規劃安裝作業
叢集內 Cloud Service Mesh 可讓您連結、保護及監控在 Google Cloud以外執行的 Kubernetes 工作負載。建議您事先查看叢集需求和部署選項，以便在開始設定前準備好環境，並確認必要條件。
如要從私人或自訂 Container Registry 部署控制層，請參閱「從自訂 Container Registry 安裝 Cloud Service Mesh」。
自訂控制層
Cloud Service Mesh 支援的功能因平台而異。建議您查看支援的功能，瞭解平台支援哪些功能。部分功能預設為啟用，其他功能則可透過建立 IstioOperator 疊加檔來啟用。執行 asmcli install 時，您可以指定 --custom_overlay 選項和疊加檔案，自訂控制層。最佳做法是將疊加檔案儲存在版本管控系統中。
GitHub 中的 asmcli 目錄包含許多疊加層檔案。這些檔案包含對預設設定的常見自訂項目。您可以直接使用這些檔案，也可以視需要進行其他變更。部分檔案是啟用選用 Cloud Service Mesh 功能的必要檔案。執行 asmcli 以驗證專案和叢集時，系統會下載 anthos-service-mesh 套件。
使用 asmcli install 安裝 Cloud Service Mesh 時，您可以使用 --option 或 --custom_overlay 指定一或多個疊加檔案。如果您不需要變更 anthos-service-mesh 存放區中的檔案，可以使用 --option，指令碼會為您從 GitHub 擷取檔案。否則，您可以變更疊加檔案，然後使用 --custom_overlay 選項將其傳遞至 asmcli。
選擇憑證授權單位
視用途和平台而定，您可以選擇下列其中一項做為憑證授權單位 (CA)，用於核發相互傳輸層安全標準 (mTLS) 憑證：
本節將概略介紹這些 CA 選項和用途。
Mesh CA
除非您需要自訂 CA，否則建議您使用 Cloud Service Mesh 憑證授權單位，原因如下：
- Cloud Service Mesh 憑證授權單位是一項高度可靠且可擴充的服務，已針對動態擴充的工作負載進行最佳化。
- 使用 Cloud Service Mesh 憑證授權單位時，Google 會管理 CA 後端的安全性和可用性。
- Cloud Service Mesh 憑證授權單位可讓您在叢集間使用單一信任根。
Cloud Service Mesh 憑證授權單位核發的憑證包含下列應用程式服務資料：
- Google Cloud 專案 ID
- GKE 命名空間
- GKE 服務帳戶名稱
CA 服務
除了 Cloud Service Mesh 憑證授權單位，您也可以將 Cloud Service Mesh 設為使用憑證授權單位服務。本指南提供與 CA 服務整合的機會，建議用於下列用途：
- 如果需要不同的憑證授權單位，在不同叢集簽署工作負載憑證。
- 如需在 Cloud HSM 備份簽署金鑰。
- 您屬於高度監管的產業，且須遵守法規。
- 如要將 Cloud Service Mesh CA 鏈結至自訂企業根憑證，以便簽署工作負載憑證。
Cloud Service Mesh 憑證授權單位的費用已包含在 Cloud Service Mesh 定價中。CA 服務不包含在 Cloud Service Mesh 基本價格中，另外計費。此外，CA 服務提供明確的服務水準協議，但 Cloud Service Mesh 憑證授權單位則沒有。
Istio CA
如果您符合下列條件，建議使用 Istio CA：
- 您的網格已使用 Istio CA，且不需要 Cloud Service Mesh 憑證授權單位或 CA 服務啟用的優點。
- 您需要自訂根 CA。
- 您有非Google Cloud 工作負載，不接受Google Cloud代管的 CA 服務。
準備閘道設定
使用 Cloud Service Mesh 時，您可以選擇將閘道做為服務網格的一部分來部署及管理。閘道是指在網格邊緣運作的負載平衡器，負責接收傳入或傳出網格的 HTTP/TCP 連線。換句話說，閘道其實就是 Envoy Proxy，能讓您精細控管進出網格的流量。
asmcli 不會安裝 istio-ingressgateway。建議您分別部署及管理控制層和閘道。詳情請參閱「安裝及升級閘道」。