Actualiza Anthos Service Mesh de forma local

Prepárate para la actualización

Si personalizaste la instalación anterior, necesitas las mismas personalizaciones cuando actualices a una versión nueva de Anthos Service Mesh o si migras desde Istio. Si personalizaste la instalación agregando la marca --set values a istioctl install, debes agregar esa configuración a un archivo YAML IstioOperator, denominado archivo de superposición. Especifica el archivo de superposición mediante la opción --custom_overlay con el nombre del archivo cuando ejecutes la secuencia de comandos. La secuencia de comandos pasa el archivo de superposición a istioctl install.

Precaución: Omitir el archivo de configuración da como resultado una instalación correcta. Sin embargo, la malla de servicios tiene una configuración diferente a la que esperabas, ya que los valores omitidos se restablecen a los valores predeterminados cuando se vuelven a implementar el plano de control y la puerta de enlace de entrada.

Nota: La actualización in situ con istioctl upgrade no es compatible con Anthos Service Mesh.

La secuencia de comandos sigue el proceso de actualización de revisión (denominado actualización “canary” en la documentación de Istio). Con una actualización basada en revisión, la secuencia de comandos instala una versión nueva del plano de control junto con el plano de control existente. Cuando se instala la versión nueva, la secuencia de comandos incluye una etiqueta revision que identifica el nuevo plano de control.

Luego, migras a la versión nueva mediante la configuración de la misma etiqueta revision en tus cargas de trabajo y la ejecución de un reinicio progresivo para volver a incorporar los proxies a fin de que usen la versión y la configuración nuevas de Anthos Service Mesh. Con este enfoque, puedes supervisar el efecto de la actualización en un porcentaje pequeño de tus cargas de trabajo. Después de probar la aplicación, puedes migrar todo el tráfico a la versión nueva. Este enfoque es mucho más seguro que realizar una actualización in situ donde los nuevos componentes del plano de control reemplazan la versión anterior.

Importante: Cuando ejecutes la secuencia de comandos, debes incluir --option revisioned-istio-ingressgateway como se muestra en todos los ejemplos. Con esta opción, la secuencia de comandos crea una Deployment istio-ingressgateway revisado. Esto te permite controlar el cambio a la nueva versión. Si no incluyes esta opción, la secuencia de comandos realiza una actualización in situ de istio-ingressgateway.

Configura tu entorno

Necesitas tener las siguientes herramientas en la máquina en la que deseas instalar Anthos Service Mesh. Ten en cuenta que solo puedes instalar Anthos Service Mesh en un clúster de usuario, no en uno de administrador.

• La herramienta de línea de comandos de curl
• Google Cloud CLI.

Después de instalar Google Cloud CLI:

1. Autentica con Google Cloud CLI

   gcloud auth login
   

2. Actualiza los componentes:

   gcloud components update
   

3. Instala kubectl:

   gcloud components install kubectl
   

4. Instala la versión requerida de kpt:

      curl -L https://github.com/GoogleContainerTools/kpt/releases/download/v0.39.2/kpt_linux_amd64 > kpt_0_39_2
      chmod +x kpt_0_39_2
      alias kpt="$(readlink -f kpt_0_39_2)"
   

   Nota: No uses gcloud para instalar y actualizar kpt. Descarga la versión de kpt requerida.

5. Cambia el contexto del clúster de usuario:

   kubectl config use-context CLUSTER_NAME

6. Otorga permisos de administrador de clúster a tu cuenta de usuario (tu dirección de correo electrónico de acceso de Google Cloud). Estos permisos son obligatorios a fin de crear las reglas de control de acceso basado en funciones (RBAC) necesarias para Anthos Service Mesh:

   kubectl create clusterrolebinding cluster-admin-binding \
     --clusterrole=cluster-admin \
     --user=USER_ACCOUNT

Descarga el archivo de instalación

Linux

1. Descarga el archivo de instalación de Anthos Service Mesh en el directorio de trabajo actual:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-linux-amd64.tar.gz

2. Descarga el archivo de firma y usa openssl para verificar la firma:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-linux-amd64.tar.gz.1.sig
   openssl dgst -verify /dev/stdin -signature istio-1.9.8-asm.6-linux-amd64.tar.gz.1.sig istio-1.9.8-asm.6-linux-amd64.tar.gz <<'EOF'
   -----BEGIN PUBLIC KEY-----
   MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
   wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
   -----END PUBLIC KEY-----
   EOF

   El resultado esperado es: Verified OK.

