Instalação, migração e upgrade para o GKE

Neste guia, explicamos como instalar, migrar ou fazer upgrade para a versão 1.8.6 do Anthos Service Mesh para uma malha contendo um ou mais clusters do GKE que estão no mesmo projeto. Você usa um script fornecido pelo Google, que configura o projeto e o cluster e, em seguida, instala o Anthos Service Mesh usando istioctl install.

Use este guia e o script para os seguintes casos de uso integrados:

• Novas instalações do Anthos Service Mesh 1.8.6.

• Como fazer upgrade do Anthos Service Mesh 1.7.3+ or a 1.8 patch release. Upgrades de versões anteriores não são compatíveis.

• Como migrar do Istio de código aberto 1.7 or 1.8 para o Anthos Service Mesh. Não é possível migrar de uma versão anterior do Istio. Não se esqueça de reler Como se preparar para migrar do Istio para planejar sua migração.

Observação:

Para informações sobre outros casos de uso de integração do Anthos Service Mesh, consulte o seguinte:

• Para instruções de instalação em que os clusters estão em projetos diferentes, consulte Instalação e migração de vários clusters para o GKE.
• Depois de instalar o Anthos Service Mesh, se você precisar configurar uma malha de serviço de vários clusters, consulte Adicionar clusters do GKE ao Anthos Service Mesh.

Pré-requisitos

Este guia pressupõe que você já tem:

• Um projeto do Google Cloud.
• Uma Conta de faturamento do Cloud.
• Um cluster do GKE que atenda aos requisitos.

Diferenças entre o Anthos e o Anthos Service Mesh

• Os assinantes do GKE Enterprise precisam ativar a API GKE Enterprise.

  Ativar a API

• Mesmo que você não seja um assinante do GKE Enterprise, ainda é possível instalar o Anthos Service Mesh, mas alguns elementos e recursos da IU no console do Google Cloud estão disponíveis apenas para assinantes do GKE Enterprise. Para informações sobre o que está disponível para assinantes e não assinantes, consulte Diferenças na interface do GKE Enterprise e Anthos Service Mesh. Para informações sobre os preços do Anthos Service Mesh para não assinantes, consulte Preços.

O script ativa todas as outras APIs do Google necessárias para você.

Requisitos

• Seu cluster do GKE precisa atender aos seguintes requisitos:

  • Um tipo de máquina que tem pelo menos 4 vCPUs, como e2-standard-4. Se o tipo de máquina do cluster não tiver pelo menos 4 vCPUs, altere o tipo de máquina conforme descrito em Como migrar cargas de trabalho para diferentes tipos de máquina.

  • O número mínimo de nós depende do seu tipo de máquina. O Anthos Service Mesh requer pelo menos 8 vCPUs. Se o tipo de máquina tiver 4 vCPUs, o cluster precisará ter pelo menos 2 nós. Se o tipo de máquina tiver 8 vCPUs, o cluster precisará apenas de 1 nó. Se for preciso adicionar nós, veja Como redimensionar um cluster.

  • Por padrão, o script ativa a Identidade da carga de trabalho no cluster. A identidade da carga de trabalho é o método recomendado para chamar APIs do Google. A ativação da Identidade da carga de trabalho altera a forma como as chamadas das cargas de trabalho para as APIs do Google são protegidas, conforme descrito em Limitações da Identidade da carga de trabalho.

    Se você estiver fazendo uma nova instalação e planeja usar a autoridade de certificação do Anthos Service Mesh (Mesh CA, na sigla em inglês), use o pool de identidade da carga de trabalho da frota como uma alternativa à identidade da carga de trabalho do GKE. Para usar a CA da malha com o pool de identidade da carga de trabalho da frota (Pré-visualização), siga as etapas em Como registrar um cluster antes de executar o script ou inclua a sinalização --enable-registration ao executar o script. Isso permitirá que o script registre o cluster no projeto em que ele está. Para um exemplo de execução do script, consulte Ativar a CA da malha com o pool de identidades da carga de trabalho da frota.

