דרישות מוקדמות ל-Cloud Service Mesh בתוך האשכול

הערה: המדריך הזה תומך רק ב-Cloud Service Mesh עם ממשקי Istio API, ולא תומך בממשקי Google Cloud API. מידע נוסף זמין במאמר סקירה כללית על Cloud Service Mesh.

בדף הזה מפורטות הדרישות המוקדמות להתקנת Cloud Service Mesh בעומסי עבודה של Kubernetes מחוץ לאשכול Google Cloud, כמו דרישות לגבי אשכולות, דרישות לגבי צי ודרישות כלליות.

פתיחת פרויקט ב-Cloud

לפני שמתחילים:

• בוחרים או יוצרים Google Cloud פרויקט.

• מוודאים שהחיוב מופעל בפרויקט.

דרישות כלליות

• כדי שהיציאות של השירות ייכללו ב-Service mesh, צריך לתת להן שם, והשם צריך לכלול את הפרוטוקול של היציאה בתחביר הבא: name: protocol[-suffix] הסוגריים המרובעים מציינים סיומת אופציונלית שצריכה להתחיל במקף. מידע נוסף זמין במאמר בנושא מתן שמות ליציאות של שירותים.

• אם רוצים לשנות את מגבלות ברירת המחדל על משאבים של קובץ ה-sidecar של istio-proxy, הערכים החדשים צריכים להיות גדולים יותר מערכי ברירת המחדל כדי למנוע אירועים של חוסר זיכרון (OOM).

• לכל פרויקט ב- Google Cloud יכול להיות רק רשת אחת שמשויכת אליו.

הדרישות לגבי אשכולות

• מוודאים שלאשכול המשתמשים שבו מתקינים את Cloud Service Mesh יש לפחות 4 מעבדי vCPU,‏ 15GB זיכרון ו-4 צמתים.

• מוודאים שגרסת האשכול מופיעה בפלטפורמות הנתמכות.

• מוודאים שלמחשב הלקוח שממנו מתקינים את Cloud Service Mesh יש קישוריות לרשת לשרת ה-API.

• אם אתם פורסים קבצי sidecar בתרמילי אפליקציות שבהם אין קישוריות ישירה לשירותי CA (כמו meshca.googleapis.com ו-privateca.googleapis.com), אתם צריכים להגדיר שרת proxy מבוסס-CONNECT ל-HTTPS.

• אם מוגדרים כללים של חומת אש לתעבורת נתונים יוצאת (egress) באשכולות ציבוריים שחוסמים כללים משתמעים, צריך לוודא שהגדרתם כללי HTTP/HTTPS ו-DNS כדי לגשת ל-Google APIs ציבוריים.

דרישות ל-Fleet

כל האשכולות צריכים להיות רשומים בFleet, וצריך להפעיל את Workload Identity של Fleet. אתם יכולים להגדיר את האשכולות בעצמכם, או לאפשר ל-asmcli לרשום את האשכולות בתנאי שהם עומדים בדרישות הבאות:

שימו לב: כדי להשתמש ב-Cloud Service Mesh, כל האשכולות של Cloud Service Mesh ברשת אחת צריכים להיות רשומים לאותו צי בכל רגע נתון. אסור לרשום צי אחר של אשכולות בפרויקט של אשכול Cloud Service Mesh.

• ‫GKE clusters outside Google Cloud: ‫(applies to in-cluster Cloud Service Mesh) ‫Google Distributed Cloud (software only) for VMware, ‫Google Distributed Cloud (software only) for bare metal, ‫GKE on AWS (deprecated), and ‫GKE on Azure (deprecated) are automatically registered to your project fleet at cluster creation time. החל מ-GKE Enterprise 1.8, בכל סוגי האשכולות האלה מופעלת אוטומטית התכונה Workload Identity כשנרשמים ל-Fleet. אשכולות רשומים קיימים יעודכנו לשימוש ב-Workload Identity של ה-Fleet כשהם ישודרגו ל-GKE Enterprise 1.8.
• אשכולות של Amazon EKS (הוצא משימוש): (רלוונטי ל-Cloud Service Mesh בתוך האשכול) באשכול צריך להיות ספק זהויות ציבורי של IAM OIDC. פועלים לפי ההוראות במאמר יצירת ספק OIDC של IAM עבור האשכול כדי לבדוק אם קיים ספק, וליצור ספק אם צריך.

כשמריצים את asmcli install, מציינים את מזהה הפרויקט של פרויקט המארח של Fleet. ‫asmcli רושם את האשכול אם הוא עדיין לא רשום.

הערה: אם לא רשמתם בעבר אשכול מפרויקט ל-Fleet שמארח בפרויקט אחר, תצטרכו לבצע שלבים נוספים כדי להגדיר את ההרשאות של ה-Fleet. הוראות מפורטות זמינות במאמר הענקת הרשאות לרישום אשכול בפרויקט אחר.

החל מגרסה 1.25 של asmcli, כל ההתקנות והשדרוגים של Cloud Service Mesh בתוך האשכול מספקים את Managed Canonical Service Controller. כדי להשתמש בתכונה הזו, צריך להפעיל את Cloud Service Mesh בפרויקט של הצי. כדי לאפשר ל-asmcli להפעיל את התכונה הזו באופן אוטומטי במהלך ההתקנה או השדרוג, צריך להריץ את הפקודה asmcli עם הדגל --enable_gcp_components.

מה השלב הבא?

• תכנון התקנה חדשה
• תכנון שדרוג