Preparati a configurare Traffic Director con Envoy

La configurazione di Traffic Director prevede le seguenti fasi:

  1. Concessione delle autorizzazioni, abilitazione dell'API Traffic Director e, se utilizzi Compute Engine, configurazione di Cloud DNS.
  2. Deployment delle applicazioni con proxy Envoy.
  3. Creare servizi e regole di routing che determinano il modo in cui il traffico si sposta nel mesh di servizi.

Questo documento descrive la prima fase e si applica a prescindere che tu stia utilizzando le API precedenti o le nuove API di routing dei servizi in anteprima. La seconda e la terza fase sono trattate dalle guide specifiche per piattaforma elencate nella sezione Continuare la procedura di configurazione più avanti in questo documento.

Prima di leggere questa guida, acquisisci familiarità con la panoramica di Traffic Director. Se utilizzi le nuove API, consulta la panoramica delle nuove API di routing dei servizi.

Prerequisiti

Sia che tu preveda di utilizzare Traffic Director per configurare i proxy Envoy eseguiti insieme alle applicazioni su istanze di macchine virtuali (VM), container o un mix di entrambi, devi prima completare le seguenti attività:

  1. Abilita fatturazione.
  2. Decidi come installare Envoy.
  3. Concedi le autorizzazioni richieste.
  4. Abilita l'API Traffic Director per il tuo progetto.
  5. Se utilizzi Compute Engine, abilita l'API Cloud DNS e configura Cloud DNS.
  6. Assicurati che l'account di servizio utilizzato dai proxy Envoy disponga delle autorizzazioni sufficienti per accedere all'API Traffic Director.

Le seguenti sezioni forniscono le istruzioni per ogni attività.

Abilita fatturazione

Verifica che la fatturazione sia attivata per il tuo progetto Google Cloud. Per ulteriori informazioni, consulta Abilitare, disabilitare o modificare la fatturazione per un progetto.

Decidere come installare Envoy

Traffic Director semplifica l'installazione dei proxy Envoy e la gestione di questo livello di infrastruttura:

  • Su Compute Engine, puoi aggiungere automaticamente Envoy alle applicazioni in esecuzione sulle tue VM. Utilizzi un modello di VM che installa Envoy, lo connette a Traffic Director e configura il networking della tua VM.

  • Su Google Kubernetes Engine (GKE), puoi aggiungere automaticamente proxy collaterali Envoy ai pod dei tuoi servizi. Puoi installare un iniettore sidecar Envoy al tuo cluster, che aggiunge proxy sidecar Envoy, li connette a Traffic Director e configura il networking del tuo container.

Infine, puoi utilizzare anche soluzioni di deployment Envoy di provider di terze parti con Traffic Director. Un esempio di questo tipo di offerta è GetEnvoy, che offre un approccio basato sul gestore di pacchetti per l'installazione e l'aggiornamento dei tuoi proxy Envoy.

Informazioni sul controllo delle versioni di Envoy

Envoy deve avere la versione 1.9.1 o successiva per poter funzionare con Traffic Director. Ti consigliamo di utilizzare sempre la versione più recente di Envoy per ridurre le vulnerabilità di sicurezza note.

Se decidi di eseguire il deployment di Envoy utilizzando uno dei nostri metodi automatizzati, gestiamo questa attività per te nel modo seguente:

  • Quando utilizzi il deployment automatizzato di Envoy con le VM di Compute Engine, la versione installata di Envoy è stata convalidata per essere compatibile con Traffic Director. Quando viene creata una nuova VM utilizzando il modello di istanza, la VM riceve la versione più recente che abbiamo convalidato. Se hai una VM a lunga esecuzione, puoi utilizzare un aggiornamento in sequenza per sostituire le VM esistenti e recuperare la versione più recente.

  • Quando utilizzi l'iniettore sidecar Envoy con GKE, l'iniettore è configurato per utilizzare una versione recente di Envoy che abbiamo convalidato per funzionare con Traffic Director. Quando un sidecar viene inserito insieme al pod di carico di lavoro, riceve questa versione di Envoy. Se vuoi acquistare una versione più recente di Envoy, aggiorna l'iniettore sidecar di Envoy.

Per informazioni su versioni di Envoy specifiche, vedi Cronologia delle versioni. Per informazioni sulle vulnerabilità di sicurezza, consulta gli avvertimenti sulla sicurezza.

Concedi le autorizzazioni IAM richieste

Devi disporre di autorizzazioni di Identity and Access Management (IAM) sufficienti per creare istanze VM e modificare una rete per configurare Traffic Director. Se hai il ruolo di Proprietario o Editor del progetto (roles/owner o roles/editor) nel progetto in cui stai attivando Traffic Director, disponi automaticamente delle autorizzazioni corrette.

In caso contrario, devi disporre di tutti i ruoli IAM di Compute Engine mostrati nella tabella seguente. Se disponi di questi ruoli, disponi anche delle relative autorizzazioni, come descritto nella documentazione di Compute Engine IAM.

