將 Apigee Hybrid 升級至 1.7 版

GKE

混合式安裝升級至 ASM 版本 的程序如下：

1. 準備升級。
2. 安裝新版的 ASM。
3. 從目前的已安裝項目中刪除先前 ASM 版本的部署、服務和 webhook。
4. 升級閘道並設定新的 webhook。

如要將 GKE 上的混合式升級至 ASM 版本，請按照以下步驟操作：

1. 查看「升級 Anthos 服務網格」中的相關規定，但暫時不要執行升級作業。
2. 在安裝新版本前，請先確認目前的修訂版本。您需要這項資訊，才能從目前的環境中刪除先前 ASM 版本的部署作業、服務和 webhook。請使用下列指令，將目前的 istiod 修訂版本儲存至環境變數：

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo ${DELETE_REV}

3. 建立新的 overlay.yaml 檔案，或確認現有的 overlay.yaml 包含下列內容：

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     revision: 
     components:
       ingressGateways:
         - name: istio-ingressgateway
           enabled: true
           k8s:
             nodeSelector:
               # default node selector, if different or not using node selectors, change accordingly.
               cloud.google.com/gke-nodepool: apigee-runtime
             resources:
               requests:
                 cpu: 1000m
             service:
               type: LoadBalancer
               loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
               ports:
                 - name: http-status-port
                   port: 15021
                 - name: http2
                   port: 80
                   targetPort: 8080
                 - name: https
                   port: 443
                   targetPort: 8443
     meshConfig:
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

4. 請按照 ASM 說明文件中以下各節的操作說明進行：
   1. 下載 asmcli
   2. 授予叢集管理員權限
   3. 驗證專案和叢集
   4. 升級至含選用功能的方案。在開始「升級網關」部分前先停下
5. 刪除變異 Webhook 和驗證 Webhook：
   1. cd 至安裝 asmcli 的目錄。
   2. 將目前的新修訂版本儲存在環境變數中，以便在刪除 webhook 時使用：

      UPGRADE_REV=""

   3. 建立包含下列指令的指令稿：

      #!/bin/bash
      
      set -ex
      
      PROJECT_ID="YOUR_PROJECT_ID"
      CLUSTER_NAME="YOUR_CLUSTER_NAME"
      CLUSTER_LOCATION="YOUR_CLUSTER_LOCATION"
      
      kubectl label namespace istio-system istio.io/rev=${UPGRADE_REV} istio-injection- --overwrite
      kubectl rollout restart deployment -n istio-system
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAYistio-ingressgateway
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAY/istio-ingressgateway-connectors
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f out/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. 執行指令碼，刪除目前的 webhook。
6. 請按照「升級閘道」中的步驟建立新的 webhook，並將流量切換至新的閘道。

Google Cloud 以外

這些操作說明涵蓋以下項目的 ASM 升級作業：

• VMware 中的 Anthos 叢集 (GKE On-Prem)
• 裸機中的 Anthos
• AWS 中的 Anthos 叢集
• Amazon EKS

混合式安裝作業升級至 ASM 版本 的程序如下：

1. 準備升級。
2. 安裝新版的 ASM。
3. 從目前的已安裝項目中刪除先前 ASM 版本的部署、服務和 webhook。
4. 升級閘道並設定新的 webhook。

1. 查看「升級 Anthos 服務網格」中的相關規定，但暫時不要執行升級作業。
2. 在安裝新版本前，請先確認目前的修訂版本。您需要這項資訊才能從目前的 ASM 安裝項目中刪除驗證 webhook 和變異 webhook。請使用下列指令，將目前的 istiod 修訂版本儲存至環境變數：

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo ${DELETE_REV}

3. 建立新的 overlay.yaml 檔案，或確認現有的 overlay.yaml 包含下列內容：

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     revision: 
     components:
       ingressGateways:
         - name: istio-ingressgateway
           enabled: true
           k8s:
             nodeSelector:
               # default node selector, if different or not using node selectors, change accordingly.
               cloud.google.com/gke-nodepool: apigee-runtime
             resources:
               requests:
                 cpu: 1000m
             service:
               type: LoadBalancer
               loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
               ports:
                 - name: http-status-port
                   port: 15021
                 - name: http2
                   port: 80
                   targetPort: 8080
                 - name: https
                   port: 443
                   targetPort: 8443
     values:
       gateways:
         istio-ingressgateway:
           runAsRoot: true
   
     meshConfig:
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

4. 請按照 ASM 說明文件中以下各節的操作說明進行：
   1. 下載 asmcli
   2. 授予叢集管理員權限
   3. 驗證專案和叢集
   4. 升級至含選用功能的方案。在開始「升級網關」部分前先停下
5. 刪除變異 Webhook 和驗證 Webhook：
   1. cd 至安裝 asmcli 的目錄。
   2. 將目前的新修訂版本儲存在環境變數中，以便在刪除 webhook 時使用：

