Anthos Service Mesh y Traffic Director ahora son Cloud Service Mesh. Para obtener más información, consulta la descripción general de Cloud Service Mesh.

Se usó la API de Cloud Translation para traducir esta página.

Prepárate para configurar las APIs de enrutamiento de servicios con Envoy y cargas de trabajo sin proxy

En este documento, se proporciona información sobre las tareas de requisitos para configurar Cloud Service Mesh mediante las APIs de enrutamiento de servicios con proxies de Envoy o gRPC sin proxy como el plano de datos.

La configuración de Cloud Service Mesh incluye varias fases. En este documento, se describe la primera fase: instrucciones de preparación para configurar Cloud Service Mesh con instancias de VM o aplicaciones de gRPC sin proxy. Las fases adicionales se abordan en las guías específicas de la plataforma que se mencionan en Continúa el proceso de configuración más adelante en este documento.

Antes de leer esta guía, familiarízate con los siguientes documentos, que proporcionan una descripción general del uso de Cloud Service Mesh con las APIs de enrutamiento de servicios y las APIs de puerta de enlace:

Requisitos previos

Completa las siguientes tareas para preparar tu entorno local:

Configura proyectos que se adapten a las necesidades de tu empresa.
Habilitar la facturación
Otorga los permisos necesarios.
Habilita la API de Traffic Director y otras APIs para tu proyecto.
Asegúrate de que la cuenta de servicio tenga permisos suficientes para acceder a la API de Traffic Director.
Habilita la API de Cloud DNS y configura Cloud DNS.

En las siguientes secciones, se proporcionan instrucciones para cada tarea.

Configura proyectos

Para configurar y administrar tus proyectos, consulta Cómo crear y administrar proyectos y la documentación relacionada.

Habilitar la facturación

Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud. Para obtener más información, consulta Habilita, inhabilita o cambia la facturación de un proyecto.

Otorga los permisos de IAM necesarios

Debes tener suficientes permisos de Identity and Access Management (IAM) para crear instancias de VM y modificar una red a fin de configurar Cloud Service Mesh. Si tienes la función de propietario o editor del proyecto (roles/owner o roles/editor) en el proyecto en el que habilitas Cloud Service Mesh, automáticamente tienes los permisos correctos.

De lo contrario, debes tener todas las funciones de IAM que se muestran en la siguiente tabla. Si tienes estas funciones, también tienes sus permisos asociados, como se describe en la documentación de IAM de Compute Engine.

Tarea	Función requerida
Configurar políticas de IAM para una cuenta de servicio	Administrador de cuenta de servicio (`roles/iam.serviceAccountAdmin`)
Habilitar Cloud Service Mesh	Administrador de Service Usage (`roles/serviceusage.serviceUsageAdmin`)
Crear redes, subredes y componentes del balanceador de cargas	Administrador de red de Compute (`roles/compute.networkAdmin`)
Agregar y quitar reglas de firewall	Administrador de seguridad de Compute (`roles/compute.securityAdmin`)
Crea instancias	Administrador de instancias de Compute (`roles/compute.instanceAdmin`)
Permite el acceso a las cuentas de servicio.	Usuario de cuenta de servicio (`roles/iam.serviceAccountUser`)
Habilita la cuenta de servicio para realizar las tareas necesarias.	Usuario de la cuenta de servicio (`roles.trafficdirector.client)`

Las VM de Compute Engine deben tener el permiso https://www.googleapis.com/auth/cloud-platform. Para obtener más información, consulta Soluciona problemas de implementaciones que usan gRPC sin proxy.

Habilita la cuenta de servicio para acceder a la API de Traffic Director

Cuando configuras el plano de datos y lo conectas a Cloud Service Mesh, tus clientes de xDS, ya sean proxies de Envoy o clientes de gRPC sin proxy, se conectan al servidor trafficdirector.googleapis.com de xDS. Estos clientes de xDS presentan una identidad de cuenta de servicio al servidor de xDS a fin de garantizar que la comunicación entre el plano de datos y el plano de control estén autorizadas de manera adecuada.

Para una VM de Compute Engine, el cliente de xDS usa la cuenta de servicio asignada a la VM.

