Menginstal Anthos Service Mesh secara lokal

Panduan ini menjelaskan cara melakukan penginstalan bersih versi Anthos Service Mesh 1.11.8-asm.4 di GKE pada VMware dan di bare metal. Jika Anda sudah menginstal Anthos Service Mesh versi sebelumnya, lihat Mengupgrade Anthos Service Mesh secara lokal. Panduan penginstalan menunjukkan cara menginstal otoritas sertifikat Anthos Service Mesh (Mesh CA) atau certificate authority Istio (sebelumnya dikenal sebagai Citadel). Panduan ini merujuk pada cluster sebagai cluster1, tetapi Anda dapat mengulangi langkah-langkah ini untuk menyiapkan banyak cluster.

Tentang komponen bidang kontrol

GKE di VMware dan bare metal dilengkapi dengan komponen Istio berikut yang telah diinstal sebelumnya:

• Certificate authority Istio (sebelumnya dikenal sebagai Citadel) diinstal di namespace kube-system.
• Gateway Istio Ingress dan komponen Istio lainnya diinstal di namespace gke-system.

GKE di VMware dan on bare metal menggunakan komponen ini untuk mengaktifkan ingress dan mengamankan komunikasi antara komponen yang dikontrol Google.

Saat Anda menginstal Anthos Service Mesh, komponennya akan diinstal di namespace istio-system. Karena komponen Anthos Service Mesh berada di namespace berbeda, komponen tersebut tidak bertentangan dengan komponen Istio yang sudah terinstal.

Sebelum memulai

Tinjau persyaratan berikut sebelum Anda memulai penyiapan.

Persyaratan

• Anda harus memiliki langganan Anthos. Atau, opsi penagihan bayar sesuai penggunaan hanya tersedia untuk GKE Enterprise di Google Cloud. Untuk informasi selengkapnya, lihat panduan Harga GKE Enterprise.

• Pastikan cluster pengguna tempat Anda menginstal Anthos Service Mesh memiliki setidaknya 4 vCPU, memori 15 GB, dan 4 node.

• Mesh CA Only: Node cluster pengguna Anda memerlukan Internet agar dapat menyelesaikan penginstalan Anthos Service Mesh. Akses internet melalui proxy HTTP tidak memungkinkan.

• Anda harus memberi nama port layanan menggunakan sintaksis berikut: name: protocol[-suffix] dengan tanda kurung siku menunjukkan akhiran opsional yang harus diawali dengan tanda hubung. Untuk mengetahui informasi selengkapnya, lihat Penamaan port layanan.

• Pastikan versi cluster Anda tercantum di Platform yang didukung.

Menyiapkan lingkungan Anda

Anda memerlukan alat berikut di komputer tempat Anda mengontrol proses penginstalan. Perlu diperhatikan bahwa Anda hanya dapat menginstal Anthos Service Mesh di cluster pengguna, bukan di cluster admin.

• Alat command line curl.
• Google Cloud CLI.

Setelah menginstal Google Cloud CLI:

1. Lakukan autentikasi dengan Google Cloud CLI:

   gcloud auth login
   

2. Update komponen:

   gcloud components update
   

3. Instal kubectl:

   gcloud components install kubectl
   

4. Instal kpt:

      curl -L https://github.com/GoogleContainerTools/kpt/releases/download/v0.39.2/kpt_linux_amd64 > kpt_0_39_2
      chmod +x kpt_0_39_2
      alias kpt="$(readlink -f kpt_0_39_2)"
   

Menyetel variabel lingkungan

1. Dapatkan nama konteks untuk cluster dengan menggunakan nilai di kolom NAME dalam output perintah ini:

   kubectl config get-contexts

2. Tetapkan variabel lingkungan ke nama konteks cluster, yang akan digunakan panduan ini dalam banyak langkah nanti:

   export CTX_CLUSTER1=CLUSTER1_CONTEXT_NAME

Memberikan izin admin cluster

1. Berikan izin admin cluster ke akun pengguna Anda (alamat email login Google Cloud Anda). Anda memerlukan izin berikut agar dapat membuat aturan role-based access control (RBAC) yang diperlukan untuk Anthos Service Mesh:

   kubectl --context="${CTX_CLUSTER1}" create clusterrolebinding cluster-admin-binding \
     --clusterrole=cluster-admin \
     --user=USER_ACCOUNT

Mendownload file penginstalan

Menginstal Anthos Service Mesh dengan Mesh CA

Bagian ini menjelaskan cara menginstal Anthos Service Mesh dengan Mesh CA dan mendaftarkan cluster ke fleet. Sebaiknya gunakan Mesh CA karena alasan berikut:

• Mesh CA adalah layanan yang sangat andal dan skalabel, yang dioptimalkan untuk workload yang diskalakan secara dinamis di Google Cloud dan infrastruktur lokal.
• Dengan Mesh CA, Google mengelola keamanan dan ketersediaan backend CA.
• Mesh CA memungkinkan Anda mengandalkan satu root of trust di seluruh cluster.