      UPGRADE_REV=""

   3. 建立包含下列指令的指令稿：

      #!/bin/bash
      
      set -ex
      
      PROJECT_ID="YOUR_PROJECT_ID"
      CLUSTER_NAME="YOUR_CLUSTER_NAME"
      CLUSTER_LOCATION="YOUR_CLUSTER_LOCATION"
      
      
      gcloud config configurations activate ${PROJECT_ID}
      gcloud container clusters get-credentials ${CLUSTER_NAME} --region ${CLUSTER_LOCATION} --project ${PROJECT_ID}
      
      
      kubectl label namespace istio-system istio.io/rev=${UPGRADE_REV} istio-injection- --overwrite
      kubectl rollout restart deployment -n istio-system
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAYistio-ingressgateway
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAY/istio-ingressgateway-connectors
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f out/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. 執行指令碼，刪除目前的 webhook。
6. 請按照「升級閘道」中的步驟建立新的 webhook，並將流量切換至新的閘道。

AKS / EKS

在這些操作說明中，在 Anthos 已連結叢集中升級 Anthos 服務網格 (ASM) 版本的程序，與執行全新安裝程序相同。

準備安裝 Anthos 服務網格

1. 刪除變異 Webhook 和驗證 Webhook：
   1. cd 至安裝 asmcli 的目錄。
   2. 將目前的新修訂版本儲存在環境變數中，以便在刪除 webhook 時使用：

      UPGRADE_REV=""

   3. 建立包含下列指令的 Shell 指令碼：

      #!/bin/bash
      
      set -ex
      
      kubectl label namespace istio-system istio.io/rev=${UPGRADE_REV} istio-injection- --overwrite
      kubectl rollout restart deployment -n istio-system
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAYistio-ingressgateway
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f out/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. 執行指令碼，刪除目前的 webhook。

Linux

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-linux-amd64.tar.gz

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-linux-amd64.tar.gz.1.sig

openssl dgst -verify /dev/stdin -signature -linux-amd64.tar.gz.1.sig .tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -linux-amd64.tar.gz

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests/profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 /bin 目錄中的工具新增至 PATH：

export PATH=$PWD/bin:$PATH

Mac OS

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-osx.tar.gz

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-osx.tar.gz.1.sig

openssl dgst -sha256 -verify /dev/stdin -signature -osx.tar.gz.1.sig .tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -osx.tar.gz

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests/profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 /bin 目錄中的工具新增至 PATH：

export PATH=$PWD/bin:$PATH

Windows

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-win.zip

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-win.zip.1.sig

openssl dgst -verify - -signature -win.zip.1.sig .win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -win.zip

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests\profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 \bin 目錄中的工具新增至 PATH：

set PATH=%CD%\bin:%PATH%

2. 安裝 ASM Istio 後，請檢查 istioctl 的版本：

   istioctl version

3. 為控制平面元件建立名為 istio-system 的命名空間：

   kubectl create namespace istio-system

安裝 Anthos 服務網格

1. 編輯 overlay.yaml 檔案或建立新的檔案，並加入以下內容：

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     meshConfig:
       accessLogFile: /dev/stdout
       enableTracing: true
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
     components:
     - enabled: true
       name: istio-ingressgateway
       k8s:
         service:
           type: LoadBalancer
           ports:
           - name: status-port
             port: 15021
             targetPort: 15021
           - name: http2
             port: 80
             targetPort: 8080
           - name: https
             port: 443
             targetPort: 8443
   

2. 使用 asm-multicloud 設定檔，透過 istioctl 安裝 Anthos 服務網格：

   istioctl install \
       --set profile=asm-multicloud \
       --set revision="" \
       --filename overlayfile.yaml

   輸出內容應如下所示：

   kubectl get pods -n istio-system
   NAME                                   READY   STATUS    RESTARTS   AGE
   istio-ingressgateway-88b6fd976-flgp2   1/1     Running   0          3m13s
   istio-ingressgateway-88b6fd976-p5dl9   1/1     Running   0          2m57s
   istiod--798ffb964-2ls88       1/1     Running   0          3m21s
   istiod--798ffb964-fnj8c       1/1     Running   1          3m21s

   --set revision 引數會將以 istio.io/rev= 格式編寫的修訂版本標籤新增至 istiod。自動附加元件注入器 webhook 會使用修訂版本標籤，將注入的附加元件與特定 istiod 修訂版本建立關聯。如要為命名空間啟用自動補充插入功能，您必須使用與 istiod 上的標籤相符的修訂版本標記命名空間。

3. 確認安裝作業已完成：

   kubectl get svc -n istio-system

   輸出內容應如下所示：

   NAME                   TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
   istio-ingressgateway   LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
   istiod                 ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
   istiod-       ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

