Penginstalan dan migrasi multi-project di GKE

Panduan ini menjelaskan cara menginstal atau bermigrasi ke Anthos Service Mesh dari Istio open source untuk mesh yang berisi beberapa cluster GKE yang berada di project Google Cloud yang berbeda.

Anda dapat menggunakan panduan ini untuk kasus penggunaan orientasi berikut:

• Penginstalan baru Anthos Service Mesh 1.8.6.

• Melakukan migrasi dari Istio 1.7 or 1.8 open source ke Anthos Service Mesh 1.8.6. Jika memiliki Istio versi sebelumnya, Anda harus mengupgrade terlebih dahulu sebelum bermigrasi ke Anthos Service Mesh.

Tidak semua fitur tersedia untuk mesh layanan dengan cluster dalam project yang berbeda. Secara khusus, dasbor Anthos Service Mesh di konsol Google Cloud saat ini tidak tersedia. Namun, Anda masih dapat melihat log di Cloud Logging dan metrik di Cloud Monitoring untuk setiap project.

Catatan:

Untuk mengetahui informasi tentang kasus penggunaan orientasi Anthos Service Mesh lainnya, lihat artikel berikut:

• Guna mengetahui petunjuk penginstalan cluster yang ada dalam project Google Cloud yang sama, lihat Penginstalan, migrasi, dan upgrade untuk GKE.
• Setelah menginstal Anthos Service Mesh, jika Anda perlu mengonfigurasi mesh layanan multi-cluster, lihat Menambahkan cluster GKE ke Anthos Service Mesh.

Sebelum memulai

Panduan ini mengasumsikan bahwa Anda sudah:

• Project Google Cloud.
• Akun Penagihan Cloud.
• Cluster GKE yang memenuhi persyaratan.

Jika Anda bermigrasi dari Istio, pastikan untuk meninjau Bersiap bermigrasi dari Istio.

Perbedaan Anthos dan Anthos Service Mesh

• Pelanggan GKE Enterprise, pastikan untuk mengaktifkan GKE Enterprise API.

  Mengaktifkan API

• Jika bukan pelanggan GKE Enterprise, Anda masih dapat menginstal Anthos Service Mesh, tetapi elemen dan fitur UI tertentu di Konsol Google Cloud hanya tersedia untuk pelanggan GKE Enterprise. Untuk mengetahui informasi tentang apa yang tersedia bagi pelanggan dan non-pelanggan, lihat perbedaan UI GKE Enterprise dan Anthos Service Mesh. Untuk mengetahui informasi tentang harga Anthos Service Mesh untuk non-pelanggan, lihat Harga.

Persyaratan

• Karena cluster Anda berada di project yang berbeda, cluster tersebut harus berada di Shared Virtual Private Cloud (VPC). Untuk mengetahui informasi tentang cara mengonfigurasi cluster, lihat Menyiapkan cluster dengan VPC Bersama.

• Cluster GKE Anda harus memenuhi persyaratan berikut:

  • Jenis mesin yang memiliki minimal empat vCPU, seperti e2-standard-4. Jika jenis mesin untuk cluster Anda tidak memiliki setidaknya empat vCPU, ubah jenis mesin seperti yang dijelaskan dalam Memigrasikan beban kerja ke jenis mesin yang berbeda.

  • Jumlah minimum node bergantung pada jenis mesin Anda. Anthos Service Mesh memerlukan setidaknya delapan vCPU. Jika jenis mesin memiliki empat vCPU, cluster Anda harus memiliki setidaknya dua node. Jika jenis mesin memiliki delapan vCPU, cluster hanya memerlukan satu node. Jika perlu menambahkan node, lihat Mengubah ukuran cluster.

  • Untuk menyiapkan cluster sebelum menginstal Anthos Service Mesh, aktifkan Workload Identity. Workload Identity adalah metode panggilan Google API yang direkomendasikan. Mengaktifkan Workload Identity akan mengubah cara pengamanan panggilan dari beban kerja Anda ke Google API, seperti yang dijelaskan dalam Batasan Workload Identity.

  • Secara opsional, tetapi direkomendasikan, daftarkan cluster di saluran rilis. Sebaiknya Anda mendaftar ke saluran Rilis reguler karena saluran lain mungkin didasarkan pada versi GKE yang tidak didukung dengan Anthos Service Mesh 1.8.6. Untuk informasi selengkapnya, lihat Lingkungan yang didukung. Ikuti petunjuk dalam Mendaftarkan cluster yang ada di saluran rilis jika Anda memiliki versi GKE statis.

