Apigee ハイブリッドのバージョン 1.8 へのアップグレード

構文

ingressGateways:
- name: INGRESS_NAME
  replicaCountMin: REPLICAS_MIN
  replicaCountMax: REPLICAS_MAX
  resources:
    requests:
      cpu: CPU_COUNT_REQ
      memory: MEMORY_REQ
    limits:
      cpu: CPU_COUNT_LIMIT
      memory: MEMORY_LIMIT
  svcAnnotations:  # optional. See Known issue 243599452.
    SVC_ANNOTATIONS_KEY: SVC_ANNOTATIONS_VALUE
  svcLoadBalancerIP: SVC_LOAD_BALANCER_IP # optional

例

ingressGateways:
- name: prod1
  replicaCountMin: 2
  replicaCountMax: 100
  resources:
    requests:
      cpu: 1
      memory: 1Gi
    limits:
      cpu: 2
      memory: 2Gi 

GKE

ハイブリッド インストール用に Anthos Service Mesh をバージョン 1.13.9 にアップグレードする手順は次のとおりです。

1. アップグレードの準備をします。
2. 新しいバージョンの Anthos Service Mesh をインストールします。
3. 以前の Anthos Service Mesh バージョンのデプロイ、サービス、Webhook を、現在のインストールから削除します。
4. ゲートウェイをアップグレードして新しい Webhook を構成します。

Anthos Service Mesh をバージョン 1.13.9にアップグレードするための準備

1. Anthos Service Mesh のアップグレードの要件を確認します。ただし、まだアップグレードは行わないでください。
2. 新しいバージョンをインストールする前に、現在のリビジョンを確認します。この情報は、現在のインストールから以前の Anthos Service Mesh バージョンの Deployment、Service、Webhook を削除する際に必要になります。現在の istiod リビジョンを環境変数に格納するには、次のコマンドを使用します。

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo $DELETE_REV

   出力は 1.12.9-asm.2 のようになります。

3. 新しい overlay.yaml ファイルを作成するか、既存の overlay.yaml に次の内容が含まれていることを確認します。

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     components:
       ingressGateways:
       - name: istio-ingressgateway
         enabled: true
         k8s:
           nodeSelector:
             # default node selector, if different or not using node selectors, change accordingly.
             cloud.google.com/gke-nodepool: apigee-runtime
           resources:
             requests:
               cpu: 1000m
           service:
             type: LoadBalancer
             loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
             ports:
               - name: http-status-port
                 port: 15021
               - name: http2
                 port: 80
                 targetPort: 8080
               - name: https
                 port: 443
                 targetPort: 8443
     meshConfig:
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

4. Anthos Service Mesh のドキュメントの次のセクションを行います。
   1. asmcli をダウンロードする
   2. クラスタ管理者の権限を付与する
   3. プロジェクトとクラスタを検証する。
   4. オプション機能を使用してアップグレードする。「Gateway のアップグレード セクション」には、まだ進まないでください。
5. 新しいコントロール プレーンに切り替えます。
   1. istiod のリビジョン ラベルを取得します。

      kubectl get pod -n istio-system -L istio.io/rev

      このコマンドからの出力は、次のようになります。

          NAME                                  READY  STATUS  RESTARTS   AGE  REV
          istiod-asm-1139-10-67998f4b55-lrzpz    1/1    Running  0         68m  asm-1129-0
          istiod-asm-1139-10-67998f4b55-r76kr    1/1    Running  0         68m  asm-1129-0
          istiod-1129-0-1-5cd96f88f6-n7tj9      1/1    Running  0         27s  asm-1139-10
          istiod-1129-0-1-5cd96f88f6-wm68b      1/1    Running  0         27s  asm-1139-10

   2. 新しいリビジョン ラベルを環境変数に割り当てます。

      出力の REV 列にある、新しいバージョンのリビジョン ラベルの値をメモします。この例での値は asm-1139-10 です。

      export UPGRADE_REV="REVISION_LABEL"

