Preparati per la configurazione delle API di routing dei servizi con Envoy e workload senza proxy

Questo documento fornisce informazioni sulle attività preliminari per la configurazione di Cloud Service Mesh utilizzando le API di routing dei servizi con i proxy Envoy o con gRPC senza proxy come piano dati.

La configurazione di Cloud Service Mesh include diverse fasi. Questo documento descrive la prima fase: istruzioni per prepararsi a configurare Cloud Service Mesh con le istanze VM o le applicazioni gRPC senza proxy. Le fasi aggiuntive sono trattate nelle guide specifiche della piattaforma elencate in Continua la procedura di configurazione più avanti in questo documento.

Prima di leggere questa guida, consulta i seguenti documenti, che forniscono una panoramica dell'utilizzo di Cloud Service Mesh con le API di routing dei servizi e le API Gateway:

Prerequisiti

Prepara l'ambiente completando le seguenti attività:

  1. Configura i progetti in base alle tue esigenze aziendali.
  2. Abilita fatturazione.
  3. Concedi le autorizzazioni richieste.
  4. Abilita l'API Traffic Director e altre API per il tuo progetto.
  5. Assicurati che il account di servizio disponga delle autorizzazioni necessarie per accedere all'API Traffic Director.
  6. Abilita l'API Cloud DNS e configura Cloud DNS.

Le sezioni seguenti forniscono le istruzioni per ogni attività.

Configura i progetti

Per configurare e gestire i progetti, consulta Creare e gestire i progetti e la documentazione correlata.

Abilita fatturazione

Verifica che la fatturazione sia attivata per il tuo Google Cloud progetto. Per saperne di più, consulta Abilitare, disabilitare o modificare la fatturazione per un progetto.

Concedi le autorizzazioni IAM richieste

Devi disporre delle autorizzazioni di Identity and Access Management (IAM) necessarie per creare istanze VM e modificare una rete per configurare Cloud Service Mesh. Se disponi del ruolo Proprietario o Editor del progetto (roles/owner o roles/editor) nel progetto in cui stai abilitando Cloud Service Mesh, hai automaticamente le autorizzazioni corrette.

In caso contrario, devi disporre di tutti i ruoli IAM mostrati nella tabella seguente. Se disponi di questi ruoli, hai anche le autorizzazioni associate, come descritto nella documentazione IAM di Compute Engine.

Attività Ruolo richiesto
Imposta il criterio IAM per un account di servizio. Amministratore account di servizio
(roles/iam.serviceAccountAdmin)
Abilita Cloud Service Mesh. Amministratore Service Usage
(roles/serviceusage.serviceUsageAdmin)
Crea reti, subnet, mesh, gateway e componenti del bilanciatore del carico. Amministratore di rete Compute
(roles/compute.networkAdmin)
Aggiungi e rimuovi regole firewall. Amministratore della sicurezza Compute
(roles/compute.securityAdmin)
Crea istanze. Amministratore istanze Compute
(roles/compute.instanceAdmin)
Consente l'accesso ai service account. Utente Service Account
(roles/iam.serviceAccountUser)
Consente al account di servizio di eseguire le attività richieste. Questa autorizzazione è necessaria al piano dati xDS (Envoy o gRPC senza proxy) per ricevere la configurazione xDS dal piano di controllo. Client Traffic Director
(roles/trafficdirector.client)

Le VM di Compute Engine devono avere l' https://www.googleapis.com/auth/cloud-platform ambito. Per saperne di più, consulta Risoluzione dei problemi dei deployment che utilizzano gRPC senza proxy.

Abilita il account di servizio per accedere all'API Traffic Director

Quando configuri il piano dati e lo connetti a Cloud Service Mesh, i client xDS, siano essi proxy Envoy o client gRPC senza proxy, si connettono al server xDS trafficdirector.googleapis.com. Questi client xDS presentano un'identità del account di servizio al server xDS per garantire che le comunicazioni tra il piano dati e il piano di controllo siano autorizzate correttamente.

Per una VM di Compute Engine, il client xDS utilizza il account di servizio assegnato alla VM.