Jika ingin menggunakan Istio CA dengan root CA Anda sendiri, lihat Mengonfigurasi CA Istio.

Fitur Mesh CA bergantung pada pendaftaran perangkat. Secara default, cluster Anda terdaftar ke fleet. Untuk memverifikasi status cluster Anda, lihat Melihat cluster terdaftar.

1. Mengaktifkan API berikut:

   gcloud services enable \
     anthos.googleapis.com \
     cloudtrace.googleapis.com \
     cloudresourcemanager.googleapis.com \
     container.googleapis.com \
     compute.googleapis.com \
     gkeconnect.googleapis.com \
     gkehub.googleapis.com \
     iam.googleapis.com \
     iamcredentials.googleapis.com \
     logging.googleapis.com \
     meshca.googleapis.com \
     meshtelemetry.googleapis.com \
     meshconfig.googleapis.com \
     monitoring.googleapis.com \
     stackdriver.googleapis.com \
     sts.googleapis.com
   

2. Lakukan inisialisasi konfigurasi mesh:

   IDENTITY_PROVIDER="$(kubectl get memberships.hub.gke.io membership -o=jsonpath='{.spec.identity_provider}')"
   
   IDENTITY="$(echo "${IDENTITY_PROVIDER}" | sed 's/^https:\/\/gkehub.googleapis.com\/projects\/\(.*\)\/locations\/global\/memberships\/\(.*\)$/\1 \2/g')"
   
   read -r ENVIRON_PROJECT_ID HUB_MEMBERSHIP_ID <<EOF
   ${IDENTITY}
   EOF
   
   POST_DATA='{"workloadIdentityPools":["'${ENVIRON_PROJECT_ID}'.hub.id.goog","'${ENVIRON_PROJECT_ID}'.svc.id.goog"]}'
   
   curl --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer $(gcloud auth print-access-token)" \
     --data "${POST_DATA}" \
   https://meshconfig.googleapis.com/v1alpha1/projects/${ENVIRON_PROJECT_ID}:initialize
   

3. Konfigurasi penginstalan:

   kpt pkg get \
   https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages.git/asm@release-1.11 asm
   
   ENVIRON_PROJECT_NUMBER=$(gcloud projects describe "${ENVIRON_PROJECT_ID}" --format="value(projectNumber)")
   
   CLUSTER_NAME="${HUB_MEMBERSHIP_ID}"
   
   CLUSTER_LOCATION="global"
   
   HUB_IDP_URL="$(kubectl get memberships.hub.gke.io membership -o=jsonpath='{.spec.identity_provider}')"
   
   kpt cfg set asm gcloud.core.project ${ENVIRON_PROJECT_ID}
   kpt cfg set asm gcloud.container.cluster ${CLUSTER_NAME}
   kpt cfg set asm gcloud.compute.location ${CLUSTER_LOCATION}
   kpt cfg set asm anthos.servicemesh.hub gcr.io/gke-release/asm
   kpt cfg set asm anthos.servicemesh.rev asm-1118-4
   kpt cfg set asm anthos.servicemesh.tag 1.11.8-asm.4
   kpt cfg set asm gcloud.project.environProjectNumber ${ENVIRON_PROJECT_NUMBER}
   kpt cfg set asm anthos.servicemesh.trustDomain ${ENVIRON_PROJECT_ID}.svc.id.goog
   kpt cfg set asm anthos.servicemesh.idp-url "${HUB_IDP_URL}"
   

4. Jika perlu, ubah ke direktori istio-1.11.8-asm.4. Klien istioctl bergantung pada versi. Pastikan Anda menggunakan versi ini di direktori istio-1.11.8-asm.4/bin.