   3. 次のコマンドを使用して、リビジョン ラベルを istio-system Namespace に追加し、istio-injection ラベルを削除します（存在する場合）。

      kubectl label namespace istio-system istio.io/rev=$UPGRADE_REV istio-injection- --overwrite

      出力に "istio-injection not found" が表示された場合は、無視してかまいません。これは、以前、名前空間に istio-injection ラベルが付加されていなかったことを意味します。名前空間に istio-injection とリビジョン ラベルの両方があると自動インジェクションが失敗するため、Anthos Service Mesh ドキュメント内のすべての kubectl label コマンドには istio-injection ラベルの削除が含まれています。

   4. Pod を再起動してインジェクションを再度トリガーします。

      kubectl rollout restart deployment -n istio-system

   5. アプリケーションをテストして、ワークロードが正しく機能していることを確認します。
   6. 他の名前空間にワークロードがある場合は、手順を繰り返して名前空間にラベルを付け、Pod を再起動します。
6. 以前のバージョンを削除します。
   1. asmcli をインストールしたディレクトリに移動します。
   2. Anthos Service Mesh インストールの出力ディレクトリを DIR_PATH 環境変数に保存します。これは、オプション機能を使用したアップグレードの手順で指定したディレクトリと同じです。

      export DIR_PATH=OUTPUT_DIR

   3. 次のコマンドを含むシェル スクリプトを作成します。

      #!/bin/bash
      
      set -ex
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f ${DIR_PATH}/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. スクリプトを実行して、以前のバージョンを削除します。

Google Cloud 以外

ここでは、Anthos Service Mesh のアップグレードについて説明します。

• Anthos clusters on VMware（GKE On-Prem）
• ベアメタル版 Anthos
• Anthos clusters on AWS
• Amazon EKS

ハイブリッド インストール用に Anthos Service Mesh をバージョン 1.13.9 にアップグレードする手順は次のとおりです。

1. アップグレードの準備をします。
2. 新しいバージョンの Anthos Service Mesh をインストールします。
3. 以前の Anthos Service Mesh バージョンのデプロイ、サービス、Webhook を、現在のインストールから削除します。
4. ゲートウェイをアップグレードして新しい Webhook を構成します。

Anthos Service Mesh をバージョン 1.13.9にアップグレードするための準備

1. Anthos Service Mesh のアップグレードの要件を確認します。ただし、まだアップグレードは行わないでください。
2. 新しいバージョンをインストールする前に、現在のリビジョンを確認します。この情報は、現在のインストールから以前の Anthos Service Mesh バージョンの Deployment、Service、Webhook を削除する際に必要になります。現在の istiod リビジョンを環境変数に格納するには、次のコマンドを使用します。

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo $DELETE_REV

   出力は 1.12.9-asm.2 のようになります。

3. 新しい overlay.yaml ファイルを作成するか、既存の overlay.yaml に次の内容が含まれていることを確認します。

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:  
     components:
       ingressGateways:
       - name: istio-ingressgateway
         enabled: true
         k8s:
           nodeSelector:
             # default node selector, if different or not using node selectors, change accordingly.
             cloud.google.com/gke-nodepool: apigee-runtime
           resources:
             requests:
               cpu: 1000m
           service:
             type: LoadBalancer
             loadBalancerIP: STATIC_IP # If you do not have a reserved static IP, leave this out.
             ports:
               - name: http-status-port
                 port: 15021
               - name: http2
                 port: 80
                 targetPort: 8080
               - name: https
                 port: 443
                 targetPort: 8443
     values:
       gateways:
         istio-ingressgateway:
           runAsRoot: true
   
     meshConfig:
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

4. Anthos Service Mesh のドキュメントの次のセクションを行います。
   1. asmcli をダウンロードする
   2. クラスタ管理者の権限を付与する
   3. プロジェクトとクラスタを検証する。
   4. オプション機能を使用してアップグレードする。「Gateway のアップグレード セクション」には、まだ進まないでください。
5. 新しいコントロール プレーンに切り替えます。
   1. istiod のリビジョン ラベルを取得します。

