Anthos Service Mesh y Traffic Director ahora son Cloud Service Mesh. Para obtener más información, consulta la descripción general de Cloud Service Mesh.

Se usó la API de Cloud Translation para traducir esta página.

Prepárate para configurar Cloud Service Mesh con Envoy

La configuración de Cloud Service Mesh incluye las siguientes fases:

Otorgar permisos, habilitar la API de Traffic Director y, si usas Compute Engine, configurar Cloud DNS.
Implementar tus aplicaciones con proxies Envoy
Crear servicios y reglas de enrutamiento que determinan cómo viaja el tráfico a través de la malla de servicios.

En este documento, se describe la primera fase y se aplica cuando usas las APIs más antiguas. Las fases segunda y tercera se abordan en las guías específicas de la plataforma que se enumeran en Continúa el proceso de configuración más adelante en este documento.

Antes de leer esta guía, familiarízate con la descripción general de Cloud Service Mesh. Si usas las APIs de enrutamiento de servicios, revisa la descripción general de las APIs de enrutamiento de servicios.

Requisitos previos

Si planeas usar Cloud Service Mesh para configurar los proxies de Envoy que se ejecutan junto con las aplicaciones en máquina virtual (VM), contenedores o una combinación de ambos, primero debes completar las siguientes tareas:

Habilitar la facturación
Decide cómo deseas instalar Envoy.
Otorga los permisos necesarios.
Habilita la API de Traffic Director para tu proyecto.
Si usas Compute Engine, habilita la API de Cloud DNS y configura Cloud DNS.
Asegúrate de que la cuenta de servicio que usan los proxies de Envoy tenga los permisos suficientes para acceder a la API de Traffic Director.

En las siguientes secciones, se proporcionan instrucciones para cada tarea.

Habilitar facturación

Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud. Para obtener más información, consulta Habilita, inhabilita o cambia la facturación de un proyecto.

Decide cómo instalar Envoy

Cloud Service Mesh te permite instalar proxies de Envoy y administrar esta capa de infraestructura:

En Compute Engine, puedes agregar Envoy de forma automática a las aplicaciones que se ejecutan en las VM. Debes usar una plantilla de VM que instale Envoy, la conecte a Cloud Service Mesh y configure las redes de tu VM.
En Google Kubernetes Engine (GKE), puedes agregar de forma automática proxies de sidecar de Envoy a los Pods de tus Services. Instalarás un inyector de sidecar de Envoy en tu clúster, que agrega proxies de sidecar de Envoy, los conecta a Cloud Service Mesh y configura las redes de tu contenedor.

Por último, también puedes usar las soluciones de implementación de Envoy de proveedores externos con Cloud Service Mesh. Un ejemplo de esta oferta es GetEnvoy, que proporciona un enfoque basado en administrador de paquetes para instalar y actualizar los proxies de Envoy.

Acerca del control de versiones de Envoy

Se debe contar con la versión 1.9.1 de Envoy o una posterior para que funcione con Cloud Service Mesh. Recomendamos usar siempre la versión más reciente de Envoy para garantizar que se mitiguen las vulnerabilidades de seguridad conocidas.

Si decides implementar Envoy con uno de nuestros métodos automatizados, nosotros nos encargamos de esta tarea de la siguiente manera:

Cuando usas la implementación automatizada de Envoy con las VMs de Compute Engine, la versión instalada de Envoy es la que validamos para que funcione con Cloud Service Mesh. Cuando se crea una VM nueva mediante la plantilla de instancias, esta recibe la versión más reciente que validamos. Si tienes una VM de larga duración, puedes usar una actualización progresiva para reemplazar las VM existentes y elegir la versión más reciente.
Cuando usas el inyector de sidecar de Envoy con GKE, el inyector de configuración está configurado para usar una versión reciente de Envoy que hemos validado para trabajar con Cloud Service Mesh. Cuando se inserta un sidecar junto con el Pod de carga de trabajo, recibe esta versión de Envoy. Si deseas elegir una versión más reciente de Envoy, actualiza el inyector de sidecar de Envoy.

Para obtener información sobre las versiones específicas de Envoy, consulta Historial de versiones. Para obtener información sobre las vulnerabilidades de seguridad, consulta Asesorías de seguridad.

Otorga los permisos de IAM necesarios

Debes tener suficientes permisos de Identity and Access Management (IAM) para crear instancias de VM y modificar una red para configurar Cloud Service Mesh. Si tienes la función de propietario o editor (roles/owner o roles/editor) en el proyecto en el que habilitarás Cloud Service Mesh, obtendrás todos los permisos correctos automáticamente.

De lo contrario, debes tener todas las funciones de IAM de Compute Engine que se muestran en la siguiente tabla. Si tienes estas funciones, también tienes sus permisos asociados, como se describe en la documentación de IAM de Compute Engine.