5. Jalankan perintah berikut untuk menginstal Anthos Service Mesh.

   bin/istioctl install \
     -f asm/istio/istio-operator.yaml \
     -f asm/istio/options/hub-meshca.yaml --revision=asm-1118-4
   

   Jika Anda ingin mengaktifkan fitur opsional yang didukung, sertakan -f dan nama file YAML pada command line berikut, setelah -f cluster.yaml. Lihat Mengaktifkan fitur opsional untuk mengetahui informasi selengkapnya.

Menginstal Anthos Service Mesh dengan Istio CA

Bagian ini menjelaskan cara membuat sertifikat dan kunci untuk Istio CA yang digunakan Anthos Service Mesh lokal untuk menandatangani workload Anda. Jika sudah Menginstal Anthos Service Mesh dengan Mesh CA, Anda dapat langsung membuka bagian Menyetel jaringan default.

Untuk keamanan terbaik, sebaiknya Anda mempertahankan root CA offline dan menggunakan CA subordinat untuk menerbitkan sertifikat bagi setiap cluster. Untuk informasi selengkapnya, lihat Mencolokkan Sertifikat CA. Dalam konfigurasi ini, semua beban kerja di mesh layanan menggunakan root certificate authority (CA) yang sama. Setiap CA Anthos Service Mesh menggunakan kunci dan sertifikat penandatanganan CA perantara, yang ditandatangani oleh root CA. Jika beberapa CA ada dalam sebuah mesh, hal ini akan menetapkan hierarki kepercayaan di antara CA. Anda dapat mengulangi langkah-langkah ini untuk menyediakan sertifikat dan kunci untuk sejumlah certificate authority.

1. Buat direktori untuk sertifikat dan kunci:

   mkdir -p certs && \
   pushd certs

2. Buat root certificate dan kunci:

   make -f ../tools/certs/Makefile.selfsigned.mk root-ca
   

   Tindakan ini menghasilkan file berikut:

   • root-cert.pem: root certificate
   • root-key.pem: kunci root
   • root-ca.conf: konfigurasi untuk openssl guna membuat root certificate
   • root-cert.csr: CSR untuk root certificate

3. Buat kunci dan sertifikat perantara:

   make -f ../tools/certs/Makefile.selfsigned.mk cluster1-cacerts

   Tindakan ini menghasilkan file ini dalam direktori bernama cluster1:

   • ca-cert.pem: sertifikat perantara
   • ca-key.pem: kunci perantara
   • cert-chain.pem: rantai sertifikat yang digunakan istiod
   • root-cert.pem: root certificate

   Jika Anda melakukan langkah-langkah ini menggunakan komputer offline, salin direktori yang dihasilkan ke komputer yang memiliki akses ke cluster.

4. Buat cacerts rahasia yang mencakup semua file input ca-cert.pem, ca- key.pem, root-cert.pem, dan cert-chain.pem:

   kubectl --context="${CTX_CLUSTER1}" create namespace istio-system
   kubectl --context="${CTX_CLUSTER1}" create secret generic cacerts -n istio-system \
     --from-file=cluster1/ca-cert.pem \
     --from-file=cluster1/ca-key.pem \
     --from-file=cluster1/root-cert.pem \
     --from-file=cluster1/cert-chain.pem

   Anthos Service Mesh lokal akan mendeteksi keberadaan sertifikat/kunci ini dan menggunakannya selama proses penginstalan pada langkah-langkah berikutnya.

5. Kembali ke direktori sebelumnya:

   popd

Mengonfigurasi dan menginstal Anthos Service Mesh dengan Istio CA

Bagian ini menjelaskan cara menginstal Anthos Service Mesh dengan sertifikat Istio CA (sebelumnya dikenal sebagai Citadel) yang Anda buat sebelumnya. Jika sudah Menginstal Anthos Service Mesh dengan Mesh CA, Anda dapat langsung membuka bagian Menyetel jaringan default.

1. Buat variabel lingkungan untuk project ID:

   export PROJECT_ID=YOUR_PROJECT_ID

2. Buat variabel lingkungan untuk nomor project:

   export PROJECT_NUMBER=$(gcloud projects describe ${PROJECT_ID} --format="value(projectNumber)")

3. Buat variabel lingkungan untuk ID mesh. String ini dapat berupa string apa pun, tetapi harus dalam format yang konsisten di antara cluster Anda.

   export MESH_ID="proj-${PROJECT_NUMBER}"

4. Buat konfigurasi untuk bidang kontrol cluster, yang akan menginstal Anthos Service Mesh menggunakan profil asm-multicloud. Jika Anda ingin mengaktifkan fitur opsional yang didukung, sertakan -f dan nama file YAML pada command line berikut. Lihat Mengaktifkan fitur opsional untuk mengetahui informasi selengkapnya.