A meno che tu non modifichi la configurazione, Google Cloud utilizza il service account predefinito di Compute Engine.

Per concedere al account di servizio l'accesso all'API Traffic Director, segui queste istruzioni.

Console

  1. Nella Google Cloud console, vai alla pagina IAM e amministrazione.

    Vai a IAM e amministrazione

  2. Seleziona il progetto.

  3. Identifica il account di servizio a cui vuoi aggiungere un ruolo:

    • Se il account di servizio non è già presente nell'elenco Membri, non ha ruoli assegnati. Fai clic su Aggiungi e inserisci l'indirizzo email del account di servizio.
    • Se il account di servizio è già presente nell'elenco Membri, ha ruoli esistenti. Seleziona il account di servizio e poi fai clic sulla scheda Ruoli.

  4. Espandi il ruolo. Per il account di servizio che vuoi modificare, fai clic su Modifica.

  5. Seleziona il ruolo Altro > Client Traffic Director.

  6. Per applicare il ruolo al account di servizio, fai clic su Salva.

gcloud

Esegui questo comando:

gcloud projects add-iam-policy-binding PROJECT \
    --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
    --role=roles/trafficdirector.client

Sostituisci quanto segue:

  • PROJECT: inserisci gcloud config get-value project
  • SERVICE_ACCOUNT_EMAIL: l'indirizzo email associato al account di servizio

Abilita le API richieste

Abilita le seguenti API richieste.

  • osconfig.googleapis.com
  • trafficdirector.googleapis.com
  • compute.googleapis.com
  • networkservices.googleapis.com

Per abilitare le API richieste, segui queste istruzioni.

Console

  1. Nella Google Cloud console, vai alla pagina Libreria API del tuo progetto.

    Vai alla libreria API

  2. Nel campo Cerca API e servizi, inserisci Traffic Director.

  3. Nell'elenco dei risultati di ricerca, fai clic su API Traffic Director. Se non vedi l'API Traffic Director, significa che non hai le autorizzazioni necessarie per abilitarla.

  4. Nella pagina API Traffic Director, fai clic su Abilita.

  5. Nel campo Cerca API e servizi, inserisci OS Config.

  6. Nell'elenco dei risultati di ricerca, fai clic su OS Config. Se non vedi l'API OS Config elencata, significa che non hai le autorizzazioni necessarie per abilitare l'API Traffic Director.

  7. Nella pagina API OS Config, fai clic su Abilita.

  8. Nel campo Cerca API e servizi, inserisci Compute.

  9. Nell'elenco dei risultati di ricerca, fai clic su API Compute Engine. Se non vedi l'API Compute Engine, significa che non hai le autorizzazioni necessarie per abilitarla.

  10. Nella pagina API Compute Engine, fai clic su Abilita.

  11. Nel campo Cerca API e servizi, inserisci Network Services.

  12. Nell'elenco dei risultati di ricerca, fai clic su API Network Services. Se non vedi l'API Network Services, significa che non hai le autorizzazioni necessarie per abilitarla.

  13. Nella pagina API Network Services, fai clic su Abilita.

gcloud

Esegui questo comando:

gcloud services enable osconfig.googleapis.com \
trafficdirector.googleapis.com \
compute.googleapis.com \
networkservices.googleapis.com

Versione xDS

Le API di routing dei servizi richiedono l'utilizzo di xDS v3. Per informazioni sull'aggiornamento del deployment da xDS v2 a xDS v3, consulta API del piano di controllo xDS.

Requisiti aggiuntivi con i proxy Envoy

Questa sezione descrive i requisiti aggiuntivi per l'utilizzo di Cloud Service Mesh con le API di routing dei servizi e i proxy Envoy. Se esegui il deployment con gRPC senza proxy, consulta Requisiti aggiuntivi con gRPC senza proxy.

Come viene installato Envoy

Durante la procedura di deployment di Cloud Service Mesh, crei un modello di VM che installa automaticamente Envoy sulle VM in cui vengono eseguite le applicazioni.