  • Como opção recomendada, inscreva o cluster em um canal de lançamento. Recomendamos que você se inscreva no canal de lançamento regular porque outros canais podem estar baseados em uma versão do GKE que não é compatível com o 1.8.6 do Anthos Service Mesh. Saiba mais em Ambientes compatíveis. Siga as instruções em Como registrar um cluster existente em um canal de lançamento se você tiver uma versão estática do GKE.

• Para serem incluídos na malha de serviço, as portas precisam ser nomeadas, e o nome precisa incluir o protocolo da porta na seguinte sintaxe: name: protocol[-suffix], em que os colchetes indicam um sufixo opcional que precisa começar com um traço. Saiba mais em Como nomear portas de serviço.

• Se você estiver instalando o Anthos Service Mesh em um cluster particular, abra a porta 15017 no firewall para que o webhook usado com a injeção automática de sidecar funcione corretamente. Para mais informações, consulte Como abrir uma porta em um cluster particular.

• Se você tiver criado um perímetro de serviço na sua organização, talvez seja necessário adicionar o serviço Mesh CA ao perímetro. Saiba mais em Como adicionar o Mesh CA a um perímetro de serviço.

• Para migrações, istiod precisa ser instalado no namespace istio-system, o que normalmente acontece.

• Um projeto do Google Cloud só pode ter uma malha associada a ele.

Como escolher uma autoridade de certificação

Para novas instalações e migrações, é possível usar a autoridade de certificação do Anthos Service Mesh (Mesh CA) ou o Citadel (agora incorporado em istiod) como a autoridade de certificação (CA) para emitir certificados TLS mútuos (mTLS) (em inglês).

Recomendamos que você use a Mesh CA pelos seguintes motivos:

• A Mesh CA é um serviço altamente confiável e escalonável, otimizado para cargas de trabalho escalonadas dinamicamente no Google Cloud.
• Com ela, o Google gerencia a segurança e a disponibilidade do back-end da CA.
• Esta autoridade de certificação possibilita confiar em uma única raiz de confiança entre os clusters.

Para novas instalações do Anthos Service Mesh, por padrão, o script ativa a CA do Mesh.

No entanto, há casos em que é recomendável usar o Citadel, como os seguintes:

• Se você tiver uma CA personalizada.

• Se você estiver migrando do Istio.

  Caso você escolha o Citadel, o tempo de inatividade será breve porque o tráfego mTLS não será interrompido durante a migração. Se você escolher Mesh CA, será necessário agendar o tempo de inatividade para a migração, porque a raiz da confiança é alterada de Citadel para Mesh CA. Para concluir a migração para a raiz de confiança da Mesh CA, é necessário reiniciar todos os pods em todos os namespaces. Durante esse processo, os pods antigos não podem estabelecer conexões mTLS com os novos pods.

Os certificados do Mesh CA incluem os seguintes dados sobre os serviços do aplicativo:

• O ID do projeto do Google Cloud
• O namespace do GKE
• O nome da conta de serviço do GKE

Importante: os certificados emitidos pelo Mesh CA só devem ser usados para permitir a comunicação segura entre serviços dentro da malha de serviço. Não os use para qualquer outra finalidade. Esses certificados são enviados sempre que os serviços tentam se comunicar usando a TLS mútua. Ao usar esses certificados para se comunicar fora da malha de serviço, certifique-se de não expor informações confidenciais inadvertidamente.

Como registrar o cluster

Você precisa registrar seu cluster com a frota para ter acesso à interface de usuário unificada no Console do Google Cloud. Uma frota fornece uma forma unificada de visualizar e gerenciar os clusters e as cargas de trabalho deles, incluindo clusters fora do Google Cloud.

Siga as etapas em Como registrar um cluster ou inclua a sinalização --enable-registration ao executar o script para permitir que ele registre o cluster no projeto que está.