   Dalam contoh berikut:

   • Gunakan MESH_ID yang ditentukan pada langkah sebelumnya.

   • NETWORK_ID dapat berupa string apa pun yang mengidentifikasi jaringan cluster. Dalam konfigurasi lokal ini, setiap cluster berada di jaringannya sendiri, sehingga setiap cluster harus memiliki nilai yang berbeda. NETWORK_ID memiliki batasan string yang sama seperti label Kubernetes yang dijelaskan dalam Sintaksis dan himpunan karakter.

   cat <<EOF > cluster.yaml
   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   spec:
     profile: asm-multicloud
     revision: asm-1118-4
     values:
       global:
         meshID: ${MESH_ID}
         multiCluster:
           clusterName: CLUSTER_NAME
         network: NETWORK_ID
   EOF
   

5. Jika perlu, ubah ke direktori istio-1.11.8-asm.4. Klien istioctl bergantung pada versi. Pastikan Anda menggunakan versi ini di direktori istio-1.11.8-asm.4/bin.

6. Jalankan perintah berikut untuk menginstal Anthos Service Mesh. Jika Anda ingin mengaktifkan fitur opsional yang didukung, sertakan -f dan nama file YAML pada command line berikut, setelah -f cluster.yaml. Lihat Mengaktifkan fitur opsional untuk mengetahui informasi selengkapnya.

   bin/istioctl install \
     --context="${CTX_CLUSTER1}" \
     -f cluster.yaml
   

Menyetel jaringan default

Tetapkan jaringan default pada namespace istio-system.

 kubectl --context="${CTX_CLUSTER1}" label \
 namespace istio-system topology.istio.io/network=NETWORK_ID

Mengonfigurasi webhook yang memvalidasi

Saat menginstal Anthos Service Mesh, Anda menetapkan label revisi pada istiod. Anda harus menetapkan revisi yang sama pada webhook validasi.

1. Salin YAML berikut ke file bernama istiod-service.yaml:

   cat <<EOF > istiod-service.yaml
   apiVersion: v1
   kind: Service
   metadata:
    name: istiod
    namespace: istio-system
    labels:
      istio.io/rev: asm-1118-4
      app: istiod
      istio: pilot
      release: istio
   spec:
    ports:
      - port: 15010
        name: grpc-xds # plaintext
        protocol: TCP
      - port: 15012
        name: https-dns # mTLS with k8s-signed cert
        protocol: TCP
      - port: 443
        name: https-webhook # validation and injection
        targetPort: 15017
        protocol: TCP
      - port: 15014
        name: http-monitoring # prometheus stats
        protocol: TCP
    selector:
      app: istiod
      istio.io/rev: asm-1118-4
   EOF
   

2. Konfigurasikan webhook yang memvalidasi agar dapat menemukan layanan istiod dengan label revisi:

   kubectl --context="${CTX_CLUSTER1}" apply -f istiod-service.yaml
   

   Perintah ini membuat entri layanan yang memungkinkan webhook yang memvalidasi secara otomatis memeriksa konfigurasi sebelum diterapkan.

TLS bersama otomatis (auto mTLS) diaktifkan secara default. Dengan mTLS otomatis, proxy file bantuan klien akan otomatis mendeteksi apakah server memiliki file bantuan. File bantuan klien mengirimkan mTLS ke workload dengan file bantuan dan mengirimkan traffic teks biasa ke workload tanpa sidecar.

Memeriksa komponen bidang kontrol

Pastikan pod bidang kontrol di istio-system sudah berjalan:

kubectl --context="${CTX_CLUSTER1}" get pod -n istio-system

Output yang diharapkan mirip dengan berikut ini:

NAME                                      READY   STATUS      RESTARTS   AGE
istio-ingressgateway-74cc894bfd-786rg     1/1     Running     0          7m19s
istiod-78cdbbbdb-d7tps                    1/1     Running     0          7m36s
promsd-576b8db4d6-lqf64                   2/2     Running     1          7m19s

Memasukkan proxy file bantuan

Anthos Service Mesh menggunakan proxy file bantuan untuk meningkatkan keamanan, keandalan, dan kemampuan observasi jaringan. Dengan Anthos Service Mesh, fungsi-fungsi ini diabstraksikan dari container utama aplikasi dan diimplementasikan dalam proxy di luar proses umum yang dikirimkan sebagai container terpisah dalam Pod yang sama.