      kubectl get pod -n istio-system -L istio.io/rev

      このコマンドからの出力は、次のようになります。

          NAME                                  READY  STATUS  RESTARTS   AGE  REV
          istiod-asm-1139-10-67998f4b55-lrzpz    1/1    Running  0         68m  asm-1129-0
          istiod-asm-1139-10-67998f4b55-r76kr    1/1    Running  0         68m  asm-1129-0
          istiod-1129-0-1-5cd96f88f6-n7tj9      1/1    Running  0         27s  asm-1139-10
          istiod-1129-0-1-5cd96f88f6-wm68b      1/1    Running  0         27s  asm-1139-10

   2. 新しいリビジョン ラベルを環境変数に割り当てます。

      出力の REV 列にある、新しいバージョンのリビジョン ラベルの値をメモします。この例での値は asm-1139-10 です。

      export UPGRADE_REV="REVISION_LABEL"

   3. 次のコマンドを使用して、リビジョン ラベルを istio-system Namespace に追加し、istio-injection ラベルを削除します（存在する場合）。

      kubectl label namespace istio-system istio.io/rev=$UPGRADE_REV istio-injection- --overwrite

      出力に "istio-injection not found" が表示された場合は、無視してかまいません。これは、以前、名前空間に istio-injection ラベルが付加されていなかったことを意味します。名前空間に istio-injection とリビジョン ラベルの両方があると自動インジェクションが失敗するため、Anthos Service Mesh ドキュメント内のすべての kubectl label コマンドには istio-injection ラベルの削除が含まれています。

   4. Pod を再起動してインジェクションを再度トリガーします。

      kubectl rollout restart deployment -n istio-system

   5. アプリケーションをテストして、ワークロードが正しく機能していることを確認します。
   6. 他の名前空間にワークロードがある場合は、手順を繰り返して名前空間にラベルを付け、Pod を再起動します。
6. 以前のバージョンを削除します。
   1. asmcli をインストールしたディレクトリに移動します。
   2. Anthos Service Mesh インストールの出力ディレクトリを DIR_PATH 環境変数に保存します。これは、オプション機能を使用したアップグレードの手順で指定したディレクトリと同じです。

      export DIR_PATH=OUTPUT_DIR

   3. 次のコマンドを含むシェル スクリプトを作成します。

      #!/bin/bash
      
      set -ex
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl apply -f ${DIR_PATH}/asm/istio/istiod-service.yaml
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   4. スクリプトを実行して、以前のバージョンを削除します。

AKS / EKS

Anthos 接続クラスタで Anthos Service Mesh（ASM）バージョン istio-1.13.9-asm.10 をアップグレードする以下のプロセスは、新規のインストールを実行する場合と同じです。

Anthos Service Mesh のインストールの準備

1. 新しいバージョンをインストールする前に、現在のリビジョンを確認します。現在の Anthos Service Mesh インストールから検証 Webhook と変更 Webhook を削除するには、この情報が必要です。現在の istiod リビジョンを環境変数に格納するには、次のコマンドを使用します。

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo $DELETE_REV

   出力は「1.12.9-asm.2」のようになります。

Linux

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-linux-amd64.tar.gz

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-linux-amd64.tar.gz.1.sig

openssl dgst -verify /dev/stdin -signature istio-1.13.9-asm.10-linux-amd64.tar.gz.1.sig istio-1.13.9-asm.10.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-linux-amd64.tar.gz

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

export PATH=$PWD/bin:$PATH

Mac OS

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-osx.tar.gz

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-osx.tar.gz.1.sig

openssl dgst -sha256 -verify /dev/stdin -signature istio-1.13.9-asm.10-osx.tar.gz.1.sig istio-1.13.9-asm.10.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-osx.tar.gz

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

export PATH=$PWD/bin:$PATH

Windows

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-win.zip

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-win.zip.1.sig

openssl dgst -verify - -signature istio-1.13.9-asm.10-win.zip.1.sig istio-1.13.9-asm.10.win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-win.zip

