从 Istio 迁移到 Anthos Service Mesh 需要一些规划。本页面提供的信息可帮助您为迁移做好准备。
查看支持的功能
Anthos Service Mesh 支持的功能因平台而异。如需了解哪些功能适用于您的平台，请查看支持的功能。某些功能默认处于启用状态，其他功能可以通过创建 IstioOperator 配置文件视需要启用。
准备配置文件
如果您自定义了 Istio 安装，则在迁移到 Anthos Service Mesh 时也需要使用相同的自定义设置。如果您通过添加 --set values 标志自定义了安装，请将这些设置添加到 IstioOperator YAML 文件中。您可以在运行 istioctl install 命令时使用 -f 标志指定该文件。如果您要使用 Google 提供的 install_asm 脚本迁移到 Anthos Service Mesh，则可以在该文件中指定 --custom-overlay 选项。
选择证书授权机构
您可以继续使用 Citadel（现在包含在 istiod 中）作为颁发双向 TLS (mTLS) 证书的证书授权机构 (CA)，也可以选择迁移到 Anthos Service Mesh 证书授权机构 (Mesh CA)。
基于以下原因，我们通常建议您使用 Mesh CA：
- Mesh CA 是一项高度可靠的可扩缩服务，针对 Google Cloud 上动态扩缩的工作负载进行了优化。
- 通过 Mesh CA，Google 负责管理 CA 后端的安全性和可用性。
- Mesh CA 让您可在集群中依赖单个信任根。
不过，在某些情况下，您可能会考虑使用 Citadel，例如：
- 如果您拥有自定义 CA。
- 您无法为迁移到 Mesh CA 安排停机时间。如果您选择 Citadel，则几乎不存在停机时间，因为 mTLS 流量在迁移期间不会中断。如果您选择 Mesh CA，则需要为迁移安排停机时间，因为信任根从 Citadel 更改为 Mesh CA。如需完成迁移到 Mesh CA 信任根，您需要重启所有命名空间中的所有 Pod。在此过程中，旧 Pod 无法与新 Pod 建立 mTLS 连接。