Merencanakan penginstalan

Catatan: Panduan ini hanya mendukung Cloud Service Mesh dengan Istio API dan tidak mendukung API� Google Cloud Untuk mengetahui informasi selengkapnya, lihat Ringkasan Cloud Service Mesh.

Perhatian: Cloud Service Mesh dalam cluster yang menggunakan bidang kontrol ISTIOD di GKE di Google Cloud tidak digunakan lagi. Cloud Service Mesh dengan bidang kontrol dalam cluster di Google Distributed Cloud (khusus software) akan terus didukung seperti yang dijelaskan dalam Platform yang didukung.

Halaman ini memberikan informasi untuk membantu Anda merencanakan penginstalan baru Cloud Service Mesh dalam cluster di GKE.

Catatan: Jika Anda perlu menginstal Cloud Service Mesh dari registry container pribadi atau kustom, lihat Menginstal Cloud Service Mesh dari registry container kustom.

Menyesuaikan bidang kontrol

Fitur yang didukung Cloud Service Mesh berbeda-beda di setiap platform. Sebaiknya Anda meninjau Fitur yang didukung untuk mempelajari fitur yang didukung di platform Anda. Beberapa fitur diaktifkan secara default, dan fitur lainnya dapat Anda aktifkan secara opsional dengan membuat file overlay IstioOperator. Saat menjalankan asmcli install, Anda dapat menyesuaikan bidang kontrol dengan menentukan opsi --custom_overlay dengan file overlay. Sebagai praktik terbaik, sebaiknya Anda menyimpan file overlay di sistem kontrol versi Anda.

Paket anthos-service-mesh di GitHub berisi banyak file overlay. File ini berisi penyesuaian umum pada konfigurasi default. Anda dapat menggunakan file ini sebagaimana adanya, atau Anda dapat melakukan perubahan tambahan pada file tersebut sesuai kebutuhan. Beberapa file diperlukan untuk mengaktifkan fitur Cloud Service Mesh opsional. Paket anthos-service-mesh didownload saat Anda menjalankan asmcli untuk memvalidasi project dan cluster Anda.

Saat menginstal Cloud Service Mesh menggunakan asmcli install, Anda dapat menentukan satu atau beberapa file overlay dengan --option atau --custom_overlay. Jika Anda tidak perlu membuat perubahan apa pun pada file di repositori anthos-service-mesh, Anda dapat menggunakan --option, dan skrip akan mengambil file dari GitHub untuk Anda. Atau, Anda dapat membuat perubahan pada file overlay, lalu menggunakan opsi --custom_overlay untuk meneruskannya ke asmcli.

Pilih Certificate Authority

Bergantung pada kasus penggunaan dan platform Anda, Anda dapat memilih salah satu opsi berikut sebagai otoritas sertifikat (CA) untuk menerbitkan sertifikat TLS bersama (mTLS):

• Certificate authority Cloud Service Mesh
• Certificate Authority Service
• CA Istio

Bagian ini memberikan informasi tingkat tinggi tentang setiap opsi CA ini dan kasus penggunaannya.

Mesh CA

Kecuali jika Anda memerlukan CA kustom, sebaiknya gunakan certificate authority Cloud Service Mesh karena alasan berikut:

• Certificate authority Cloud Service Mesh adalah layanan yang sangat andal dan skalabel yang dioptimalkan untuk workload yang diskalakan secara dinamis.
• Dengan certificate authority Cloud Service Mesh, Google mengelola keamanan dan ketersediaan backend CA.
• Otoritas sertifikat Cloud Service Mesh memungkinkan Anda mengandalkan satu root of trust di seluruh cluster.

Sertifikat dari otoritas sertifikat Cloud Service Mesh mencakup data berikut tentang layanan aplikasi Anda:

• Google Cloud Project ID
• Namespace GKE
• Nama akun layanan GKE

Penting: Sertifikat yang dikeluarkan oleh otoritas sertifikat Cloud Service Mesh hanya boleh digunakan untuk mengaktifkan komunikasi layanan-ke-layanan yang aman dalam mesh layanan Anda, dan tidak boleh digunakan untuk tujuan lain. Sertifikat ini dikirim setiap kali layanan berupaya berkomunikasi satu sama lain menggunakan TLS bersama. Pastikan Anda tidak secara tidak sengaja mengekspos informasi rahasia dengan menggunakan sertifikat ini saat berkomunikasi di luar mesh layanan Anda.

CA Service

Catatan platform: Layanan CA hanya didukung di platform berikut: cluster GKE di Google Cloud, Google Distributed Cloud (khusus software) untuk VMware, dan Distributed Cloud. Jika Anda menjalankan asmcli install dan menentukan --ca gcp_cas di platform lain, penginstalan akan tampak berhasil, tetapi beban kerja Anda akan gagal dimulai.

Selain otoritas sertifikat Cloud Service Mesh, Anda dapat mengonfigurasi Cloud Service Mesh untuk menggunakan Certificate Authority Service. Panduan ini memberi Anda kesempatan untuk berintegrasi dengan Layanan CA, yang direkomendasikan untuk kasus penggunaan berikut:

• Jika Anda memerlukan otoritas sertifikat yang berbeda untuk menandatangani sertifikat beban kerja di cluster yang berbeda.
• Jika Anda perlu mencadangkan kunci penandatanganan di Cloud HSM.
• Jika Anda berada di industri yang sangat teregulasi dan tunduk pada kepatuhan.
• Jika Anda ingin mengaitkan CA Cloud Service Mesh ke sertifikat root perusahaan kustom untuk menandatangani sertifikat workload.

Biaya otoritas sertifikat Cloud Service Mesh sudah termasuk dalam harga Cloud Service Mesh. Layanan CA tidak termasuk dalam harga dasar Cloud Service Mesh dan ditagih secara terpisah. Selain itu, CA Service dilengkapi dengan SLA eksplisit, tetapi Certificate Authority Cloud Service Mesh tidak.

CA Istio

Sebaiknya gunakan Istio CA jika Anda memenuhi kriteria berikut:

• Mesh Anda sudah menggunakan Istio CA dan Anda tidak memerlukan manfaat yang diaktifkan oleh Certificate Authority Cloud Service Mesh atau Layanan CA.
• Anda memerlukan CA root kustom.
• Anda memiliki workloadGoogle Cloud di luar jam kerja yang tidak dapat menggunakan layanan CA yang Google Clouddikelola Google.

Menyiapkan konfigurasi gateway

Cloud Service Mesh memberi Anda opsi untuk men-deploy dan mengelola gateway sebagai bagian dari mesh layanan Anda. Gateway menjelaskan load balancer yang beroperasi di edge mesh yang menerima koneksi HTTP/TCP masuk atau keluar. Gateway adalah proxy Envoy yang memberi Anda kontrol terperinci atas traffic yang masuk dan keluar dari mesh.

asmcli tidak menginstal istio-ingressgateway. Sebaiknya Anda men-deploy dan mengelola bidang kontrol dan gateway secara terpisah. Untuk mengetahui informasi selengkapnya, lihat Menginstal dan mengupgrade gateway.

Apa langkah selanjutnya?

• Menginstal alat dependen dan memvalidasi cluster