Merencanakan upgrade

Catatan: Panduan ini hanya mendukung Cloud Service Mesh dengan Istio API dan tidak mendukung API� Google Cloud Untuk mengetahui informasi selengkapnya, lihat Ringkasan Cloud Service Mesh.

Perhatian: Cloud Service Mesh dalam cluster yang menggunakan bidang kontrol ISTIOD di GKE di Google Cloud tidak digunakan lagi. Cloud Service Mesh dengan bidang kontrol dalam cluster di Google Distributed Cloud (khusus software) akan terus didukung seperti yang dijelaskan dalam Platform yang didukung.

Halaman ini memberikan informasi untuk membantu Anda merencanakan upgrade Cloud Service Mesh. Sebaiknya Anda juga meninjau catatan upgrade Istio.

Tentang upgrade canary

Sebaiknya upgrade Cloud Service Mesh dengan menjalankan deployment canary dari control plane baru terlebih dahulu. Dengan upgrade canary, asmcli menginstal revisi baru bidang kontrol bersama bidang kontrol lama. Bidang kontrol lama dan baru diberi label revision, yang berfungsi sebagai ID untuk bidang kontrol.

Untuk memigrasikan workload ke bidang kontrol baru:

1. Tetapkan label revision panel kontrol baru di salah satu namespace Anda.

2. Lakukan mulai ulang berkelanjutan. Mulai ulang akan menyuntikkan ulang proxy sidecar di Pod sehingga proxy menggunakan bidang kontrol baru.

3. Pantau efek upgrade pada workload. Jika perlu menguji aplikasi Anda, ulangi langkah-langkah sebelumnya.

4. Setelah menguji aplikasi, Anda dapat memigrasikan semua traffic ke bidang kontrol baru atau melakukan rollback ke bidang kontrol lama.

Upgrade canary jauh lebih aman daripada melakukan upgrade di tempat saat bidang kontrol baru menggantikan bidang kontrol lama. Untuk mengetahui langkah-langkah mendetail, lihat Beralih ke bidang kontrol baru.

Perhatian: Upgrade langsung tidak didukung dan melakukan upgrade langsung ke versi 1.24 akan menyebabkan periode nonaktif karena perubahan yang dapat menyebabkan gangguan pada penyedia sertifikat uji coba. Jika Anda melakukan upgrade di tempat, semua workload harus di-deploy ulang setelah upgrade untuk terhubung ke bidang kontrol.

Menyesuaikan bidang kontrol

Jika Anda menyesuaikan penginstalan sebelumnya, Anda memerlukan penyesuaian yang sama saat mengupgrade Cloud Service Mesh. Jika Anda menyesuaikan penginstalan dengan menambahkan flag --set values ke istioctl install, Anda harus menambahkan setelan tersebut ke file YAML IstioOperator, yang disebut sebagai file overlay. Anda menentukan file overlay menggunakan opsi --custom_overlay dengan nama file saat Anda menjalankan asmcli.

Perhatian: Menghilangkan file overlay akan menghasilkan penginstalan yang berhasil. Namun, mesh layanan Anda memiliki konfigurasi yang berbeda dari yang Anda inginkan karena nilai yang dihilangkan direset kembali ke default saat bidang kontrol di-deploy ulang.

Direktori asmcli di GitHub berisi banyak file overlay. File ini berisi penyesuaian umum pada konfigurasi default. Anda dapat menggunakan file ini sebagaimana adanya, atau Anda dapat melakukan perubahan tambahan pada file tersebut sesuai kebutuhan. Beberapa file diperlukan untuk mengaktifkan fitur Cloud Service Mesh opsional. Paket anthos-service-mesh didownload saat Anda menjalankan asmcli untuk memvalidasi project dan cluster Anda.

Saat menginstal Cloud Service Mesh menggunakan asmcli install, Anda dapat menentukan satu atau beberapa file overlay dengan --option atau --custom_overlay. Jika Anda tidak perlu membuat perubahan apa pun pada file di repositori anthos-service-mesh, Anda dapat menggunakan --option, dan skrip akan mengambil file dari GitHub untuk Anda. Atau, Anda dapat membuat perubahan pada file overlay, lalu menggunakan opsi --custom_overlay untuk meneruskannya ke asmcli.