Penginstalan belum selesai sampai Anda mengaktifkan injeksi proxy sidecar otomatis (injeksi otomatis) dan memulai ulang Pod untuk semua workload yang sedang berjalan di cluster sebelum Anda menginstal Anthos Service Mesh.

Untuk mengaktifkan injeksi otomatis, beri label namespace dengan label revisi yang ditetapkan pada istiod saat Anda menginstal Anthos Service Mesh. Label revisi digunakan oleh webhook injektor file bantuan untuk mengaitkan file bantuan yang dimasukkan dengan revisi istiod tertentu. Setelah menambahkan label, semua Pod yang ada di namespace harus dimulai ulang agar sidecar dapat dimasukkan.

Sebelum men-deploy workload baru di namespace baru, pastikan untuk mengonfigurasi injeksi otomatis agar Anthos Service Mesh dapat memantau dan mengamankan traffic.

Untuk mengaktifkan injeksi otomatis:

1. Gunakan perintah berikut untuk menemukan label revisi di istiod:

   kubectl --context=${CTX_CLUSTER1} \
     -n istio-system get pods -l app=istiod --show-labels
   

   Outputnya terlihat mirip dengan yang berikut ini:

   NAME                                READY   STATUS    RESTARTS   AGE   LABELS
   istiod-asm-1118-4-5788d57586-bljj4   1/1     Running   0          23h   app=istiod,istio.io/rev=asm-1118-4,istio=istiod,pod-template-hash=5788d57586
   istiod-asm-1118-4-5788d57586-vsklm   1/1     Running   1          23h   app=istiod,istio.io/rev=asm-1118-4,istio=istiod,pod-template-hash=5788d57586

   Pada output, di kolom LABELS, catat nilai label revisi istiod, yang mengikuti awalan istio.io/rev=. Dalam contoh ini, nilainya adalah asm-1118-4.

2. Terapkan label revisi dan hapus label istio-injection jika ada. Dalam perintah berikut, NAMESPACE adalah nama namespace tempat Anda ingin mengaktifkan injeksi otomatis, dan REVISION adalah label revisi yang Anda catat pada langkah sebelumnya.

   kubectl --context=${CTX_CLUSTER1} \
     label namespace NAMESPACE istio-injection- istio.io/rev=REVISION --overwrite
   

   Anda dapat mengabaikan pesan "istio-injection not found" di output. Artinya, namespace sebelumnya tidak memiliki label istio-injection, yang akan Anda harapkan dalam penginstalan baru Anthos Service Mesh atau deployment baru. Karena injeksi otomatis gagal jika namespace memiliki istio-injection dan label revisi, semua perintah kubectl label dalam dokumentasi Anthos Service Mesh mencakup penghapusan label istio-injection.

3. Jika beban kerja berjalan di cluster sebelum Anda menginstal Anthos Service Mesh, mulai ulang Pod untuk memicu injeksi ulang.

   Cara memulai ulang Pod bergantung pada aplikasi dan lingkungan cluster tersebut. Misalnya, di lingkungan staging, Anda dapat menghapus semua Pod, yang menyebabkannya dimulai ulang. Namun, di lingkungan produksi, Anda mungkin memiliki proses yang menerapkan deployment berwarna biru-hijau, sehingga Anda dapat memulai ulang Pod dengan aman untuk menghindari gangguan traffic.

   Anda dapat menggunakan kubectl untuk melakukan mulai ulang berkelanjutan:

   kubectl  --context=${CTX_CLUSTER1} \
     rollout restart deployment -n NAMESPACE
   

4. Pastikan bahwa Pod Anda telah dikonfigurasi untuk mengarah ke versi baru istiod.

   kubectl --context=${CTX_CLUSTER1} \
     get pods -n NAMESPACE -l istio.io/rev=REVISION
   

Apa langkah selanjutnya?

Jika Anda berencana menggunakan beberapa cluster untuk mesh layanan lokal, lihat Menginstal Anthos Service Mesh secara lokal di beberapa cluster dan jaringan.

Jika tidak, langkah Anda selanjutnya adalah Mengonfigurasi alamat IP eksternal.