OpenShift

在這些操作說明中，在 Anthos 已連結叢集中升級 Anthos 服務網格 (ASM) 版本的程序，與執行全新安裝程序相同。

準備安裝 Anthos 服務網格

1. 刪除變異 Webhook 和驗證 Webhook：
   1. cd 至安裝 asmcli 的目錄。
   2. 將目前的新修訂版本儲存在環境變數中，以便在刪除 webhook 時使用：

      UPGRADE_REV=""

   3. 建立包含下列指令的 Shell 指令碼：

      #!/bin/bash
      
      set -ex
      
      kubectl label namespace istio-system istio.io/rev=${UPGRADE_REV} istio-injection- --overwrite
      kubectl rollout restart deployment -n istio-system
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAYistio-ingressgateway
      kubectl apply -n istio-system -f PATH_TO_INGRESSGATEWAY/istio-ingressgateway-connectors
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f out/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. 執行指令碼，刪除目前的 webhook。

Linux

使用下列 OpenShift CLI (oc) 指令，將 anyuid 安全性內容限制 (SCC) 授予 istio-system：

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-linux-amd64.tar.gz

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-linux-amd64.tar.gz.1.sig

openssl dgst -verify /dev/stdin -signature -linux-amd64.tar.gz.1.sig .tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -linux-amd64.tar.gz

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests/profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 /bin 目錄中的工具新增至 PATH：

export PATH=$PWD/bin:$PATH

Mac OS

使用下列 OpenShift CLI (oc) 指令，將 anyuid 安全性內容限制 (SCC) 授予 istio-system：

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-osx.tar.gz

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-osx.tar.gz.1.sig

openssl dgst -sha256 -verify /dev/stdin -signature -osx.tar.gz.1.sig .tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -osx.tar.gz

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests/profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 /bin 目錄中的工具新增至 PATH：

export PATH=$PWD/bin:$PATH

Windows

使用下列 OpenShift CLI (oc) 指令，將 anyuid 安全性內容限制 (SCC) 授予 istio-system：

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

將 Anthos 服務網格安裝檔案下載至目前的工作目錄：

curl -LO https://storage.googleapis.com/gke-release/asm/-win.zip

下載簽章檔案，然後使用 openssl 驗證簽章：

curl -LO https://storage.googleapis.com/gke-release/asm/-win.zip.1.sig

openssl dgst -verify - -signature -win.zip.1.sig .win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

將檔案的內容解壓縮到您檔案系統上的任何位置，例如，如要將內容擷取至目前的工作目錄：

tar xzf -win.zip

這個指令會在目前工作目錄中建立名為 的安裝目錄，其中包含：

• samples 目錄中的範例應用程式。
• 用來安裝 Anthos 服務網格的 istioctl 指令列工具位於 bin 目錄中。
• Anthos 服務網格設定檔位於 manifests\profiles 目錄中。

請確認您位於 Anthos 服務網格安裝的根目錄中：

cd 

為方便起見，請將 \bin 目錄中的工具新增至 PATH：

set PATH=%CD%\bin:%PATH%

2. 安裝 ASM Istio 後，請檢查 istioctl 的版本：

   istioctl version

3. 為控制平面元件建立名為 istio-system 的命名空間：

   kubectl create namespace istio-system

安裝 Anthos 服務網格

1. 編輯 overlay.yaml 檔案或建立新的檔案，並加入以下內容：

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     meshConfig:
       accessLogFile: /dev/stdout
       enableTracing: true
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
     components:
     - enabled: true
       name: istio-ingressgateway
       k8s:
         service:
           type: LoadBalancer
           ports:
           - name: status-port
             port: 15021
             targetPort: 15021
           - name: http2
             port: 80
             targetPort: 8080
           - name: https
             port: 443
             targetPort: 8443
   

2. 使用 asm-multicloud 設定檔，透過 istioctl 安裝 Anthos 服務網格：

   istioctl install \
       --set profile=asm-multicloud \
       --set revision="" \
       --filename overlayfile.yaml

   輸出內容應如下所示：

   kubectl get pods -n istio-system
   NAME                                   READY   STATUS    RESTARTS   AGE
   istio-ingressgateway-88b6fd976-flgp2   1/1     Running   0          3m13s
   istio-ingressgateway-88b6fd976-p5dl9   1/1     Running   0          2m57s
   istiod--798ffb964-2ls88       1/1     Running   0          3m21s
   istiod--798ffb964-fnj8c       1/1     Running   1          3m21s

   --set revision 引數會將以 istio.io/rev=1.6.11-asm.1 格式編寫的修訂版本標籤新增至 istiod。自動附加元件注入器 webhook 會使用修訂版本標籤，將注入的附加元件與特定 istiod 修訂版本建立關聯。如要為命名空間啟用自動補充插入功能，您必須使用與 istiod 上的標籤相符的修訂版本標記命名空間。

3. 確認安裝作業已完成：

   kubectl get svc -n istio-system

   輸出內容應如下所示：

   NAME                   TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
   istio-ingressgateway   LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
   istiod                 ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
   istiod-       ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s