A menos que modifiques la configuración, Google Cloud usa la cuenta de servicio predeterminada de Compute Engine.

Para otorgar a la cuenta de servicio acceso a la API de Traffic Director, sigue estas instrucciones.

Console

En la consola de Google Cloud, ve a la página IAM y administración.

Ir a IAM y administración
Selecciona tu proyecto.
Identifica la cuenta de servicio a la que le quieres agregar una función.
- Si la cuenta de servicio no se encuentra aún en la lista de miembros, no tiene ninguna función asignada. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de la cuenta de servicio.
- Si la cuenta de servicio ya se encuentra en la lista de miembros, es porque tiene funciones existentes. Selecciona la cuenta de servicio y haz clic en la pestaña Funciones.
Expande el rol. En la cuenta de servicio que deseas editar, haz clic en Editar.
Selecciona el rol Otro > Cliente de Cloud Service Mesh.
Para aplicar el rol a la cuenta de servicio, haz clic en Guardar.

gcloud

Ejecuta el siguiente comando:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Reemplaza lo siguiente:

PROJECT: ingresa gcloud config get-value project
SERVICE_ACCOUNT_EMAIL: el correo electrónico asociado con la cuenta de servicio

Habilite las API necesarias

Habilita las siguientes APIs obligatorias.

osconfig.googleapis.com
trafficdirector.googleapis.com
compute.googleapis.com
networkservices.googleapis.com

Para habilitar las APIs necesarias, sigue estas instrucciones.

Console

En la consola de Google Cloud, ve a la página Biblioteca de la API de tu proyecto.

Ir a la biblioteca de la API
En el campo Buscar API y servicios, ingresa Traffic Director.
En la lista de resultados de la búsqueda, haz clic en API de Traffic Director. Si no ves la API de Traffic Director, significa que no tienes los permisos necesarios para habilitarla.
En la página API de Traffic Director, haz clic en Habilitar.
En el campo Buscar API y servicios, ingresa OS Config.
En la lista de resultados de la búsqueda, haz clic en Configuración del SO. Si no ves la API de configuración del SO en la lista, significa que no tienes los permisos necesarios para habilitar la API de Traffic Director.
En la página API de configuración del SO, haz clic en Habilitar.
En el campo Buscar API y servicios, ingresa Compute.
En la lista de resultados de la búsqueda, haz clic en API de Compute Engine. Si no ves la API de Compute Engine en la lista, significa que no tienes los permisos necesarios para habilitarla.
En la página API de Compute Engine, haz clic en Habilitar.
En el campo Buscar API y servicios, ingresa Network Services.
En la lista de resultados de la búsqueda, haz clic en API de Network Services. Si no ves la API de Network Services en la lista, significa que no tienes los permisos necesarios para habilitarla.
En la página API de Network Services, haz clic en Habilitar.

gcloud

Ejecuta el siguiente comando:

gcloud services enable osconfig.googleapis.com \
trafficdirector.googleapis.com \
compute.googleapis.com \
networkservices.googleapis.com

Versión xDS

Las APIs de enrutamiento de servicio requieren que uses xDS v3. Para obtener información sobre cómo actualizar tu implementación de xDS v2 a xDS v3, consulta las APIs del plano de control de xDS.

Requisitos adicionales con los proxies de Envoy

En esta sección, se describen los requisitos adicionales para usar Cloud Service Mesh con las APIs de enrutamiento de servicios y los proxies de Envoy. Si realizas la implementación con gRPC sin proxy, consulta Requisitos adicionales con gRPC sin proxy.

Cómo se instala Envoy

Durante el proceso de implementación de Cloud Service Mesh, debes crear una plantilla de VM que instale Envoy de forma automática en las VM en las que se ejecutan tus aplicaciones.

Acerca de las versiones de Envoy

Envoy debe ser de la versión 1.20.0 o posterior para funcionar con Cloud Service Mesh. Recomendamos usar siempre la versión más reciente de Envoy para garantizar que se mitiguen las vulnerabilidades de seguridad conocidas.