3. Extrae el contenido del archivo a cualquier ubicación en tu sistema de archivos. Por ejemplo, para extraer el contenido en el directorio de trabajo actual, ingresa este comando:

    tar xzf istio-1.9.8-asm.6-linux-amd64.tar.gz

   El comando crea un directorio de instalación en tu directorio de trabajo actual llamado istio-1.9.8-asm.6 que contiene lo siguiente:

   • Hay aplicaciones de muestra en el directorio samples.
   • La herramienta de línea de comandos de istioctl que usas para instalar Anthos Service Mesh se encuentra en el directorio bin.
   • Los perfiles de configuración de Anthos Service Mesh se encuentran en el directorio manifests/profiles.

4. Asegúrate de estar en el directorio raíz de la instalación de Anthos Service Mesh.

   cd istio-1.9.8-asm.6

macOS

1. Descarga el archivo de instalación de Anthos Service Mesh en el directorio de trabajo actual:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-osx.tar.gz

2. Descarga el archivo de firma y usa openssl para verificar la firma:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-osx.tar.gz.1.sig
   openssl dgst -sha256 -verify /dev/stdin -signature istio-1.9.8-asm.6-osx.tar.gz.1.sig istio-1.9.8-asm.6-osx.tar.gz <<'EOF'
   -----BEGIN PUBLIC KEY-----
   MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
   wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
   -----END PUBLIC KEY-----
   EOF

   El resultado esperado es: Verified OK.

3. Extrae el contenido del archivo a cualquier ubicación en tu sistema de archivos. Por ejemplo, para extraer el contenido en el directorio de trabajo actual, ingresa este comando:

   tar xzf istio-1.9.8-asm.6-osx.tar.gz

   El comando crea un directorio de instalación en tu directorio de trabajo actual llamado istio-1.9.8-asm.6 que contiene lo siguiente:

   • Hay aplicaciones de muestra en el directorio samples.
   • La herramienta de línea de comandos de istioctl que usas para instalar Anthos Service Mesh se encuentra en el directorio bin.
   • Los perfiles de configuración de Anthos Service Mesh se encuentran en el directorio manifests/profiles.

4. Asegúrate de estar en el directorio raíz de la instalación de Anthos Service Mesh.

   cd istio-1.9.8-asm.6

Windows

1. Descarga el archivo de instalación de Anthos Service Mesh en el directorio de trabajo actual:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-win.zip

2. Descarga el archivo de firma y usa openssl para verificar la firma:

   curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.9.8-asm.6-win.zip.1.sig
   openssl dgst -verify - -signature istio-1.9.8-asm.6-win.zip.1.sig istio-1.9.8-asm.6-win.zip <<'EOF'
   -----BEGIN PUBLIC KEY-----
   MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
   wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
   -----END PUBLIC KEY-----
   EOF

   El resultado esperado es: Verified OK.

3. Extrae el contenido del archivo a cualquier ubicación en tu sistema de archivos. Por ejemplo, para extraer el contenido en el directorio de trabajo actual, ingresa este comando:

   tar xzf istio-1.9.8-asm.6-win.zip

   El comando crea un directorio de instalación en tu directorio de trabajo actual llamado istio-1.9.8-asm.6 que contiene lo siguiente:

   • Hay aplicaciones de muestra en el directorio samples.
   • La herramienta de línea de comandos de istioctl que usas para instalar Anthos Service Mesh se encuentra en el directorio bin.
   • Los perfiles de configuración de Anthos Service Mesh se encuentran en el directorio manifests/profiles.