Informazioni sulle versioni di Envoy

Per funzionare con Cloud Service Mesh, Envoy deve essere la versione 1.20.0 o successive. Ti consigliamo di utilizzare sempre la versione più recente di Envoy per garantire la mitigazione delle vulnerabilità alla sicurezza note.

Se decidi di eseguire il deployment di Envoy utilizzando uno dei nostri metodi automatici, questa attività viene gestita come segue:

Il deployment automatico di Envoy con le VM di Compute Engine installa la versione di Envoy che abbiamo convalidato per il funzionamento con Cloud Service Mesh. Quando viene creata una nuova VM utilizzando il modello di istanza, la VM riceve l'ultima versione che abbiamo convalidato. Se hai una VM a lunga esecuzione, puoi utilizzare un aggiornamento in sequenza per sostituire le VM esistenti e recuperare l'ultima versione.

Per informazioni sulle versioni specifiche di Envoy, consulta la cronologia delle versioni. Per informazioni sulle vulnerabilità alla sicurezza, consulta gli avvisi di sicurezza.

Requisiti aggiuntivi con gRPC senza proxy

Questa sezione descrive i requisiti aggiuntivi per l'utilizzo di Cloud Service Mesh con le API di routing dei servizi e gRPC senza proxy. Se esegui il deployment con i proxy Envoy, consulta Requisiti aggiuntivi con i proxy Envoy.

Procedura generale con gRPC senza proxy

Segui questa procedura generale per configurare le applicazioni gRPC senza proxy in un mesh di servizi:

  1. Aggiorna i client gRPC all'ultima versione di gRPC, con la patch più recente.
  2. Aggiorna lo schema di risoluzione dei nomi gRPC dei client quando crei un canale e specifichi un file di bootstrap di Cloud Service Mesh.
  3. Configura le risorse di Cloud Service Mesh e Cloud Load Balancing.

Questo documento fornisce informazioni per completare i primi due passaggi. La procedura di configurazione utilizzata per il passaggio 3 dipende dal fatto che il deployment utilizzi VM di Compute Engine o gruppi di endpoint di rete (NEG) GKE.

Versioni e linguaggi gRPC supportati

gRPC è un progetto open source e il relativo supporto per le release è descritto nelle Domande frequenti su gRPC. Ti consigliamo di utilizzare la versione più recente di gRPC per garantire la mitigazione delle vulnerabilità alla sicurezza note. In questo modo, le tue applicazioni avranno accesso alle funzionalità più recenti supportate da Cloud Service Mesh. Le funzionalità del mesh di servizi supportate in varie implementazioni e versioni di gRPC sono elencate su GitHub. Per un elenco dei linguaggi e delle funzionalità gRPC supportati con i servizi Cloud Service Mesh e gRPC senza proxy, consulta Funzionalità di Cloud Service Mesh.

Cloud Service Mesh mantiene la compatibilità con le versioni attuali e supportate di gRPC e si impegna a essere compatibile con le versioni di gRPC meno di un anno in base ai Google Cloud Termini di servizio della piattaforma.

Aggiorna i client gRPC

Aggiorna la libreria gRPC nella tua applicazione alla versione che supporta le funzionalità richieste. Per maggiori dettagli, consulta la sezione precedente.

Aggiungi il risolutore di nomi xDS come dipendenza alle tue applicazioni gRPC. I requisiti per linguaggio per Java e Go sono mostrati nelle sezioni seguenti. Gli altri linguaggi non hanno requisiti aggiuntivi.

Requisiti Java

In Java, se utilizzi Gradle, aggiungi la dipendenza grpc-xds al file build.gradle. Sostituisci LATEST_GRPC_VERSION con l' ultima versione di gRPC.

dependencies {
  runtimeOnly 'io.grpc:grpc-xds:LATEST_GRPC_VERSION'
}

Se utilizzi Maven, aggiungi quanto segue alla sezione <dependencies> di pom.xml. Sostituisci LATEST_GRPC_VERSION con l'ultima versione di gRPC.