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests\profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

set PATH=%CD%\bin:%PATH%

2. Anthos Service Mesh Istio がインストールされているので、istioctl のバージョンを確認します。

   istioctl version

3. コントロール プレーン コンポーネント用に istio-system という名前空間を作成します。

   kubectl create namespace istio-system

Anthos Service Mesh のインストール

1. overlay.yaml ファイルを編集するか、次の内容の新しいファイルを作成します。

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     meshConfig:
       accessLogFile: /dev/stdout
       enableTracing: true
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
     components:
       ingressGateways:
       - name: istio-ingressgateway
         enabled: true
         k8s:
           service:
             type: LoadBalancer
             ports:
             - name: status-port
               port: 15021
               targetPort: 15021
             - name: http2
               port: 80
               targetPort: 8080
             - name: https
               port: 443
               targetPort: 8443
   

2. asm-multicloud プロファイルを使用して、istioctl を使用して Anthos Service Mesh をインストールします。

   istioctl install \
       --set profile=asm-multicloud \
       --set revision="asm-1139-10" \
       --filename overlay.yaml

   出力は次のようになります。

   kubectl get pods -n istio-system
   NAME                                   READY   STATUS    RESTARTS   AGE
   istio-ingressgateway-88b6fd976-flgp2   1/1     Running   0          3m13s
   istio-ingressgateway-88b6fd976-p5dl9   1/1     Running   0          2m57s
   istiod-asm-1139-10-798ffb964-2ls88       1/1     Running   0          3m21s
   istiod-asm-1139-10-798ffb964-fnj8c       1/1     Running   1          3m21s

   --set revision 引数は、istio.io/rev=asm-1139-10 形式のリビジョン ラベルを istiod に追加します。リビジョン ラベルは、自動サイドカー インジェクタ Webhook によって使用され、挿入されたサイドカーを特定の istiod リビジョンに関連付けます。名前空間のサイドカー自動挿入を有効にするには、istiod のラベルと一致するリビジョンのラベルを付ける必要があります。

3. インストールが完了したことを確認します。

   kubectl get svc -n istio-system

   出力は次のようになります。

   NAME                   TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
   istio-ingressgateway   LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
   istiod                 ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
   istiod-asm-1139-10       ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

4. 新しいコントロール プレーンに切り替えます。
   1. istiod のリビジョン ラベルを取得します。

      kubectl get pod -n istio-system -L istio.io/rev

      このコマンドからの出力は、次のようになります。

          NAME                                  READY  STATUS  RESTARTS   AGE  REV
          istiod-asm-1139-10-67998f4b55-lrzpz    1/1    Running  0         68m  asm-1129-0
          istiod-asm-1139-10-67998f4b55-r76kr    1/1    Running  0         68m  asm-1129-0
          istiod-1129-0-1-5cd96f88f6-n7tj9      1/1    Running  0         27s  asm-1139-10
          istiod-1129-0-1-5cd96f88f6-wm68b      1/1    Running  0         27s  asm-1139-10

   2. 新しいリビジョン ラベルを環境変数に割り当てます。

      出力の REV 列にある、新しいバージョンのリビジョン ラベルの値をメモします。この例での値は asm-1139-10 です。

      export UPGRADE_REV="REVISION_LABEL"

   3. 次のコマンドを使用して、リビジョン ラベルを istio-system Namespace に追加し、istio-injection ラベルを削除します（存在する場合）。

      kubectl label namespace istio-system istio.io/rev=$UPGRADE_REV istio-injection- --overwrite

      出力に "istio-injection not found" が表示された場合は、無視してかまいません。これは、以前、名前空間に istio-injection ラベルが付加されていなかったことを意味します。名前空間に istio-injection とリビジョン ラベルの両方があると自動インジェクションが失敗するため、Anthos Service Mesh ドキュメント内のすべての kubectl label コマンドには istio-injection ラベルの削除が含まれています。