4. Asegúrate de estar en el directorio raíz de la instalación de Anthos Service Mesh.

   cd istio-1.9.8-asm.6

Prepara los archivos de configuración de recursos

Cuando ejecutas el comando istioctl install, debes incluir el archivo revisioned-custom-ingressgateway.yaml en la línea de comandos. Este archivo te permite controlar el momento en que cambias a la versión nueva del istio-ingressgateway después de la actualización. Sigue los pasos que se indican a continuación para descargar y configurar este archivo:

1. Cambia al directorio en el que deseas descargar el paquete anthos-service-mesh.

2. Descarga el paquete :

   kpt pkg get \
   https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.9-asm asm
   

3. Configura la etiqueta de la versión de Anthos Service Mesh que instalarás:

   kpt cfg set asm anthos.servicemesh.tag 1.9.8-asm.6
   

4. Configura el webhook de validación para usar una etiqueta de revisión:

   kpt cfg set asm anthos.servicemesh.rev asm-198-6
   

   Cuando instales Anthos Service Mesh, configura una etiqueta de revisión en istiod. Debes configurar la misma revisión en el webhook de validación.

Actualiza Anthos Service Mesh

Para instalar una versión nueva de Anthos Service Mesh, te recomendamos que sigas el proceso de actualización basado en revisiones (también conocido como “actualización canary”). Con una actualización basada en una revisión, instalas una versión nueva del plano de control junto con el plano de control existente. Cuando instales la versión nueva, incluye una etiqueta revision que identifique la versión del plano de control nuevo. Cada revisión es una implementación completa del plano de control de Anthos Service Mesh con sus propios objetos Deployment y Service.

Luego, debes migrar a la versión nueva mediante la configuración de la misma etiqueta revision en tus cargas de trabajo para apuntar al nuevo plano de control y realizar un reinicio progresivo a fin de volver a insertar los proxies con la nueva versión de Anthos Service Mesh. Con este enfoque, puedes supervisar el efecto de la actualización en un porcentaje pequeño de tus cargas de trabajo. Después de probar la aplicación, puedes migrar todo el tráfico a la versión nueva. Este enfoque es mucho más seguro que realizar una actualización in situ en la que un plano de control nuevo reemplaza a la versión anterior.

Actualiza el plano de control

1. Si es necesario, cambia al directorio istio-1.9.8-asm.6. El cliente istioctl depende de la versión. Asegúrate de usar la versión en el directorio istio-1.9.8-asm.6/bin.

2. Ejecuta el siguiente comando para implementar el nuevo plano de control. Si deseas habilitar una función opcional compatible, incluye -f y el nombre de archivo YAML en la siguiente línea de comandos. Consulta Habilita funciones opcionales para obtener más información.

   bin/istioctl install \
     --set profile=asm-multicloud \
     -f asm/istio/options/revisioned-istio-ingressgateway.yaml \
     --set revision=asm-198-6

El argumento --set revision agrega una etiqueta istio.io/rev a istiod. Después de ejecutar el comando, tienes dos objetos Deployment y Service del plano de control que se ejecutan en paralelo:

kubectl get pods -n istio-system

Implementa y vuelve a implementar las cargas de trabajo

1. Obtén la etiqueta de revisión que se encuentra en istiod y la istio-ingressgateway.

   kubectl get pod -n istio-system -L istio.io/rev
   

   El resultado del comando es similar al siguiente:

   NAME                                             READY   STATUS    RESTARTS   AGE   REV
   istio-ingressgateway-65d884685d-6hrdk            1/1     Running   0          67m
   istio-ingressgateway-65d884685d-94wgz            1/1     Running   0          67m
   istio-ingressgateway-asm-182-2-8b5fc8767-gk6hb   1/1     Running   0          5s    asm-198-6
   istio-ingressgateway-asm-182-2-8b5fc8767-hn4w2   1/1     Running   0          20s   asm-198-6
   istiod-asm-176-1-67998f4b55-lrzpz                1/1     Running   0          68m   asm-186-8
   istiod-asm-176-1-67998f4b55-r76kr                1/1     Running   0          68m   asm-186-8
   istiod-asm-182-2-5cd96f88f6-n7tj9                1/1     Running   0          27s   asm-198-6
   istiod-asm-182-2-5cd96f88f6-wm68b                1/1     Running   0          27s   asm-198-6

   1. Ten en cuenta si tienes las versiones anteriores y las nuevas de la istio-ingressgateway.

      • Si incluiste la opción revisioned-istio-ingressgateway cuando actualizaste, se realizó una actualización canary de istio-ingressgateway. En este caso, el resultado muestra las versiones anteriores y nuevas de la istio-ingressgateway.

