Penginstalan, migrasi, dan upgrade untuk GKE

Panduan ini menjelaskan cara menginstal, memigrasikan, atau mengupgrade ke Anthos Service Mesh versi 1.8.6 untuk mesh yang berisi satu atau beberapa cluster GKE yang berada dalam project yang sama. Anda menggunakan skrip yang disediakan Google, yang mengonfigurasi project dan cluster Anda, lalu menginstal Anthos Service Mesh menggunakan istioctl install.

Anda dapat menggunakan panduan ini dan skrip untuk kasus penggunaan orientasi berikut:

• Penginstalan baru Anthos Service Mesh 1.8.6.

• Mengupgrade dari Anthos Service Mesh 1.7.3+ or a 1.8 patch release. Upgrade dari versi sebelumnya tidak didukung.

• Bermigrasi dari Istio 1.7 or 1.8 open source ke Anthos Service Mesh. Bermigrasi dari Istio versi sebelumnya tidak didukung. Pastikan Anda meninjau Mempersiapkan migrasi dari Istio untuk merencanakan migrasi Anda.

Catatan:

Untuk mengetahui informasi tentang kasus penggunaan orientasi Anthos Service Mesh lainnya, lihat artikel berikut:

• Untuk mengetahui petunjuk penginstalan dengan cluster berada di project yang berbeda, lihat Penginstalan dan migrasi multi-cluster/multi-project untuk GKE.
• Setelah menginstal Anthos Service Mesh, jika Anda perlu mengonfigurasi mesh layanan multi-cluster, lihat Menambahkan cluster GKE ke Anthos Service Mesh.

Prasyarat

Panduan ini mengasumsikan bahwa Anda memiliki hal berikut:

• Project Google Cloud
• Akun Penagihan Cloud
• Cluster GKE yang memenuhi persyaratan.

Perbedaan Anthos dan Anthos Service Mesh

• Pelanggan GKE Enterprise, pastikan untuk mengaktifkan GKE Enterprise API.

  Mengaktifkan API

• Jika bukan pelanggan GKE Enterprise, Anda masih dapat menginstal Anthos Service Mesh, tetapi elemen dan fitur UI tertentu di Konsol Google Cloud hanya tersedia untuk pelanggan GKE Enterprise. Untuk mengetahui informasi tentang apa yang tersedia bagi pelanggan dan non-pelanggan, lihat perbedaan UI GKE Enterprise dan Anthos Service Mesh. Untuk mengetahui informasi tentang harga Anthos Service Mesh untuk non-pelanggan, lihat Harga.

Skrip ini mengaktifkan semua Google API lain yang diperlukan untuk Anda.

Persyaratan

• Cluster GKE Anda harus memenuhi persyaratan berikut:

  • Jenis mesin yang memiliki minimal 4 vCPU, seperti e2-standard-4. Jika jenis mesin untuk cluster Anda tidak memiliki minimal 4 vCPU, ubah jenis mesin seperti yang dijelaskan dalam Memigrasikan beban kerja ke jenis mesin yang berbeda.

  • Jumlah minimum node bergantung pada jenis mesin Anda. Anthos Service Mesh memerlukan setidaknya 8 vCPU. Jika jenis mesin memiliki 4 vCPU, cluster Anda harus memiliki setidaknya 2 node. Jika jenis mesin memiliki 8 vCPU, cluster hanya memerlukan 1 node. Jika perlu menambahkan node, lihat Mengubah ukuran cluster.

  • Secara default, skrip akan mengaktifkan Workload Identity di cluster Anda. Workload Identity adalah metode yang direkomendasikan untuk memanggil Google API. Mengaktifkan Workload Identity akan mengubah cara pengamanan panggilan dari beban kerja Anda ke Google API, seperti yang dijelaskan dalam Batasan Workload Identity.

    Jika Anda melakukan penginstalan baru dan berencana menggunakan certificate authority Anthos Service Mesh (Mesh CA), Anda dapat menggunakan kumpulan workload identity Fleet sebagai alternatif untuk identitas workload GKE. Untuk menggunakan CA Mesh dengan kumpulan identitas workload fleet (Pratinjau), Anda harus mengikuti langkah-langkah dalam Mendaftarkan cluster sebelum menjalankan skrip atau menyertakan flag --enable-registration saat menjalankan skrip agar skrip mendaftarkan cluster ke project tempat cluster berada. Untuk contoh menjalankan skrip, lihat Mengaktifkan CA Mesh dengan kumpulan workload identity fleet.