• Agar dapat disertakan dalam mesh layanan, port layanan harus diberi nama, dan namanya harus menyertakan protokol port dalam sintaksis berikut: name: protocol[-suffix] dengan tanda kurung siku menunjukkan akhiran opsional yang harus diawali dengan tanda pisah. Untuk mengetahui informasi selengkapnya, lihat Penamaan port layanan.

• Jika Anda menginstal Anthos Service Mesh di cluster pribadi, Anda harus membuka port 15017 di firewall agar webhook digunakan dengan injeksi file bantuan otomatis agar berfungsi dengan benar. Untuk informasi selengkapnya, lihat Membuka port di cluster pribadi.

• Jika telah membuat perimeter layanan di organisasi, Anda mungkin perlu menambahkan layanan Mesh CA ke perimeter. Lihat Menambahkan Mesh CA ke perimeter layanan untuk mengetahui informasi selengkapnya.

• Project Google Cloud hanya dapat memiliki satu mesh yang terkait dengannya.

Memilih certificate authority

Untuk penginstalan dan migrasi baru, Anda dapat menggunakan certificate authority Anthos Service Mesh (Mesh CA) atau Citadel (kini digabungkan di istiod) sebagai certificate authority (CA) untuk menerbitkan sertifikat TLS (mTLS).

Sebaiknya gunakan Mesh CA karena alasan berikut:

• Mesh CA adalah layanan yang sangat andal dan skalabel yang dioptimalkan untuk workload yang diskalakan secara dinamis di Google Cloud.
• Dengan Mesh CA, Google mengelola keamanan dan ketersediaan backend CA.
• Mesh CA memungkinkan Anda mengandalkan satu root kepercayaan di seluruh cluster.

Namun, ada beberapa kasus saat Anda mungkin ingin mempertimbangkan untuk menggunakan Citadel, seperti berikut:

• Jika Anda memiliki CA kustom.

• Jika Anda bermigrasi dari Istio.

  Jika Anda memilih Citadel, periode nonaktif akan sedikit terjadi karena traffic mTLS tidak terganggu selama migrasi. Jika memilih Mesh CA, Anda harus menjadwalkan periode nonaktif untuk migrasi karena root kepercayaan berubah dari Citadel ke Mesh CA. Untuk menyelesaikan migrasi ke root kepercayaan CA Mesh, Anda harus memulai ulang semua Pod di semua namespace. Selama proses ini, Pod lama tidak dapat membuat koneksi mTLS dengan Pod baru.

Sertifikat dari Mesh CA mencakup data berikut tentang layanan aplikasi Anda:

• Project ID Google Cloud
• Namespace GKE
• Nama akun layanan GKE

Penting: Sertifikat yang diterbitkan oleh Mesh CA hanya boleh digunakan untuk memungkinkan komunikasi layanan-ke-layanan yang aman dalam mesh layanan Anda, dan tidak digunakan untuk tujuan lain. Sertifikat ini dikirim setiap kali layanan mencoba berkomunikasi satu sama lain menggunakan TLS. Pastikan Anda tidak mengekspos informasi rahasia secara tidak sengaja dengan menggunakan sertifikat ini saat berkomunikasi di luar mesh layanan.

Mendaftarkan cluster Anda

Meskipun saat ini tidak diwajibkan, sebaiknya daftarkan cluster Anda di fleet project (sebelumnya disebut environ). Armada memungkinkan Anda mengatur cluster untuk mempermudah pengelolaan multi-cluster. Dengan mendaftarkan cluster dalam suatu fleet, Anda dapat mengelompokkan layanan dan infrastruktur lainnya sesuai kebutuhan untuk menerapkan kebijakan yang konsisten. Jika memiliki cluster dalam project berbeda, Anda harus mendaftarkan cluster tersebut ke project host armada, bukan project tempat cluster dibuat. Untuk mengetahui detail tentang cara mendaftarkan cluster, lihat Mendaftarkan cluster ke fleet.

Konsep project host fleet bersifat penting saat Anda menyiapkan cluster untuk mengaktifkan opsi yang diperlukan Anthos Service Mesh. Mesh layanan untuk cluster Anda diidentifikasi dengan nilai yang didasarkan pada nomor project. Saat menyiapkan cluster dari project yang berbeda, Anda harus menggunakan nomor project untuk project host fleet.

Berikutnya >