Attività Ruolo richiesto
Imposta il criterio IAM per un account di servizio. Amministratore account di servizio
(roles/iam.serviceAccountAdmin)
Attiva Traffic Director. Amministratore Service Usage
(roles/serviceusage.serviceUsageAdmin)
Crea reti, subnet e componenti del bilanciatore del carico. Amministratore rete Compute
(roles/compute.networkAdmin)
Aggiungi e rimuovi le regole firewall. Amministratore sicurezza Compute
(roles/compute.securityAdmin)
Creare istanze. Amministratore istanze Compute
(roles/compute.instanceAdmin)

Il pool di nodi GKE o le VM di Compute Engine devono avere l'ambito https://www.googleapis.com/auth/cloud-platform. Per ulteriori informazioni, vedi Risoluzione dei problemi di deployment che utilizzano Envoy.

Con xDS v3, concedi all'account di servizio utilizzato dai client Envoy di Traffic Director il ruolo roles/trafficdirector.client.

Abilita l'API Traffic Director

Console

  1. Nella console Google Cloud, vai alla pagina Libreria API relativa al tuo progetto.

    Vai alla libreria API

  2. Nel campo Cerca API e servizi, inserisci Traffic Director.

  3. Nell'elenco dei risultati di ricerca, fai clic su API Traffic Director. Se l'API Traffic Director non è presente nell'elenco, significa che non disponi delle autorizzazioni necessarie per abilitare l'API Traffic Director.

  4. Nella pagina API Traffic Director, fai clic su Abilita.

gcloud

Esegui questo comando:

gcloud services enable trafficdirector.googleapis.com

Abilita l'API Cloud DNS e configura Cloud DNS

Utilizza queste istruzioni se stai configurando Traffic Director su Compute Engine. Devi abilitare l'API Cloud DNS e configurare Cloud DNS per la risoluzione dei nomi DNS.

Per informazioni di base su Traffic Director e sulla risoluzione DNS, consulta Traffic Director e risoluzione dei nomi DNS.

Innanzitutto, segui le istruzioni riportate di seguito per abilitare l'API Cloud DNS.

Console

  1. Nella console Google Cloud, vai alla pagina Libreria API relativa al tuo progetto.

    Vai alla libreria API

  2. Nel campo Cerca API e servizi, inserisci DNS.

  3. Nell'elenco dei risultati di ricerca, fai clic su API Cloud DNS. Se l'API Cloud DNS non è elencata, significa che non disponi delle autorizzazioni necessarie per abilitare l'API Cloud DNS.

  4. Nella pagina API Cloud DNS, fai clic su Abilita.

gcloud

Esegui questo comando:

gcloud services enable dns.googleapis.com

Quindi, configura una zona privata gestita di Cloud DNS. Segui le istruzioni riportate in Creare una zona privata.

Abilita l'account di servizio per accedere all'API Traffic Director

Quando configuri il piano dati e lo connetti a Traffic Director, i client xDS (ad esempio i proxy Envoy) si connettono al server xDS trafficdirector.googleapis.com. Questi client xDS presentano un'identità dell'account di servizio al server xDS per garantire che le comunicazioni tra il piano dati e il piano di controllo siano autorizzate in modo adeguato:

  • Per una VM di Compute Engine, il client xDS utilizza l'account di servizio assegnato alla VM.
  • Per GKE, se Workload Identity non è abilitato, il client xDS utilizza l'account di servizio assegnato al nodo GKE sottostante.
  • Se Workload Identity è abilitato, il client xDS utilizza l'account di servizio Google associato all'account di servizio Kubernetes assegnato al pod.

Devi disporre delle seguenti autorizzazioni, a seconda della versione del client xDS che utilizzi per configurare Envoy. Ti consigliamo vivamente di configurare i tuoi nuovi deployment Envoy con xDS v3 o di eseguire la migrazione a xDS v3 se disponi già di un deployment che utilizza xDS v2.

  • Quando utilizzi xDS v3, l'account di servizio utilizzato dai client deve disporre delle autorizzazioni trafficdirector.networks.reportMetrics e trafficdirector.networks.getConfigs. Puoi utilizzare il ruolo client Traffic Director (roles/trafficdirector.client) di IAM, che esegue il wrapping di entrambe le autorizzazioni.

  • Quando utilizzi xDS v2, l'account di servizio utilizzato dai client deve disporre dell'autorizzazione IAM compute.globalForwardingRules.get a livello di progetto. Puoi anche concedere questa autorizzazione assegnando il ruolo Visualizzatore rete Compute (roles/compute.networkViewer) all'account di servizio.

Console

  1. Nella console Google Cloud, vai alla pagina IAM e amministrazione.

    Vai a IAM e amministrazione

  2. Seleziona il progetto.

  3. Identifica l'account di servizio a cui vuoi aggiungere un ruolo:

    • Se l'account di servizio non è già nell'elenco Membri, non ha alcun ruolo assegnato. Fai clic su Aggiungi e inserisci l'indirizzo email dell'account di servizio.
    • Se l'account di servizio è già nell'elenco Membri, ha ruoli esistenti. Seleziona l'account di servizio, quindi fai clic sulla scheda Ruoli.

  4. Espandi il ruolo. In corrispondenza dell'account di servizio che vuoi modificare, fai clic su Modifica.

  5. Seleziona il ruolo Altro > Client Traffic Director.

  6. Per applicare il ruolo all'account di servizio, fai clic su Salva.

gcloud

Esegui questo comando:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Sostituisci quanto segue:

  • PROJECT: inserisci gcloud config get-value project
  • SERVICE_ACCOUNT_EMAIL: l'indirizzo email associato all'account di servizio

Continua la procedura di configurazione

Ora che hai completato i passaggi preliminari, puoi iniziare a configurare il tuo mesh di servizi.