Tarea	Función requerida
Configurar políticas de IAM para una cuenta de servicio	Administrador de cuenta de servicio (`roles/iam.serviceAccountAdmin`)
Habilita Cloud Service Mesh.	Administrador de Service Usage (`roles/serviceusage.serviceUsageAdmin`)
Crear redes, subredes y componentes del balanceador de cargas	Administrador de red de Compute (`roles/compute.networkAdmin`)
Agregar y quitar reglas de firewall	Administrador de seguridad de Compute (`roles/compute.securityAdmin`)
Crea instancias	Administrador de instancias de Compute (`roles/compute.instanceAdmin`)

El grupo de nodos de GKE o las VMs de Compute Engine deben tener el permiso https://www.googleapis.com/auth/cloud-platform. Para obtener más información, consulta Soluciona problemas de implementaciones que usan Envoy.

Con xDS v3, otorga el rol roles/trafficdirector.client a la cuenta de servicio que usan los clientes de Envoy de Cloud Service Mesh.

Habilita la API de Traffic Director

Console

En la consola de Google Cloud, ve a la página Biblioteca de la API de tu proyecto.

Ir a la biblioteca de la API
En el campo Buscar API y servicios, ingresa Traffic Director.
En la lista de resultados de la búsqueda, haz clic en API de Traffic Director. Si no ves la API de Traffic Director, significa que no tienes los permisos necesarios para habilitarla.
En la página API de Traffic Director, haz clic en Habilitar.

gcloud

Ejecuta el siguiente comando:

gcloud services enable trafficdirector.googleapis.com

Habilita la API de Cloud DNS y configura Cloud DNS

Usa estas instrucciones si configuras Cloud Service Mesh en Compute Engine. Debes habilitar la API de Cloud DNS y configurar Cloud DNS para la resolución de nombres de DNS.

Para obtener información general sobre Cloud Service Mesh y la resolución de DNS, consulta Cloud Service Mesh y la resolución de nombres de DNS.

Primero, usa las siguientes instrucciones para habilitar la API de Cloud DNS.

Console

En la consola de Google Cloud, ve a la página Biblioteca de la API de tu proyecto.

Ir a la biblioteca de la API
En el campo Buscar API y servicios, ingresa DNS.
En la lista de resultados, haz clic en API de Cloud DNS. Si no ves la API de Cloud DNS en la lista, significa que no tienes los permisos necesarios para habilitar la API de Cloud DNS.
En la página API de Cloud DNS, haz clic en Habilitar.

gcloud

Ejecuta el siguiente comando:

gcloud services enable dns.googleapis.com

A continuación, configura una zona privada administrada de Cloud DNS. Usa las instrucciones que aparecen en Crea una zona privada.

Habilita la cuenta de servicio para acceder a la API de Traffic Director

Cuando configuras el plano de datos y lo conectas a la malla de servicios de Cloud, los clientes de xDS (por ejemplo, los proxies de Envoy) se conectan al servidor trafficdirector.googleapis.com de xDS. Estos clientes de xDS presentan una identidad de cuenta de servicio al servidor de xDS a fin de garantizar que la comunicación entre el plano de datos y el plano de control estén autorizadas de manera adecuada.

Para una VM de Compute Engine, el cliente de xDS usa la cuenta de servicio asignada a la VM.
Para GKE, si Workload Identity no está habilitada, el cliente xDS usa la cuenta de servicio asignada al nodo de GKE subyacente.
Si Workload Identity está habilitada, el cliente xDS usa la cuenta de servicio de Google vinculada a la cuenta de servicio de Kubernetes asignada al Pod.

Necesitas los siguientes permisos. Solo se admite xDS v3. Si usas xDS v2, debes migrar a xDS v3. Para obtener información sobre cómo migrar, consulta Migra de xDS v2 a xDS v3.

Cuando usas xDS v3, la cuenta de servicio que usan tus clientes debe tener los permisos trafficdirector.networks.reportMetrics y trafficdirector.networks.getConfigs. Puedes usar el rol de cliente de malla de servicios de Cloud (roles/trafficdirector.client) de IAM, que une ambos permisos.

Console

En la consola de Google Cloud, ve a la página IAM y administración.

Ir a IAM y administración
Selecciona tu proyecto.
Identifica la cuenta de servicio a la que le quieres agregar una función.
- Si la cuenta de servicio no se encuentra aún en la lista de miembros, no tiene ninguna función asignada. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de la cuenta de servicio.
- Si la cuenta de servicio ya se encuentra en la lista de miembros, es porque tiene funciones existentes. Selecciona la cuenta de servicio y haz clic en la pestaña Funciones.
Expande el rol. En la cuenta de servicio que deseas editar, haz clic en Editar.
Selecciona el rol Otro > Cliente de Service Mesh de Cloud.
Para aplicar el rol a la cuenta de servicio, haz clic en Guardar.

gcloud

Ejecuta el comando siguiente:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Reemplaza lo siguiente:

PROJECT: ingresa gcloud config get-value project
SERVICE_ACCOUNT_EMAIL: el correo electrónico asociado con la cuenta de servicio

Continúa el proceso de configuración

Ahora que completaste los pasos de requisitos previos, puedes comenzar a configurar la malla de servicios.