תכנון התקנה

הערה: המדריך הזה תומך רק ב-Cloud Service Mesh עם ממשקי Istio API, ולא תומך בממשקי Google Cloud API. מידע נוסף זמין במאמר סקירה כללית על Cloud Service Mesh.

חשוב לדעת: השימוש ב-Cloud Service Mesh בתוך האשכול באמצעות מישור הבקרה ISTIOD ב-GKE ב- Google Cloud יצא משימוש. אנחנו ממשיכים לתמוך ב-Cloud Service Mesh עם מישור בקרה בתוך האשכול ב-Google Distributed Cloud (תוכנה בלבד), כפי שמתואר במאמר פלטפורמות נתמכות.

בדף הזה מוסבר איך לתכנן התקנה חדשה של Cloud Service Mesh בתוך אשכול ב-GKE.

הערה: אם אתם צריכים להתקין את Cloud Service Mesh ממאגר פרטי או מותאם אישית של קונטיינרים, כדאי לעיין במאמר התקנת Cloud Service Mesh ממאגר מותאם אישית של קונטיינרים.

התאמה אישית של מישור הבקרה

התכונות שנתמכות ב-Cloud Service Mesh משתנות בין פלטפורמות שונות. מומלץ לעיין בתכונות הנתמכות כדי לדעת אילו תכונות נתמכות בפלטפורמה שלכם. חלק מהתכונות מופעלות כברירת מחדל, ואחרות אפשר להפעיל באופן אופציונלי על ידי יצירת קובץ שכבת על IstioOperator. כשמריצים את הפקודה asmcli install, אפשר להתאים אישית את מישור הבקרה על ידי ציון האפשרות --custom_overlay עם קובץ השכבה. מומלץ לשמור את קובצי השכבות במערכת לניהול גרסאות.

חבילת anthos-service-mesh ב-GitHub מכילה הרבה קבצים של שכבות-על. הקבצים האלה מכילים התאמות אישיות נפוצות להגדרת ברירת המחדל. אפשר להשתמש בקבצים האלה כמו שהם, או לבצע בהם שינויים נוספים לפי הצורך. חלק מהקבצים נדרשים כדי להפעיל תכונות אופציונליות של Cloud Service Mesh. חבילת anthos-service-mesh מורדת כשמריצים את asmcli כדי לאמת את הפרויקט ואת האשכול.

כשמתקינים את Cloud Service Mesh באמצעות asmcli install, אפשר לציין קובץ או קבצים של שכבת-על באמצעות --option או --custom_overlay. אם לא צריך לבצע שינויים בקבצים במאגר anthos-service-mesh, אפשר להשתמש באפשרות --option, והסקריפט יאחזר את הקובץ מ-GitHub בשבילכם. אחרת, אפשר לבצע שינויים בקובץ השכבה ואז להשתמש באפשרות --custom_overlay כדי להעביר אותו אל asmcli.

בחירת רשות אישורים

בהתאם לתרחיש השימוש ולפלטפורמה, אתם יכולים לבחור אחת מהאפשרויות הבאות כרשות האישורים (CA) להנפקת אישורים של TLS דו-כיווני (mTLS):

• רשות אישורים של Cloud Service Mesh
• Certificate Authority Service
• Istio CA

בקטע הזה מופיע מידע כללי על כל אחת מהאפשרויות של רשויות אישורים ועל תרחישי השימוש בהן.

רשות אישורים של רשת Mesh

אלא אם אתם צריכים רשות אישורים בהתאמה אישית, מומלץ להשתמש ברשות האישורים של Cloud Service Mesh מהסיבות הבאות:

• רשות האישורים של Cloud Service Mesh היא שירות מהימן וניתן להרחבה, שעבר אופטימיזציה לעומסי עבודה שניתנים להתאמה דינמית לעומס (scaling).
• בעזרת רשות האישורים של Cloud Service Mesh, ‏ Google מנהלת את האבטחה והזמינות של הקצה העורפי של רשות האישורים.
• רשות האישורים של Cloud Service Mesh מאפשרת להסתמך על Root of Trust יחיד בכל האשכולות.