    <dependency>
      <groupId>io.grpc</groupId>
      <artifactId>grpc-xds</artifactId>
      <version>LATEST_GRPC_VERSION</version>
      <scope>runtime</scope>
    </dependency>

Requisiti Go

Se utilizzi Go, importa il pacchetto Go xds.

Imposta il risolutore di nomi gRPC in modo che utilizzi xds

Imposta o modifica le applicazioni gRPC in modo che utilizzino lo schema di risoluzione dei nomi xds nell'URI di destinazione, anziché DNS o qualsiasi altro schema di risoluzione. Per farlo, utilizza il prefisso xds:/// nel nome di destinazione quando crei un canale gRPC. Il bilanciamento del carico per i client gRPC è basato sul canale.

Includi il nome del servizio utilizzato nell'URI di destinazione nella configurazione di Cloud Service Mesh. Ad esempio, in Java, crei il canale utilizzando questa struttura, in cui il nome del servizio è helloworld:

ManagedChannelBuilder.forTarget("xds:///helloworld[:PORT_NUMBER]")

Crea e configura un file di bootstrap

Lo schema di risoluzione xds indica all'applicazione gRPC di connettersi a Cloud Service Mesh per ottenere informazioni di configurazione per il servizio di destinazione. Pertanto, procedi nel seguente modo:

  • Crea un file di bootstrap, come mostrato nell'esempio seguente. Questo file indica a gRPC di connettersi a un server xDS (Cloud Service Mesh) per ottenere la configurazione di servizi specifici.
  • Definisci una variabile di ambiente denominata GRPC_XDS_BOOTSTRAP, con il nome del file di bootstrap come valore della variabile di ambiente.

Le istruzioni di configurazione contengono esempi che mostrano come generare il file di bootstrap. Per tua comodità, puoi utilizzare l'ultima versione del generatore di bootstrap gRPC di Cloud Service Mesh.

Un file di bootstrap contenente le informazioni necessarie per connettersi a Cloud Service Mesh deve essere incluso nell'applicazione. Un file di bootstrap di esempio ha il seguente aspetto:

{
  "xds_servers": [
    {
      "server_uri": "trafficdirector.googleapis.com:443",
      "channel_creds": [
        {
          "type": "google_default"
        }
      ],
      "server_features": ["xds_v3"]
    }
  ],
  "node": {
    "id": "projects/123456789012/networks/default/nodes/b7f9c818-fb46-43ca-8662-d3bdbcf7ec18",
    "metadata": {
      "TRAFFICDIRECTOR_NETWORK_NAME": "default"
    },
    "locality": {
      "zone": "us-central1-a"
    }
  }
}

La tabella seguente spiega i campi del file di bootstrap.

Campo Valore e descrizione
xds_servers Un elenco di server xDS. gRPC utilizza solo il primo dell'elenco.
server_uri Specifica almeno uno. gRPC tenta di connettersi solo al primo server xDS nell'elenco di xds_servers. Il valore predefinito è trafficdirector.googleapis.com:443.
channel_creds Credenziali da utilizzare con il server xDS.
type Utilizza il valore google_default. Per saperne di più su come vengono ottenute le credenziali, consulta Come funzionano le credenziali predefinite dell'applicazione.
server_features Un elenco di funzionalità supportate dal server, come il supporto xDS v3. Il valore predefinito è vuoto.
node Informazioni sul client che si connette al server xDS.
id

Il id deve essere nel seguente formato, come mostrato nell' esempio precedente:

projects/PROJECT_NUMBER/networks/NETWORK_NAME/nodes/ID

Fornisci una stringa univoca come valore di ID. In questo modo è possibile identificare il client gRPC che si connette a Cloud Service Mesh.
metadata Informazioni specifiche per il server xDS.
TRAFFICDIRECTOR_MESH_NAME Se il campo è vuoto o non specificato, il valore viene impostato su default.
locality La Google Cloud zona in cui è in esecuzione il client gRPC.

Continua la procedura di configurazione

Dopo aver completato i prerequisiti descritti in questo documento, continua con uno di questi documenti se stai configurando Cloud Service Mesh con le API di routing dei servizi: