הוספת שירותים של Cloud Service Mesh (בתוך האשכול) למתחמי השירות

הערה: המדריך הזה תומך רק ב-Cloud Service Mesh עם ממשקי Istio API, ולא תומך בממשקי Google Cloud API. מידע נוסף זמין במאמר סקירה כללית על Cloud Service Mesh.

חשוב לדעת: השימוש ב-Cloud Service Mesh בתוך האשכול באמצעות מישור הבקרה ISTIOD ב-GKE ב- Google Cloud יצא משימוש. אנחנו ממשיכים לתמוך ב-Cloud Service Mesh עם מישור בקרה בתוך האשכול ב-Google Distributed Cloud (תוכנה בלבד), כפי שמתואר במאמר פלטפורמות נתמכות.

אם יצרתם גבולות גזרה לשירות בארגון, אתם צריכים להוסיף למתחם את השירותים הבאים: רשות האישורים (רשות האישורים של Cloud Service Mesh או Certificate Authority Service), Mesh Configuration,‏ Stackdriver Logging,‏ Cloud Monitoring ו-Cloud Trace. זאת במקרים הבאים:

• האשכול שבו התקנתם את Cloud Service Mesh נמצא בפרויקט שכלול בגבולות גזרה לשירות.
• האשכול שבו התקנתם את Cloud Service Mesh הוא פרויקט שירות ברשת VPC משותפת.

אם מוסיפים את השירותים האלה לגבולות גזרה לשירות, אשכול Cloud Service Mesh יכול לגשת לשירותים האלה. הגישה לשירותים מוגבלת גם ברשת הענן הווירטואלי הפרטי (VPC) של האשכול.

אם לא מוסיפים את השירותים שצוינו למעלה, יכול להיות שההתקנה של Cloud Service Mesh תיכשל או שפונקציות מסוימות לא יופיעו. לדוגמה, אם לא מוסיפים את רשות האישורים של Cloud Service Mesh לגבולות גזרה לשירות, עומסי העבודה לא יכולים לקבל אישורים מרשות האישורים של Cloud Service Mesh.

לפני שמתחילים

ההגדרה של גבול הגזרה לשירות VPC Service Controls היא ברמת הארגון. מוודאים שקיבלתם את התפקידים המתאימים לניהול VPC Service Controls. אם יש לכם כמה פרויקטים, אתם יכולים להחיל את גבולות הגזרה לשירות על כל הפרויקטים על ידי הוספת כל פרויקט לגבולות הגזרה לשירות.

הוספת שירותים של Cloud Service Mesh לגבולות גזרה לשירות קיימים

המסוף

1. פועלים לפי השלבים במאמר עדכון גבולות גזרה לשירות כדי לערוך את הגבולות.
2. בדף עריכת גבולות גזרה לשירות VPC, בקטע שירותים להגנה, לוחצים על הוספת שירותים.
3. בתיבת הדו-שיח Specify services to restrict (ציון שירותים להגבלה), לוחצים על Filter services (סינון שירותים). בהתאם ל-Certificate Authority (CA) שלכם, מזינים את Cloud Service Mesh Certificate Authority API או את Certificate Authority Service API.
4. מסמנים את התיבה של השירות.
5. לוחצים על Add Cloud Service Mesh Certificate Authority API (הוספת Cloud Service Mesh Certificate Authority API).
6. חוזרים על שלבים 2 עד 5 כדי להוסיף:
   • Mesh Configuration API
   • ‫Cloud Monitoring API
   • Cloud Trace API
7. לוחצים על Save.

gcloud

כדי לעדכן את רשימת השירותים המוגבלים, משתמשים בפקודה update ומציינים את השירותים שרוצים להוסיף כרשימה מופרדת בפסיקים:

הערה: אם ה-Service mesh שלכם משתמש ב-Certificate Authority Service, החליפו את meshca.googleapis.com ב-privateca.googleapis.com בפקודה הבאה.

gcloud access-context-manager perimeters update PERIMETER_NAME \
  --add-restricted-services=meshconfig.googleapis.com,meshca.googleapis.com,monitoring.googleapis.com,cloudtrace.googleapis.com,OTHER_SERVICES \
  --policy=POLICY_NAME

כאשר:

• ‫PERIMETER_NAME הוא השם של גבולות גזרה לשירות שרוצים לעדכן.

• ‫OTHER_SERVICES: רשימה מופרדת בפסיקים אופציונלית של שירות אחד או יותר לכלול בגבולות הגזרה בנוסף לשירותים שאוכלסו בפקודה הקודמת. לדוגמה: storage.googleapis.com,bigquery.googleapis.com.

• ‫POLICY_NAME הוא השם המספרי של מדיניות הגישה של הארגון. לדוגמה, 330193482019.

מידע נוסף זמין במאמר בנושא עדכון של גבולות גזרה לשירות.