Si decides implementar Envoy con uno de nuestros métodos automatizados, nosotros nos encargamos de esta tarea de la siguiente manera:

La implementación automatizada de Envoy con VM de Compute Engine instala la versión de Envoy que se validó para que funcione con Cloud Service Mesh. Cuando se crea una VM nueva mediante la plantilla de instancias, esta recibe la versión más reciente que validamos. Si tienes una VM de larga duración, puedes usar una actualización progresiva para reemplazar las VM existentes y elegir la versión más reciente.

Para obtener información sobre las versiones específicas de Envoy, consulta Historial de versiones. Para obtener información sobre las vulnerabilidades de seguridad, consulta Asesorías de seguridad.

Requisitos adicionales para gRPC sin proxy

En esta sección, se describen los requisitos adicionales para usar Cloud Service Mesh con las APIs de enrutamiento de servicios y gRPC sin proxy. Si implementas con proxies de Envoy, consulta Requisitos adicionales con proxies de Envoy.

Proceso general con gRPC sin proxy

Sigue este procedimiento general para configurar aplicaciones de gRPC sin proxy en una malla de servicios:

Actualiza tus clientes de gRPC a la última versión de gRPC con el parche más reciente.
Actualiza el esquema del agente de resolución de nombres de gRPC de tus clientes cuando crees un canal y especifiques un archivo de arranque de Cloud Service Mesh.
Configurar los recursos de Cloud Service Mesh y Cloud Load Balancing.

En esta guía, se proporciona información para completar los dos primeros pasos. El proceso de configuración que uses en el paso 3 dependerá de si tu implementación usa VM de Compute Engine o GKE grupos de extremos de red (NEG) de GKE..

Idiomas y versiones compatibles de gRPC

gRPC es un proyecto de código abierto y la compatibilidad de sus versiones se describe en las Preguntas frecuentes de gRPC. Te recomendamos que uses la versión más reciente de gRPC para asegurarte de que se mitiguen las vulnerabilidades de seguridad conocidas. Esto también garantiza que las aplicaciones tengan acceso a las funciones más recientes compatibles con Cloud Service Mesh. Las funciones de la malla de servicios compatibles con varias implementaciones y versiones de gRPC se enumeran en GitHub. Para obtener una lista de los lenguajes y las funciones de gRPC compatibles con Cloud Service Mesh y los servicios de gRPC sin proxy, consulta Funciones de Cloud Service Mesh.

Cloud Service Mesh mantiene la compatibilidad con versiones actuales y compatibles de gRPC, y se esfuerza por ser compatible con versiones de gRPC de menos de un año de antigüedad, sujeto a las Condiciones del Servicio de Google Cloud Platform.

Actualiza tus clientes de gRPC

Actualiza la biblioteca de gRPC en tu aplicación a la versión que admita las funciones que necesitas. Para obtener más información, consulta la sección anterior.

Agrega el agente de resolución de nombres xDS como una dependencia a tus aplicaciones de gRPC. Los requisitos por lenguaje para Java y Go se muestran en las siguientes secciones. Los otros idiomas no tienen requisitos adicionales.

Requisitos para Java

En Java, si usas Gradle, agrega la dependencia grpc-xds al archivo build.gradle. Reemplaza LATEST_GRPC_VERSION por la versión más reciente de gRPC.

dependencies {
  runtimeOnly 'io.grpc:grpc-xds:LATEST_GRPC_VERSION'
}

Si usas Maven, agrega lo siguiente a la sección <dependencies> de pom.xml. Reemplaza LATEST_GRPC_VERSION por la versión más reciente de gRPC.

    <dependency>
      <groupId>io.grpc</groupId>
      <artifactId>grpc-xds</artifactId>
      <version>LATEST_GRPC_VERSION</version>
      <scope>runtime</scope>
    </dependency>

Requisitos para Go

Si usas Go, importa el paquete xds de Go.

Configura el agente de resolución de nombres de gRPC para que use `xds`

Establece o cambia tus aplicaciones de gRPC para que usen el esquema de resolución de nombres de xds en el URI de destino, en lugar del de DNS o cualquier otro esquema de agente de resolución. Para ello, usa el prefijo xds:/// en el nombre de destino cuando crees un canal de gRPC. El balanceo de cargas para clientes de gRPC se configura por canal.