  • Opsional, tetapi direkomendasikan, daftarkan cluster di saluran rilis. Sebaiknya Anda mendaftar ke saluran Rilis reguler karena saluran lain mungkin didasarkan pada versi GKE yang tidak didukung dengan Anthos Service Mesh 1.8.6. Untuk informasi selengkapnya, lihat Lingkungan yang didukung. Ikuti petunjuk dalam Mendaftarkan cluster yang ada di saluran rilis jika Anda memiliki versi GKE statis.

• Agar dapat disertakan dalam mesh layanan, port layanan harus diberi nama, dan namanya harus menyertakan protokol port dalam sintaksis berikut: name: protocol[-suffix] dengan tanda kurung siku menunjukkan akhiran opsional yang harus diawali dengan tanda pisah. Untuk mengetahui informasi selengkapnya, lihat Penamaan port layanan.

• Jika Anda menginstal Anthos Service Mesh di cluster pribadi, Anda harus membuka port 15017 di firewall agar webhook digunakan dengan injeksi file bantuan otomatis agar berfungsi dengan benar. Untuk informasi selengkapnya, lihat Membuka port di cluster pribadi.

• Jika telah membuat perimeter layanan di organisasi, Anda mungkin perlu menambahkan layanan Mesh CA ke perimeter. Lihat Menambahkan Mesh CA ke perimeter layanan untuk mengetahui informasi selengkapnya.

• Untuk migrasi, istiod harus diinstal di namespace istio-system, dan biasanya begitu.

• Project Google Cloud hanya dapat memiliki satu mesh yang terkait dengannya.

Memilih certificate authority

Untuk penginstalan dan migrasi baru, Anda dapat menggunakan certificate authority Anthos Service Mesh (Mesh CA) atau Citadel (kini digabungkan di istiod) sebagai certificate authority (CA) untuk menerbitkan sertifikat TLS (mTLS).

Sebaiknya gunakan Mesh CA karena alasan berikut:

• Mesh CA adalah layanan yang sangat andal dan skalabel yang dioptimalkan untuk workload yang diskalakan secara dinamis di Google Cloud.
• Dengan Mesh CA, Google mengelola keamanan dan ketersediaan backend CA.
• Mesh CA memungkinkan Anda mengandalkan satu root kepercayaan di seluruh cluster.

Untuk penginstalan baru Anthos Service Mesh, secara default skrip akan mengaktifkan Mesh CA.

Namun, ada beberapa kasus saat Anda mungkin ingin mempertimbangkan untuk menggunakan Citadel, seperti berikut:

• Jika Anda memiliki CA kustom.

• Jika Anda bermigrasi dari Istio.

  Jika Anda memilih Citadel, periode nonaktif akan sedikit terjadi karena traffic mTLS tidak terganggu selama migrasi. Jika memilih Mesh CA, Anda harus menjadwalkan periode nonaktif untuk migrasi karena root kepercayaan berubah dari Citadel ke Mesh CA. Untuk menyelesaikan migrasi ke root kepercayaan CA Mesh, Anda harus memulai ulang semua Pod di semua namespace. Selama proses ini, Pod lama tidak dapat membuat koneksi mTLS dengan Pod baru.

Sertifikat dari Mesh CA mencakup data berikut tentang layanan aplikasi Anda:

• Project ID Google Cloud
• Namespace GKE
• Nama akun layanan GKE

Penting: Sertifikat yang diterbitkan oleh Mesh CA hanya boleh digunakan untuk memungkinkan komunikasi layanan-ke-layanan yang aman dalam mesh layanan Anda, dan tidak digunakan untuk tujuan lain. Sertifikat ini dikirim setiap kali layanan mencoba berkomunikasi satu sama lain menggunakan TLS. Pastikan Anda tidak mengekspos informasi rahasia secara tidak sengaja dengan menggunakan sertifikat ini saat berkomunikasi di luar mesh layanan.

Mendaftarkan cluster Anda

Anda harus mendaftarkan cluster ke fleet untuk mendapatkan akses ke antarmuka pengguna terpadu di konsol Google Cloud. Armada menyediakan cara terpadu untuk melihat dan mengelola cluster dan beban kerjanya, termasuk cluster di luar Google Cloud.

