將 Cloud Service Mesh (叢集內) 服務新增至服務範圍

如果您已在機構中建立服務範圍，則必須在下列情況下，將憑證授權單位 (Cloud Service Mesh 憑證授權單位或憑證授權單位服務)、Mesh 設定、Stackdriver 記錄、Cloud Monitoring 和 Cloud Trace 服務新增至範圍：

  • 您安裝 Cloud Service Mesh 的叢集位於服務範圍內的專案中。
  • 您安裝 Cloud Service Mesh 的叢集是共用虛擬私有雲網路中的服務專案。

將這些服務新增至服務範圍後，Cloud Service Mesh 叢集就能存取這些服務。叢集的虛擬私有雲 (VPC) 網路也會限制服務存取權。

如果未新增上述服務，可能會導致 Cloud Service Mesh 安裝失敗或功能遺失。舉例來說，如果您未將 Cloud Service Mesh 憑證授權單位新增至服務範圍，工作負載就無法從 Cloud Service Mesh 憑證授權單位取得憑證。

事前準備

您可以在機構層級設定 VPC Service Controls 服務範圍。確認您具備管理 VPC Service Controls 的適當角色。如果您有多個專案，可以將每個專案新增至服務範圍，將服務範圍套用至所有專案。

將 Cloud Service Mesh 服務新增至現有服務範圍

控制台

  1. 請按照「更新服務範圍」中的步驟編輯範圍。
  2. 在「Edit VPC Service Perimeter」頁面的「Services to protect」下方，按一下「Add Services」。
  3. 在「Specify services to restrict」對話方塊中，按一下「Filter services」。視憑證授權單位 (CA) 而定，請輸入 Cloud Service Mesh 憑證授權單位 API 或 憑證授權單位服務 API。
  4. 勾選服務的核取方塊。
  5. 按一下「Add Cloud Service Mesh Certificate Authority API」(新增 Cloud Service Mesh 憑證授權單位 API)。
  6. 重複執行步驟 2 到 5，新增下列項目：
    • Mesh Configuration API
    • Cloud Monitoring API
    • Cloud Trace API
  7. 按一下 [儲存]。

gcloud

如要更新受限制服務清單，請使用 update 指令，並指定要新增為逗號分隔清單的服務：

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --add-restricted-services=meshconfig.googleapis.com,meshca.googleapis.com,monitoring.googleapis.com,cloudtrace.googleapis.com,OTHER_SERVICES \
  --policy=POLICY_NAME

其中：

  • PERIMETER_NAME 是您要更新的服務範圍名稱。

  • OTHER_SERVICES 是可選的逗號分隔清單，其中包含一或多項要納入範圍的服務，以及先前指令中填入的服務。例如：storage.googleapis.com,bigquery.googleapis.com。

  • POLICY_NAME 是您機構的存取權政策以數字表示的名稱。例如：330193482019。

詳情請參閱「更新服務範圍」。