Prepárate para configurar Cloud Service Mesh con Envoy
La configuración de Cloud Service Mesh incluye las siguientes fases:
- Otorgar permisos, habilitar la API de Traffic Director y, si usas Compute Engine, configurar Cloud DNS.
- Implementar tus aplicaciones con proxies Envoy
- Crear servicios y reglas de enrutamiento que determinan cómo viaja el tráfico a través de la malla de servicios.
En este documento, se describe la primera fase y se aplica cuando usas las APIs más antiguas. La segunda y tercera fase se abordan en el las guías específicas para cada plataforma que se mencionan en Cómo continuar con el proceso de configuración más adelante en este documento.
Antes de leer esta guía, familiarízate con la descripción general de Cloud Service Mesh. Si usas las APIs de enrutamiento de servicios, revisa la descripción general de las APIs de enrutamiento de servicios.
Requisitos previos
Si planeas usar Cloud Service Mesh para configurar los proxies de Envoy que se ejecutan junto con las aplicaciones en máquinas virtuales (VM), contenedores o una combinación de ambos, primero debes completar las siguientes tareas:
- Habilitar la facturación
- Decide cómo deseas instalar Envoy.
- Otorga los permisos necesarios.
- Habilita la API de Traffic Director para tu proyecto.
- Si usas Compute Engine, habilita la API de Cloud DNS y configura Cloud DNS.
- Asegúrate de que la cuenta de servicio que usan los proxies de Envoy tenga los permisos suficientes para acceder a la API de Traffic Director.
En las siguientes secciones, se proporcionan instrucciones para cada tarea.
Habilitar facturación
Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud. Para obtener más información, consulta Habilita, inhabilita o cambia la facturación de un proyecto.
Decide cómo instalar Envoy
Cloud Service Mesh permite instalar proxies de Envoy y administrar esta capa de infraestructura:
En Compute Engine, puedes agregar Envoy de forma automática a las aplicaciones que se ejecutan en las VM. Debes usar una plantilla de VM que instale Envoy, la conecte a Cloud Service Mesh y configure las redes de tu VM.
En Google Kubernetes Engine (GKE), puedes agregar de forma automática proxies de sidecar de Envoy a los Pods de tus Services. Instalarás un inyector de sidecar de Envoy en tu clúster, que agrega proxies de sidecar de Envoy, los conecta a Cloud Service Mesh y configura las redes de tu contenedor.
Por último, también puedes usar las soluciones de implementación de Envoy de proveedores externos con Cloud Service Mesh. Un ejemplo de esta oferta es GetEnvoy, que proporciona un enfoque basado en administrador de paquetes para instalar y actualizar los proxies de Envoy.
Acerca del control de versiones de Envoy
Se debe contar con la versión 1.9.1 de Envoy o una posterior para que funcione con Cloud Service Mesh. Recomendamos usar siempre la versión más reciente de Envoy para garantizar que se mitiguen las vulnerabilidades de seguridad conocidas.
Si decides implementar Envoy con uno de nuestros métodos automatizados, nosotros nos encargamos de esta tarea de la siguiente manera:
Cuando usas la implementación automatizada de Envoy con las VMs de Compute Engine, la versión instalada de Envoy es la que validamos para que funcione con Cloud Service Mesh. Cuando se crea una VM nueva mediante la plantilla de instancias, esta recibe la versión más reciente que validamos. Si tienes una VM de larga duración, puedes usar una actualización progresiva para reemplazar las VM existentes y elegir la versión más reciente.
Cuando usas el inyector de sidecar de Envoy con GKE, el inyector de configuración está configurado para usar una versión reciente de Envoy que hemos validado para trabajar con Cloud Service Mesh. Cuando se inserta un sidecar junto con el Pod de carga de trabajo, recibe esta versión de Envoy. Si deseas elegir una versión más reciente de Envoy, actualiza el inyector de sidecar de Envoy.
Para obtener información sobre las versiones específicas de Envoy, consulta Historial de versiones. Para obtener información sobre las vulnerabilidades de seguridad, consulta Asesorías de seguridad.
Otorga los permisos de IAM necesarios
Debes tener permisos suficientes de Identity and Access Management (IAM) para crear una VM
y modificar una red para configurar Cloud Service Mesh. Si tienes la opción
rol del proyecto
Propietario o editor (roles/owner
o
roles/editor
) en el proyecto en el que
habilitas Cloud Service Mesh, tienes automáticamente los permisos correctos.
De lo contrario, debes tener todas las funciones de IAM de Compute Engine que se muestran en la siguiente tabla. Si tienes estas funciones, también tienes sus permisos asociados, como se describe en la documentación de IAM de Compute Engine.