   4. Pod を再起動してインジェクションを再度トリガーします。

      kubectl rollout restart deployment -n istio-system

   5. アプリケーションをテストして、ワークロードが正しく機能していることを確認します。
   6. 他の名前空間にワークロードがある場合は、手順を繰り返して名前空間にラベルを付け、Pod を再起動します。
5. 以前のバージョンを削除します。
   1. asmcli をインストールしたディレクトリに移動します。
   2. 次のコマンドを含むシェル スクリプトを作成します。

      #!/bin/bash
      
      set -ex
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   3. スクリプトを実行して、以前のバージョンを削除します。

OpenShift

Anthos 接続クラスタで Anthos Service Mesh（ASM）バージョン istio-1.13.9-asm.10 をアップグレードする以下のプロセスは、新規のインストールを実行する場合と同じです。

Anthos Service Mesh のインストールの準備

1. 新しいバージョンをインストールする前に、現在のリビジョンを確認します。現在の Anthos Service Mesh インストールから検証 Webhook と変更 Webhook を削除するには、この情報が必要です。現在の istiod リビジョンを環境変数に格納するには、次のコマンドを使用します。

   export DELETE_REV=$(kubectl get deploy -n istio-system -l app=istiod -o jsonpath={.items[*].metadata.labels.'istio\.io\/rev'}'{"\n"}')
   echo $DELETE_REV

   出力は「1.12.9-asm.2」のようになります。

Linux

次の OpenShift CLI（oc）コマンドを使用して、anyuid セキュリティ コンテキスト制約（SCC）を istio-system に付与します。

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-linux-amd64.tar.gz

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-linux-amd64.tar.gz.1.sig

openssl dgst -verify /dev/stdin -signature istio-1.13.9-asm.10-linux-amd64.tar.gz.1.sig istio-1.13.9-asm.10.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-linux-amd64.tar.gz

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

export PATH=$PWD/bin:$PATH

Mac OS

次の OpenShift CLI（oc）コマンドを使用して、anyuid セキュリティ コンテキスト制約（SCC）を istio-system に付与します。

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-osx.tar.gz

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-osx.tar.gz.1.sig

openssl dgst -sha256 -verify /dev/stdin -signature istio-1.13.9-asm.10-osx.tar.gz.1.sig istio-1.13.9-asm.10.tar.gz <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-osx.tar.gz

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests/profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

export PATH=$PWD/bin:$PATH

Windows

次の OpenShift CLI（oc）コマンドを使用して、anyuid セキュリティ コンテキスト制約（SCC）を istio-system に付与します。

oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

Anthos Service Mesh インストール ファイルを現在の作業ディレクトリにダウンロードします。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-win.zip

署名ファイルをダウンロードし、OpenSSL を使用して署名を検証します。

curl -LO https://storage.googleapis.com/gke-release/asm/istio-1.13.9-asm.10-win.zip.1.sig

openssl dgst -verify - -signature istio-1.13.9-asm.10-win.zip.1.sig istio-1.13.9-asm.10.win.zip <<'EOF'
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEWZrGCUaJJr1H8a36sG4UUoXvlXvZ
wQfk16sxprI2gOJ2vFFggdq3ixF2h4qNBt0kI7ciDhgpwS8t+/960IsIgw==
-----END PUBLIC KEY-----
EOF

ファイル システム上の任意の場所にファイルの内容を抽出します。たとえば、現在の作業ディレクトリにコンテンツを抽出するには、次のコマンドを実行します。

tar xzf istio-1.13.9-asm.10-win.zip

このコマンドにより、現在の作業ディレクトリに istio-1.13.9-asm.10 という名前のインストール ディレクトリが作成されます。このディレクトリには、次のものが含まれます。

• samples ディレクトリにあるサンプル アプリケーション
• Anthos Service Mesh のインストールに使用する istioctl コマンドライン ツールは、bin ディレクトリにあります。
• Anthos Service Mesh 構成プロファイルは manifests\profiles ディレクトリにあります。

Anthos Service Mesh インストールのルート ディレクトリに移動していることを確認します。

cd istio-1.13.9-asm.10

利便性を考えて、/bin ディレクトリ内のツールを PATH に追加します。

set PATH=%CD%\bin:%PATH%

2. Anthos Service Mesh Istio がインストールされているので、istioctl のバージョンを確認します。

   istioctl version

3. コントロール プレーン コンポーネント用に istio-system という名前空間を作成します。

   kubectl create namespace istio-system

検証 Webhook の構成

Anthos Service Mesh をインストールするときに、istiod にリビジョン ラベルを設定します。検証 Webhook に同じリビジョンを設定する必要があります。

1. 次の内容のファイルを、istiod-service.yaml という名前で作成します。

   apiVersion: v1
   kind: Service
   metadata:
     name: istiod
     namespace: istio-system
     labels:
       istio.io/rev: asm-1139-10
       app: istiod
       istio: pilot
       release: istio
   spec:
     ports:
       - port: 15010
         name: grpc-xds # plaintext
         protocol: TCP
       - port: 15012
         name: https-dns # mTLS with k8s-signed cert
         protocol: TCP
       - port: 443
         name: https-webhook # validation and injection
         targetPort: 15017
         protocol: TCP
       - port: 15014
         name: http-monitoring # prometheus stats
         protocol: TCP
     selector:
       app: istiod
       istio.io/rev: asm-1139-10
     meshConfig:
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'

2. kubectl を使用して検証 Webhook 構成を適用します。

   kubectl apply -f istiod-service.yaml

3. 構成が適用されたことを確認します。

   kubectl get svc -n istio-system

   レスポンスは次のようになります。

   NAME     TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                                 AGE
   istiod   ClusterIP   172.200.18.133   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP   22s

Anthos Service Mesh のインストール

1. overlay.yaml ファイルを編集するか、次の内容の新しいファイルを作成します。

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     meshConfig:
       accessLogFile: /dev/stdout
       enableTracing: true
       accessLogFormat:
         '{"start_time":"%START_TIME%","remote_address":"%DOWNSTREAM_DIRECT_REMOTE_ADDRESS%","user_agent":"%REQ(USER-AGENT)%","host":"%REQ(:AUTHORITY)%","request":"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%","request_time":"%DURATION%","status":"%RESPONSE_CODE%","status_details":"%RESPONSE_CODE_DETAILS%","bytes_received":"%BYTES_RECEIVED%","bytes_sent":"%BYTES_SENT%","upstream_address":"%UPSTREAM_HOST%","upstream_response_flags":"%RESPONSE_FLAGS%","upstream_response_time":"%RESPONSE_DURATION%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%","upstream_cluster":"%UPSTREAM_CLUSTER%","x_forwarded_for":"%REQ(X-FORWARDED-FOR)%","request_method":"%REQ(:METHOD)%","request_path":"%REQ(X-ENVOY-ORIGINAL-PATH?:PATH)%","request_protocol":"%PROTOCOL%","tls_protocol":"%DOWNSTREAM_TLS_VERSION%","request_id":"%REQ(X-REQUEST-ID)%","sni_host":"%REQUESTED_SERVER_NAME%","apigee_dynamic_data":"%DYNAMIC_METADATA(envoy.lua)%"}'
     components:
       ingressGateways:
         - name: istio-ingressgateway
           enabled: true
           k8s:
             service:
               type: LoadBalancer
               ports:
               - name: status-port
                 port: 15021
                 targetPort: 15021
               - name: http2
                 port: 80
                 targetPort: 8080
               - name: https
                 port: 443
                 targetPort: 8443
   

2. asm-multicloud プロファイルを使用して、istioctl を使用して Anthos Service Mesh をインストールします。

   istioctl install \
       --set profile=asm-multicloud \
       --set revision="asm-1139-10" \
       --filename overlayfile.yaml

   出力は次のようになります。

   kubectl get pods -n istio-system
   NAME                                   READY   STATUS    RESTARTS   AGE
   istio-ingressgateway-88b6fd976-flgp2   1/1     Running   0          3m13s
   istio-ingressgateway-88b6fd976-p5dl9   1/1     Running   0          2m57s
   istiod-asm-1139-10-798ffb964-2ls88       1/1     Running   0          3m21s
   istiod-asm-1139-10-798ffb964-fnj8c       1/1     Running   1          3m21s