אישורים מרשות האישורים של Cloud Service Mesh כוללים את הנתונים הבאים על השירותים של האפליקציה:

• מזהה הפרויקט Google Cloud
• מרחב השמות של GKE
• השם של חשבון השירות ב-GKE

חשוב: האישורים שהונפקו על ידי רשות האישורים של Cloud Service Mesh צריכים לשמש רק להפעלת תקשורת מאובטחת בין שירותים בתוך רשת שירותים, ולא לשום מטרה אחרת. האישורים האלה נשלחים בכל פעם ששירותים מנסים לתקשר זה עם זה באמצעות TLS הדדי. חשוב לוודא שלא חושפים בטעות מידע סודי באמצעות האישורים האלה כשמתקשרים מחוץ ל-Service mesh.

CA Service

הערה לגבי הפלטפורמה: שירות CA נתמך רק בפלטפורמות הבאות: אשכולות GKE ב- Google Cloud,‏ Google Distributed Cloud (תוכנה בלבד) ל-VMware ו-Distributed Cloud. אם מריצים את הפקודה asmcli install ומציינים את --ca gcp_cas בפלטפורמות אחרות, ההתקנה נראית מוצלחת, אבל עומסי העבודה לא יתחילו.

בנוסף לרשות האישורים של Cloud Service Mesh, אפשר להגדיר את Cloud Service Mesh כך שישתמש בCertificate Authority Service. המדריך הזה מאפשר לכם לשלב עם CA Service, מומלץ לתרחישי השימוש הבאים:

• אם אתם צריכים רשויות אישורים שונות כדי לחתום על אישורים של עומסי עבודה באשכולות שונים.
• אם אתם צריכים לגבות את מפתחות החתימה ב-Cloud HSM.
• אם אתם פועלים בתחום עם רגולציה מחמירה וכפופים לדרישות תאימות.
• אם רוצים לשרשר את רשות האישורים של Cloud Service Mesh לאישור בסיס מותאם אישית של הארגון כדי לחתום על אישורים של עומסי עבודה.

העלות של רשות האישורים של Cloud Service Mesh כלולה בתמחור של Cloud Service Mesh. שירות ה-CA לא נכלל במחיר הבסיסי של Cloud Service Mesh, והוא מחויב בנפרד. בנוסף, שירות CA מגיע עם SLA מפורש, אבל רשות האישורים של Cloud Service Mesh לא מגיעה עם SLA.

Istio CA

מומלץ להשתמש ב-Istio CA אם אתם עומדים בקריטריונים הבאים:

• הרשת שלכם כבר משתמשת ב-Istio CA, ואתם לא צריכים את היתרונות שמופעלים על ידי רשות האישורים של Cloud Service Mesh או CA Service.
• כאשר נדרש אישור CA בסיסי בהתאמה אישית.
• יש לכם עומסי עבודה מחוץ ל-Google Cloud שירותי CA שמנוהלים על ידיGoogle Cloud.

הכנת הגדרות השער

בעזרת Cloud Service Mesh, יש לכם אפשרות לפרוס ולנהל שערים כחלק מ-Service Mesh. שער מתאר מאזן עומסים שפועל בקצה של רשת mesh ומקבל חיבורי HTTP או TCP נכנסים או יוצאים. שערי Gateway הם שרתי proxy של Envoy שמאפשרים לכם שליטה פרטנית בתעבורת הנתונים שנכנסת לרשת ויוצאת ממנה.

asmcli לא מתקין את istio-ingressgateway. מומלץ לפרוס ולנהל את רמת הבקרה ואת השערים בנפרד. מידע נוסף זמין במאמר התקנה ושדרוג של שערים.

מה השלב הבא?

• התקנת כלים תלויים ואימות האשכול