      • Si no incluiste revisioned-istio-ingressgateway cuando actualizaste, se realizó una actualización in situ de la istio-ingressgateway. En este caso, tu resultado solo muestra la versión nueva.

   2. En el resultado, en la columna REV, anota el valor de la etiqueta de revisión de la versión nueva. En este ejemplo, el valor es asm-198-6.

   3. Observa también el valor en la etiqueta de revisión de la versión istiod anterior. Necesitarás esto para borrar la versión anterior de istiod cuando termines de migrar las cargas de trabajo a la versión nueva. En el resultado de ejemplo, el valor de la etiqueta de revisión para la versión anterior es asm-186-8.

2. Si tienes las versiones anteriores y nuevas de la istio-ingressgateway, cambia la istio-ingressgateway a la revisión nueva. En el siguiente comando, cambia REVISION por el valor que coincide con la etiqueta de revisión de la versión nueva.

   kubectl patch service -n istio-system istio-ingressgateway --type='json' -p='[{"op": "replace", "path": "/spec/selector/service.istio.io~1canonical-revision", "value": "REVISION"}]'

   Resultado esperado: service/istio-ingressgateway patched

3. Agrega la etiqueta de revisión a un espacio de nombres y quita la etiqueta istio-injection (si existe). En el siguiente comando, cambia REVISION por el valor que coincide con la nueva revisión de istiod.

   kubectl label namespace NAMESPACE istio.io/rev=REVISION istio-injection- --overwrite

   Si ves "istio-injection not found" en el resultado, puedes ignorarlo. Esto significa que el espacio de nombres no tenía la etiqueta istio-injection antes. Debido a que la inserción automática falla si un espacio de nombres tiene tanto la istio-injection como la etiqueta de revisión, todos los comandos kubectl label de la documentación de Anthos Service Mesh incluyen la acción de quitar la etiqueta istio-injection.

4. Reinicia los Pods para activar la reinserción:

   kubectl rollout restart deployment -n NAMESPACE

5. Verifica que tus pods estén configurados para apuntar a la nueva versión de istiod.

   kubectl get pods -n NAMESPACE -l istio.io/rev=REVISION

6. Prueba la aplicación para verificar que las cargas de trabajo funcionen de forma correcta.

7. Si tienes cargas de trabajo en otros espacios de nombres, repite los pasos para etiquetar el espacio de nombres y reiniciar los pods.

8. Si estás seguro de que tu aplicación funciona como se esperaba, continúa con los pasos para completar la transición a la versión nueva de istiod. Si hay un problema con tu aplicación, sigue los pasos para revertirla.

9. Vuelve a ejecutar el siguiente comando para confirmar si tienes la versión nueva y la anterior de la istio-ingressgateway, o solo la nueva. Esto determina cómo controlas la transición a la versión nueva de la istio-ingressgateway o la reversión a la versión anterior.

   kubectl get pod -n istio-system -L istio.io/rev
   

   Precaución: No ejecutes ningún comando que borre la implementación istio-ingressgateway si solo tienes la versión nueva de la istio-ingressgateway. De lo contrario, evitarás que el tráfico ingrese a la malla de servicios.

   Completa la transición

   Si estás seguro de que tu aplicación funciona como se esperaba, quita el plano de control anterior para completar la transición a la nueva versión.

   1. Cambia al directorio en el que se encuentran los archivos del repositorio de GitHub anthos-service-mesh.

   2. Configura el webhook de validación para usar el plano de control nuevo.

      kubectl apply -f asm/istio/istiod-service.yaml
      

   3. Si tienes las versiones anteriores y nuevas de la istio-ingressgateway, borra la implementación anterior de istio-ingressgateway. El comando que debes ejecutar depende de si migras desde Istio o actualizas desde una versión anterior de Anthos Service Mesh:

      Migra

      Si migraste desde Istio, la istio-ingressgateway anterior no tiene una etiqueta de revisión.

      kubectl delete deploy/istio-ingressgateway -n istio-system
      

      Actualizar

      Si actualizaste desde una versión anterior de Anthos Service Mesh, en el siguiente comando, reemplaza OLD_REVISION por la etiqueta de revisión para la versión anterior de istio-ingressgateway.

      kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=OLD_REVISION -n istio-system --ignore-not-found=true
      

   4. Borra la versión anterior de istiod. El comando que debes usar depende de si migras desde Istio o actualizas desde una versión anterior de Anthos Service Mesh.

