CA

为 Anthos Service Mesh 软件包资源配置文件创建一个新目录。我们建议您使用集群名称作为目录名称。
切换到您要在其中下载 Anthos Service Mesh 软件包的目录。

下载软件包：

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.7-asm asm

为在其中创建集群的项目设置项目 ID：

kpt cfg set asm gcloud.core.project ${PROJECT_ID}

为舰队宿主项目设置项目编号：

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

设置集群名称：

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

设置默认可用区或区域：

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

将标记设置为您要安装的 Anthos Service Mesh 版本：
```
kpt cfg set asm anthos.servicemesh.tag 1.7.8-asm.10
```
设置验证网络钩子以使用修订版本标签：
```
kpt cfg set asm anthos.servicemesh.rev asm-178-10
```
安装 Anthos Service Mesh 时，您可以在 istiod 上设置修订版本标签。您需要在验证网络钩子上设置相同的修订版本。
由于多集群配置中的集群在不同项目中，因此您需要为将形成多集群/多项目服务网格的其他项目配置信任网域别名。
1. 获取将进入多集群/多项目网格的所有集群的项目 ID。
2. 针对每个集群的项目 ID，设置信任网域别名。例如，如果 3 个项目中存在集群，请运行以下命令，并将 PROJECT_ID_1、PROJECT_ID_2 和 PROJECT_ID_3 替换为每个集群的项目 ID。
```
kpt cfg set asm anthos.servicemesh.trustDomainAliases PROJECT_ID_1.svc.id.goog PROJECT_ID_2.svc.id.goog PROJECT_ID_3.svc.id.goog
```
  在其他项目中配置集群时，您可以使用相同的命令。
  
  通过信任网域别名，Mesh CA 可对其他项目中的集群上的工作负载进行身份验证。除了设置信任网域别名之外，在安装 Anthos Service Mesh 之后，您还必须启用跨集群负载均衡。
输出 kpt setter 的值：
```
kpt cfg list-setters asm
```
在命令的输出中，验证以下 setter 的值是否正确：
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- anthos.servicemesh.trustDomainAliases
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
您可以忽略其他 setter 的值。

Citadel

为 Anthos Service Mesh 软件包资源配置文件创建一个新目录。我们建议您使用集群名称作为目录名称。
切换到您要在其中下载 Anthos Service Mesh 软件包的目录。

下载软件包：

kpt pkg get \
https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.7-asm asm

为在其中创建集群的项目设置项目 ID：

kpt cfg set asm gcloud.core.project ${PROJECT_ID}

为舰队宿主项目设置项目编号：

kpt cfg set asm gcloud.project.environProjectNumber ${FLEET_PROJECT_NUMBER}

设置集群名称：

kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}

设置默认可用区或区域：

kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}

将标记设置为您要安装的 Anthos Service Mesh 版本：
```
kpt cfg set asm anthos.servicemesh.tag 1.7.8-asm.10
```
设置验证网络钩子以使用修订版本标签：
```
kpt cfg set asm anthos.servicemesh.rev asm-178-10
```
安装 Anthos Service Mesh 时，您可以在 istiod 上设置修订版本标签。您需要在验证网络钩子上设置相同的修订版本。
输出 kpt setter 的值：
```
kpt cfg list-setters asm
```
在命令的输出中，验证以下 setter 的值是否正确：
- anthos.servicemesh.rev
- anthos.servicemesh.tag
- gcloud.compute.location
- gcloud.container.cluster
- gcloud.core.project
- gcloud.project.environProjectNumber
您可以忽略其他 setter 的值。