   --set revision 引数は、istio.io/rev=1.6.11-asm.1 形式のリビジョン ラベルを istiod に追加します。リビジョン ラベルは、自動サイドカー インジェクタ Webhook によって使用され、挿入されたサイドカーを特定の istiod リビジョンに関連付けます。名前空間のサイドカー自動挿入を有効にするには、istiod のラベルと一致するリビジョンのラベルを付ける必要があります。

3. インストールが完了したことを確認します。

   kubectl get svc -n istio-system

   出力は次のようになります。

   NAME                   TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                                                                      AGE
   istio-ingressgateway   LoadBalancer   172.200.48.52    34.74.177.168   15021:30479/TCP,80:30030/TCP,443:32200/TCP,15012:32297/TCP,15443:30244/TCP   3m35s
   istiod                 ClusterIP      172.200.18.133   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        4m46s
   istiod-asm-1139-10       ClusterIP      172.200.63.220   <none>          15010/TCP,15012/TCP,443/TCP,15014/TCP                                        3m43s

4. 新しいコントロール プレーンに切り替えます。
   1. istiod のリビジョン ラベルを取得します。

      kubectl get pod -n istio-system -L istio.io/rev

      このコマンドからの出力は、次のようになります。

          NAME                                  READY  STATUS  RESTARTS   AGE  REV
          istiod-asm-1139-10-67998f4b55-lrzpz    1/1    Running  0         68m  asm-1129-0
          istiod-asm-1139-10-67998f4b55-r76kr    1/1    Running  0         68m  asm-1129-0
          istiod-1129-0-1-5cd96f88f6-n7tj9      1/1    Running  0         27s  asm-1139-10
          istiod-1129-0-1-5cd96f88f6-wm68b      1/1    Running  0         27s  asm-1139-10

   2. 新しいリビジョン ラベルを環境変数に割り当てます。

      出力の REV 列にある、新しいバージョンのリビジョン ラベルの値をメモします。この例での値は asm-1139-10 です。

      export UPGRADE_REV="REVISION_LABEL"

   3. 次のコマンドを使用して、リビジョン ラベルを istio-system Namespace に追加し、istio-injection ラベルを削除します（存在する場合）。

      kubectl label namespace istio-system istio.io/rev=$UPGRADE_REV istio-injection- --overwrite

      出力に "istio-injection not found" が表示された場合は、無視してかまいません。これは、以前、名前空間に istio-injection ラベルが付加されていなかったことを意味します。名前空間に istio-injection とリビジョン ラベルの両方があると自動インジェクションが失敗するため、Anthos Service Mesh ドキュメント内のすべての kubectl label コマンドには istio-injection ラベルの削除が含まれています。

   4. Pod を再起動してインジェクションを再度トリガーします。

      kubectl rollout restart deployment -n istio-system

   5. アプリケーションをテストして、ワークロードが正しく機能していることを確認します。
   6. 他の名前空間にワークロードがある場合は、手順を繰り返して名前空間にラベルを付け、Pod を再起動します。
5. 以前のバージョンを削除します。
   1. asmcli をインストールしたディレクトリに移動します。
   2. 次のコマンドを含むシェル スクリプトを作成します。

      #!/bin/bash
      
      set -ex
      
      if [[ "${DELETE_REV}" != "${UPGRADE_REV}" ]]; then
        kubectl delete deploy -l app=istio-ingressgateway,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete deploy -l app=istio-ingressgateway-connectors,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete ValidatingWebhookConfiguration -l app=istiod,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete MutatingWebhookConfiguration -l app=sidecar-injector,istio.io/rev=${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete Service,Deployment,HorizontalPodAutoscaler,PodDisruptionBudget istiod-${DELETE_REV} -n istio-system --ignore-not-found=true
        kubectl delete IstioOperator installed-state-${DELETE_REV} -n istio-system --ignore-not-found=true
      fi
      

   3. スクリプトを実行して、以前のバージョンを削除します。