Como instalar as ferramentas necessárias

É possível executar o script no Cloud Shell ou na máquina local executando o Linux. Todas as ferramentas necessárias são pré-instaladas no Cloud Shell. Observe que o macOS não é compatível porque ele vem com uma versão antiga do bash.

Cloud Shell

O Cloud Shell provisiona uma máquina virtual (VM) g1-small do Compute Engine que executa um sistema operacional Linux baseado em Debian. Veja abaixo as vantagens de usar o Cloud Shell:

• O Cloud Shell inclui gcloud, kubectl, kpt e as outras ferramentas de linha de comando que você precisa.

• O diretório $HOME do Cloud Shell tem 5 GB de espaço de armazenamento permanente.

• É possível escolher os editores de texto:

  • Editor de código, que você acessa clicando em na parte superior da janela do Cloud Shell.

  • Emacs, Vim ou Nano, que você acessa na linha de comando do Cloud Shell.

Para usar o Cloud Shell:

1. Acesse o Console do Google Cloud.
2. Selecione seu projeto do Google Cloud.

3. Clique no botão Ativar Cloud Shell na parte superior da janela do console do Google Cloud.

   

   Uma sessão do Cloud Shell é aberta dentro de um novo frame na parte inferior do console do Google Cloud, e exibe um prompt de linha de comando.

   

4. Atualize os componentes:

   gcloud components update
   

   O comando responde com uma saída semelhante a esta:

   ERROR: (gcloud.components.update)
   You cannot perform this action because the gcloud CLI component manager
   is disabled for this installation. You can run the following command
   to achieve the same result for this installation:
   
   sudo apt-get update && sudo apt-get --only-upgrade install ...

5. Copie o comando longo e cole-o para atualizar os componentes.

Computador Linux local

1. Verifique se você tem as seguintes ferramentas instaladas:

   • A Google Cloud CLI
   • As ferramentas de linha de comando padrão: awk, curl, grep, sed, sha256sum e tr
   • git
   • kpt
   • kubectl
   • jq

2. Faça a autenticação com a gcloud CLI:

   gcloud auth login
   

3. Atualize os componentes:

   gcloud components update
   

4. Verifique se git está no seu caminho para que kpt possa encontrá-lo.

Como fazer o download do script

Nesta seção, descreveremos como fazer o download do script, definir os parâmetros obrigatórios e opcionais e como executar o script. Para uma explicação detalhada sobre o que o script faz, consulte Noções básicas sobre o script.

1. Faça o download da versão do script que instala o Anthos Service Mesh 1.8.6 no diretório de trabalho atual:

   curl https://storage.googleapis.com/csm-artifacts/asm/install_asm_1.8 > install_asm
   

   Observação: recomendamos que você sempre faça o download da versão mais recente do script install_asm ao instalar o Anthos Service Mesh em um novo cluster do GKE. O comando na etapa anterior faz o download da versão mais recente.

2. Faça o download do SHA-256 do arquivo para o diretório de trabalho atual:

   curl https://storage.googleapis.com/csm-artifacts/asm/install_asm_1.8.sha256 > install_asm.sha256
   

3. Com os dois arquivos no mesmo diretório, verifique o download:

   sha256sum -c --ignore-missing install_asm.sha256
   

   Quando a verificação acabar, o comando gerará: install_asm: OK

   Para compatibilidade, o arquivo install_asm.sha256 inclui a soma de verificação duas vezes para permitir que qualquer versão do script seja renomeada como install_asm. Se você receber um erro informando que --ignore-missing não existe, execute novamente o comando anterior sem a sinalização --ignore-missing.

4. Torne o script executável:

   chmod +x install_asm
   

A seguir

• Novas instalações do Anthos Service Mesh
• Como fazer upgrade do Anthos Service Mesh para a versão mais recente
• Como migrar do Istio
• Reinstalar a mesma versão
• Referência