Tarea | Función requerida |
---|---|
Configurar políticas de IAM para una cuenta de servicio | Administrador de cuenta de servicio
( roles/iam.serviceAccountAdmin ) |
Habilita Cloud Service Mesh. | Administrador de Service Usage
( roles/serviceusage.serviceUsageAdmin ) |
Crear redes, subredes y componentes del balanceador de cargas | Administrador de red de Compute
( roles/compute.networkAdmin ) |
Agregar y quitar reglas de firewall | Administrador de seguridad de Compute
( roles/compute.securityAdmin ) |
Crea instancias | Administrador de instancias de Compute
( roles/compute.instanceAdmin ) |
El grupo de nodos de GKE o las VMs de Compute Engine deben
tener el
https://www.googleapis.com/auth/cloud-platform
del proyecto. Para obtener más información, consulta Soluciona problemas de implementaciones que usan Envoy.
Con xDS v3, otorga la cuenta de servicio que usan los clientes de Envoy de Cloud Service Mesh
la función roles/trafficdirector.client
.
Habilita la API de Traffic Director
Console
En la consola de Google Cloud, ve a la página Biblioteca de la API de tu proyecto.
En el campo Buscar API y servicios, ingresa
Traffic Director
.En la lista de resultados de la búsqueda, haz clic en API de Traffic Director. Si no ves la API de Traffic Director, significa que no tienes los permisos necesarios para habilitarla.
En la página API de Traffic Director, haz clic en Habilitar.
gcloud
Ejecuta el siguiente comando:
gcloud services enable trafficdirector.googleapis.com
Habilita la API de Cloud DNS y configura Cloud DNS
Usa estas instrucciones si configuras Cloud Service Mesh en Compute Engine. Debes habilitar la API de Cloud DNS y configurar Cloud DNS para la resolución de nombres de DNS.
Para obtener información general sobre la malla de servicios de Cloud y la resolución de DNS, consulta Malla de servicios de Cloud y resolución de nombres de DNS.
Primero, usa las siguientes instrucciones para habilitar la API de Cloud DNS.
Console
En la consola de Google Cloud, ve a la página Biblioteca de la API de tu proyecto.
En el campo Buscar API y servicios, ingresa
DNS
.En la lista de resultados, haz clic en API de Cloud DNS. Si no ves la API de Cloud DNS en la lista, significa que no tienes los permisos necesarios para habilitar la API de Cloud DNS.
En la página API de Cloud DNS, haz clic en Habilitar.
gcloud
Ejecuta el siguiente comando:
gcloud services enable dns.googleapis.com
A continuación, configura una zona privada administrada de Cloud DNS. Usa las instrucciones que aparecen en Crea una zona privada.
Habilita la cuenta de servicio para acceder a la API de Traffic Director
Cuando configuras el plano de datos y lo conectas a Cloud Service Mesh,
Los clientes xDS (por ejemplo, proxies de Envoy) se conectan al
trafficdirector.googleapis.com
servidor xDS. Estos clientes de xDS presentan una identidad de cuenta de servicio al servidor de xDS a fin de garantizar que la comunicación entre el plano de datos y el plano de control estén autorizadas de manera adecuada.
- Para una VM de Compute Engine, el cliente de xDS usa la cuenta de servicio asignada a la VM.
- Para GKE, si
Workload Identity
no está habilitada, el cliente xDS usa la cuenta de servicio asignada al nodo de GKE subyacente. - Si
Workload Identity
está habilitada, el cliente xDS usa la cuenta de servicio de Google vinculada a la cuenta de servicio de Kubernetes asignada al Pod.
Necesitas los siguientes permisos. Solo se admite xDS v3. Si utilizas xDS v2, debes migrar a xDS v3. Información y obtén información para migrar, consulta Cómo migrar de xDS v2 a xDS v3.
Cuando usas xDS v3, la cuenta de servicio que usan tus clientes debe tener los permisos trafficdirector.networks.reportMetrics
y trafficdirector.networks.getConfigs
. Puedes usar el rol de cliente de malla de servicios de Cloud (roles/trafficdirector.client
) de IAM, que une ambos permisos.
Console
En la consola de Google Cloud, ve a la página IAM y administración.
Selecciona tu proyecto.
Identifica la cuenta de servicio a la que le quieres agregar una función.
- Si la cuenta de servicio no se encuentra aún en la lista de miembros, no tiene ninguna función asignada. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de la cuenta de servicio.
- Si la cuenta de servicio ya se encuentra en la lista de miembros, es porque tiene funciones existentes. Selecciona la cuenta de servicio y haz clic en la pestaña Funciones.
Expande el rol. En la cuenta de servicio que deseas editar, haz clic en
Editar.Selecciona el rol Otro > Cliente de Service Mesh de Cloud.
Para aplicar el rol a la cuenta de servicio, haz clic en Guardar.
gcloud
Ejecuta el comando siguiente:
gcloud projects add-iam-policy-binding PROJECT \ --member serviceAccount:SERVICE_ACCOUNT_EMAIL \ --role=roles/trafficdirector.client
Reemplaza lo siguiente:
PROJECT
: ingresagcloud config get-value project
SERVICE_ACCOUNT_EMAIL
: el correo electrónico asociado con la cuenta de servicio
Continúa el proceso de configuración
Ahora que completaste los pasos de requisitos previos, puedes comenzar a configurar la malla de servicios.
- Opciones de configuración avanzadas de Cloud Service Mesh.
- Configura los atributos de arranque de Envoy.