      Migra

      Si migraste desde Istio, la istiod anterior no tiene una etiqueta de revisión.

      kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod -n istio-system --ignore-not-found=true
      

      Actualizar

      Si actualizaste desde una versión anterior de Anthos Service Mesh, en el siguiente comando, asegúrate de que OLD_REVISION coincida con la etiqueta de revisión de la versión anterior de istiod.

      kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-OLD_REVISION -n istio-system --ignore-not-found=true
      

   5. Quita la versión anterior de la configuración IstioOperator.

      kubectl delete IstioOperator installed-state-OLD_REVISION -n istio-system
      

      El resultado esperado es similar al siguiente:

      istiooperator.install.istio.io "installed-state-OLD_REVISION" deleted

   Revertir

   Si encontraste un problema cuando probaste tu aplicación con la versión nueva de istiod, sigue estos pasos para realizar una reversión a la versión anterior:

   1. Vuelve a la versión anterior de la istio-ingressgateway. El comando que uses dependerá de si tienes las versiones anteriores y nuevas de la istio-ingressgateway o solo la nueva.

      • Si tienes las versiones anteriores y nuevas de la istio-ingressgateway, ejecuta el comando kubectl patch service y reemplaza OLD_REVISION por la revisión anterior.

        kubectl patch service -n istio-system istio-ingressgateway --type='json' -p='[{"op": "replace", "path": "/spec/selector/service.istio.io~1canonical-revision", "value": "OLD_REVISION"}]'
        

      • Si solo tienes la versión nueva de la istio-ingressgateway, ejecuta el comando kubectl rollout undo.

        kubectl -n istio-system rollout undo deploy istio-ingressgateway
        

   2. Vuelve a etiquetar tu espacio de nombres para habilitar la inserción automática con la versión anterior de istiod. El comando que uses depende de si usaste una etiqueta de revisión o istio-injection=enabled con la versión anterior.

      • Si usaste una etiqueta de revisión para la inserción automática, haz lo siguiente:

        kubectl label namespace NAMESPACE istio.io/rev=OLD_REVISION --overwrite
        

      • Si usaste istio-injection=enabled:

        kubectl label namespace NAMESPACE istio.io/rev- istio-injection=enabled --overwrite
        

      Resultado esperado:

      namespace/NAMESPACE labeled

   3. Confirma que la etiqueta de revisión en el espacio de nombres coincida con la etiqueta de revisión en la versión anterior de istiod:

      kubectl get ns NAMESPACE --show-labels
      

   4. Reinicia los Pods para activar la reinserción a fin de que los proxies tengan la versión previa:

      kubectl rollout restart deployment -n NAMESPACE
      

   5. Si tienes la versión anterior y la nueva de la istio-ingressgateway, quita la implementación nueva de istio-ingressgateway. Asegúrate de que el valor de REVISION en el siguiente comando sea correcto.

      kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=REVISION -n istio-system --ignore-not-found=true
      

   6. Quita la versión nueva de istiod. Asegúrate de que el valor de REVISION en el siguiente comando sea correcto.

      kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-REVISION -n istio-system --ignore-not-found=true
      

   7. Quita la versión nueva de la configuración IstioOperator.

      kubectl delete IstioOperator installed-state-REVISION -n istio-system
      

      El resultado esperado es similar al siguiente:

      istiooperator.install.istio.io "installed-state-REVISION" deleted

   8. Si no incluiste la marca --disable_canonical_service, la secuencia de comandos habilitó el controlador del servicio canónico. Recomendamos que lo habilites, pero si necesitas inhabilitarlo, consulta Habilita o inhabilita el controlador de servicio canónico.

¿Qué sigue?

• Agregar clústeres a Anthos Service Mesh local
• Integrar en complementos de terceros