Anda dapat mengikuti langkah-langkah dalam artikel Mendaftarkan cluster atau menyertakan flag --enable-registration saat menjalankan skrip agar skrip dapat mendaftarkan cluster ke project tempat cluster berada.

Menginstal alat yang diperlukan

Anda dapat menjalankan skrip ini di Cloud Shell atau di mesin lokal yang menjalankan Linux. Cloud Shell menginstal semua alat yang diperlukan. Perhatikan bahwa macOS tidak didukung karena dilengkapi dengan bash versi lama.

Cloud Shell

Cloud Shell menyediakan mesin virtual (VM) Compute Engine g1-small yang menjalankan sistem operasi Linux berbasis Debian. Keuntungan menggunakan Cloud Shell adalah:

• Cloud Shell mencakup gcloud, kubectl, kpt, dan alat command line lain yang Anda butuhkan.

• Direktori $HOME Cloud Shell Anda memiliki ruang penyimpanan persisten sebesar 5 GB.

• Anda dapat memilih editor teks:

  • Editor kode, yang dapat Anda akses dengan mengklik di bagian atas jendela Cloud Shell.

  • Emacs, Vim, atau Nano, yang Anda akses dari command line di Cloud Shell.

Untuk menggunakan Cloud Shell:

1. Buka Konsol Google Cloud.
2. Pilih project Google Cloud Anda.

3. Klik tombol Activate Cloud Shell di bagian atas jendela Konsol Google Cloud.

   

   Sesi Cloud Shell akan terbuka di dalam frame baru di bagian bawah Konsol Google Cloud dan menampilkan prompt command line.

   

4. Update komponen:

   gcloud components update
   

   Perintah ini merespons dengan output yang mirip dengan berikut ini:

   ERROR: (gcloud.components.update)
   You cannot perform this action because the gcloud CLI component manager
   is disabled for this installation. You can run the following command
   to achieve the same result for this installation:
   
   sudo apt-get update && sudo apt-get --only-upgrade install ...

5. Salin perintah long dan tempel untuk mengupdate komponen.

Komputer Linux lokal

1. Pastikan Anda telah menginstal alat berikut:

   • Google Cloud CLI
   • Alat command line standar: awk, curl, grep, sed, sha256sum, dan tr
   • git
   • kpt
   • kubectl
   • jq

2. Lakukan autentikasi dengan gcloud CLI:

   gcloud auth login
   

3. Update komponen:

   gcloud components update
   

4. Pastikan git berada di jalur Anda sehingga kpt dapat menemukannya.

Mendownload skrip

Bagian ini menjelaskan cara mendownload skrip, menetapkan parameter yang diperlukan dan opsional, serta menjalankan skrip. Untuk penjelasan mendetail tentang fungsi skrip, lihat Memahami skrip.

1. Download versi skrip yang menginstal Anthos Service Mesh 1.8.6 ke direktori kerja saat ini:

   curl https://storage.googleapis.com/csm-artifacts/asm/install_asm_1.8 > install_asm
   

   Catatan: Sebaiknya selalu download skrip install_asm versi terbaru saat Anda menginstal Anthos Service Mesh di cluster GKE baru. Perintah di langkah sebelumnya akan mendownload versi terbaru.

2. Download file SHA-256 ke direktori kerja saat ini:

   curl https://storage.googleapis.com/csm-artifacts/asm/install_asm_1.8.sha256 > install_asm.sha256
   

3. Dengan kedua file berada di direktori yang sama, verifikasi download:

   sha256sum -c --ignore-missing install_asm.sha256
   

   Jika verifikasi berhasil, perintah akan menghasilkan output: install_asm: OK

   Untuk kompatibilitas, file install_asm.sha256 menyertakan checksum dua kali untuk memungkinkan nama versi skrip apa pun diganti menjadi install_asm. Jika Anda mendapatkan error bahwa --ignore-missing tidak ada, jalankan kembali perintah sebelumnya tanpa flag --ignore-missing.

4. Buat agar skrip dapat dieksekusi:

   chmod +x install_asm
   

Langkah selanjutnya

• Penginstalan baru Anthos Service Mesh
• Mengupgrade Anthos Service Mesh ke versi terbaru
• Bermigrasi dari Istio
• Menginstal ulang versi yang sama
• Referensi