Pilih otoritas sertifikasi

Jika penginstalan Cloud Service Mesh Anda saat ini menggunakan otoritas sertifikat Cloud Service Mesh sebagai otoritas sertifikat (CA) untuk menerbitkan sertifikat TLS bersama (mTLS), sebaiknya Anda terus menggunakan otoritas sertifikat Cloud Service Mesh karena alasan berikut:

• Certificate authority Cloud Service Mesh adalah layanan yang sangat andal dan skalabel yang dioptimalkan untuk workload yang diskalakan secara dinamis.
• Dengan certificate authority Cloud Service Mesh, Google mengelola keamanan dan ketersediaan backend CA.
• Otoritas sertifikat Cloud Service Mesh memungkinkan Anda mengandalkan satu root of trust di seluruh cluster.

Jika penginstalan Cloud Service Mesh saat ini menggunakan Istio CA (sebelumnya disebut "Citadel"), Anda dapat beralih ke otoritas sertifikat Cloud Service Mesh saat melakukan upgrade, tetapi Anda perlu menjadwalkan periode nonaktif. Selama upgrade, traffic mTLS terganggu hingga semua workload dialihkan untuk menggunakan bidang kontrol baru dengan otoritas sertifikat Cloud Service Mesh.

Catatan platform: Layanan CA hanya didukung di platform berikut: cluster GKE di Google Cloud, Google Distributed Cloud (khusus software) untuk VMware, dan Distributed Cloud. Jika Anda menjalankan asmcli install dan menentukan --ca gcp_cas di platform lain, penginstalan akan tampak berhasil, tetapi beban kerja Anda akan gagal dimulai.

Sertifikat dari otoritas sertifikat Cloud Service Mesh mencakup data berikut tentang layanan aplikasi Anda:

• Google Cloud Project ID
• Namespace GKE
• Nama akun layanan GKE

Penting: Sertifikat yang dikeluarkan oleh otoritas sertifikat Cloud Service Mesh hanya boleh digunakan untuk mengaktifkan komunikasi layanan-ke-layanan yang aman dalam mesh layanan Anda, dan tidak boleh digunakan untuk tujuan lain. Sertifikat ini dikirim setiap kali layanan berupaya berkomunikasi satu sama lain menggunakan TLS bersama. Pastikan Anda tidak secara tidak sengaja mengekspos informasi rahasia dengan menggunakan sertifikat ini saat berkomunikasi di luar mesh layanan Anda.

Mengidentifikasi CA Anda

Saat menjalankan asmcli install untuk mengupgrade, Anda menentukan CA yang asmcli harus diaktifkan di bidang kontrol baru.

Mengubah CA menyebabkan periode nonaktif saat Anda men-deploy workload ke bidang kontrol baru. Jika Anda tidak dapat menjadwalkan periode nonaktif, pastikan untuk menentukan CA yang sama untuk bidang kontrol baru dengan yang digunakan bidang kontrol lama. Jika Anda tidak yakin CA mana yang diaktifkan di mesh Anda, jalankan perintah berikut:

1. Dapatkan daftar Pod dari salah satu namespace Anda:

   kubectl get pods -n NAMESPACE
   

2. Ganti POD_NAME dengan nama salah satu Pod Anda di perintah berikut:

   kubectl get pod POD_NAME -n NAMESPACE -o yaml | grep CA_ADDR -A 1
   

   Jika otoritas sertifikat Cloud Service Mesh diaktifkan di namespace, Anda akan melihat output berikut:

   - name: CA_ADDR
     value: meshca.googleapis.com:443
   

Menyiapkan konfigurasi gateway

Cloud Service Mesh memberi Anda opsi untuk men-deploy dan mengelola gateway sebagai bagian dari mesh layanan Anda. Gateway menjelaskan load balancer yang beroperasi di edge mesh yang menerima koneksi HTTP/TCP masuk atau keluar. Gateway adalah proxy Envoy yang memberi Anda kontrol terperinci atas traffic yang masuk dan keluar dari mesh.

asmcli tidak menginstal istio-ingressgateway. Sebaiknya Anda men-deploy dan mengelola bidang kontrol dan gateway secara terpisah. Untuk mengetahui informasi selengkapnya, lihat Menginstal dan mengupgrade gateway.

Mengupgrade platform Anda (opsional)

Sebagai praktik terbaik, Anda harus mengupgrade Cloud Service Mesh ke versi terbaru yang didukung yang juga mendukung platform Anda saat ini. Kemudian, upgrade lingkungan Anda agar berada dalam rentang platform dan versi Kubernetes yang didukung. Terakhir, jika perlu, upgrade ke versi yang didukung terbaru dari Cloud Service Mesh.

Apa langkah selanjutnya?

• Menginstal alat dependen dan memvalidasi cluster