Incluye el nombre del servicio que se usó en el URI de destino en la configuración de Cloud Service Mesh. Por ejemplo, en Java, creas el canal mediante esta estructura, en la que el nombre del servicio es helloworld:

ManagedChannelBuilder.forTarget("xds:///helloworld[:PORT_NUMBER]")

Crea y configura un archivo de arranque

El esquema del agente de resolución xds le indica a la aplicación de gRPC que se conecte a Cloud Service Mesh para obtener la información de configuración del servicio de destino. Por lo tanto, haz lo siguiente:

Crea un archivo de arranque, como se muestra en el siguiente ejemplo. Este archivo le indica a gRPC que se conecte a un servidor xDS (Cloud Service Mesh) para obtener la configuración de servicios específicos.
Define una variable de entorno llamada GRPC_XDS_BOOTSTRAP, con el nombre del archivo de arranque como el valor de la variable de entorno.

Las instrucciones de configuración contienen ejemplos que muestran cómo generar el archivo de arranque. Para mayor comodidad, puedes usar la versión más reciente del generador de arranque de gRPC de Cloud Service Mesh.

Junto con la aplicación, se debe incluir un archivo de arranque que contenga la información necesaria para conectarse a Cloud Service Mesh. Un archivo de arranque de muestra se ve de la siguiente manera:

{
  "xds_servers": [
    {
      "server_uri": "trafficdirector.googleapis.com:443",
      "channel_creds": [
        {
          "type": "google_default"
        }
      ],
      "server_features": ["xds_v3"]
    }
  ],
  "node": {
    "id": "projects/123456789012/networks/default/nodes/b7f9c818-fb46-43ca-8662-d3bdbcf7ec18",
    "metadata": {
      "TRAFFICDIRECTOR_NETWORK_NAME": "default"
    },
    "locality": {
      "zone": "us-central1-a"
    }
  }
}

En la siguiente tabla, se explican los campos del archivo de arranque.

Campo	Valor y descripción
`xds_servers`	Una lista de servidores xDS. gRPC usa solo el primero de la lista.
`server_uri`	Especifica al menos uno. gRPC intenta conectarse solo al primer servidor xDS de la lista de `xds_servers`. El valor predeterminado es `trafficdirector.googleapis.com:443`.
`channel_creds`	Credenciales para usar con el servidor xDS.
`type`	Usa el valor `google_default`. Para obtener más información sobre cómo se obtienen las credenciales, consulta Comienza a usar la autenticación.
`server_features`	Una lista de funciones admitidas por el servidor, como la asistencia de xDS v3. El valor predeterminado es vacío.
`node`	Información sobre el cliente que se conecta al servidor xDS.
`id`	El `id` debe tener el siguiente formato, como se muestra en el ejemplo anterior: projects/`PROJECT_NUMBER`/networks/`NETWORK_NAME`/nodes/`ID` Proporciona una string única como el valor de `ID`. Esto ayuda a identificar el cliente de gRPC que se conecta a Cloud Service Mesh.
`metadata`	Información específica del servidor xDS.
`TRAFFICDIRECTOR_MESH_NAME`	Si el campo está vacío o no se especifica, el valor se establece en `default`.
`locality`	La zona de Google Cloud en la que se ejecuta el cliente de gRPC.

Continúa el proceso de configuración

Después de completar los requisitos previos que se describen en este documento, continúa con uno de estos documentos si configuras Cloud Service Mesh con las APIs de enrutamiento de servicios:

Prepárate para configurar las APIs de enrutamiento de servicios con Envoy y cargas de trabajo sin proxy

Requisitos previos

Configura proyectos

Habilitar la facturación

Otorga los permisos de IAM necesarios

Habilita la cuenta de servicio para acceder a la API de Traffic Director

Console

gcloud

Habilite las API necesarias

Console

gcloud

Versión xDS

Requisitos adicionales con los proxies de Envoy

Cómo se instala Envoy

Acerca de las versiones de Envoy

Requisitos adicionales para gRPC sin proxy

Proceso general con gRPC sin proxy

Idiomas y versiones compatibles de gRPC

Actualiza tus clientes de gRPC

Requisitos para Java

Requisitos para Go

Configura el agente de resolución de nombres de gRPC para que use xds

Crea y configura un archivo de arranque

Continúa el proceso de configuración

Configura el agente de resolución de nombres de gRPC para que use `xds`