Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Unterstützte Features mit Istio-APIs (verwaltete Steuerungsebene)
Auf dieser Seite werden die unterstützten Funktionen und Einschränkungen für Cloud Service Mesh mit TRAFFIC_DIRECTOR oder ISTIOD als Steuerungsebene sowie die Unterschiede zwischen den einzelnen Implementierungen beschrieben. Diese Optionen können Sie nicht auswählen. Die ISTIOD-Implementierung ist nur für bestehende Nutzer verfügbar.
Bei Neuinstallationen wird nach Möglichkeit die TRAFFIC_DIRECTOR-Implementierung verwendet.
GKE-Cluster müssen sich in einer der unterstützten Regionen befinden.
Die GKE-Version muss eine unterstützte Version sein.
Nur die unter Umgebungen aufgeführten Plattformen werden unterstützt.
Pods, die mit hostNetwork: true ausgeführt werden, werden nicht unterstützt.
Managed Cloud Service Mesh darf nicht in einem Cluster bereitgestellt werden, in dem auch eine clusterinterne Bereitstellung von OSS Istio oder eine clusterinterne Cloud Service Mesh-Steuerungsebene vorhanden ist.
Migrationen von Cloud Service Mesh innerhalb von Clustern werden nur mit der Canary-Clustermigration unterstützt.
Migrationen und Upgrades werden nur von Cluster-internen Cloud Service Mesh-Versionen unterstützt, die in der Tabelle Unterstützte Versionen aufgeführt sind und Mesh CA oder Certificate Authority Service verwenden. Installationen mit Istio CA (ehemals Citadel) müssen zuerst zu Mesh CA migriert werden.
Die Limits für die Skalierung sind in dieser Anleitung beschrieben.
Nur die Multi-Primary-Bereitstellungsoption für Multi-Cluster wird unterstützt, die Primary-Remote-Bereitstellungsoption für Multi-Cluster nicht.
istioctl ps wird nicht unterstützt. Stattdessen können Sie die gcloud beta container fleet mesh debug-Befehle verwenden, wie unter Fehlerbehebung beschrieben.
Sie können die verwaltete Steuerungsebene ohne GKE Enterprise-Abo verwenden. Bestimmte UI-Elemente und Funktionen in der Google Cloud Console sind jedoch nur für GKE Enterprise-Abonnenten verfügbar. Informationen dazu, welche Features Abonnenten und Nicht-Abonnenten zur Verfügung stehen, finden Sie unter Unterschiede zwischen GKE Enterprise und Cloud Service Mesh in der Benutzeroberfläche.
Während des Bereitstellungsprozesses für eine verwaltete Steuerungsebene werden Istio-CRDs, die dem ausgewählten Kanal entsprechen, im angegebenen Cluster installiert. Wenn im Cluster bereits Istio-CRDs vorhanden sind, werden diese überschrieben.
Das verwaltete Cloud Service Mesh unterstützt nur die Standard-DNS-Domain .cluster.local.
Bei neuen Installationen von verwaltetem Cloud Service Mesh werden JWKS nur über Envoys abgerufen, es sei denn, die Flotte enthält andere Cluster, für die dieses Verhalten nicht aktiviert ist. Dies entspricht der Istio-Option PILOT_JWT_ENABLE_REMOTE_JWKS=envoy. Im Vergleich zu Installationen ohne die Bedingung VPCSC_GA_SUPPORTED (siehe unten) ist möglicherweise eine zusätzliche Konfiguration für ServiceEntry- und DestinationRule-Konfigurationen erforderlich. Ein Beispiel finden Sie unter requestauthn-with-se.yaml.tmpl.
Sie können feststellen, ob der aktuelle Betriebsmodus PILOT_JWT_ENABLE_REMOTE_JWKS=envoy entspricht, indem Sie prüfen, ob VPC Service Controls für die Steuerungsebene unterstützt werden (d. h. die Bedingung VPCSC_GA_SUPPORTED wird angezeigt).
Die verwaltete Datenebene wird nur für Arbeitslasten ohne zusätzliche Sidecars (außer dem Cloud Service Mesh-Sidecar) unterstützt.
Unterschiede der Steuerungsebene
Es gibt Unterschiede bei den unterstützten Features zwischen den Implementierungen der Steuerungsebene ISTIOD und TRAFFIC_DIRECTOR. Informationen dazu, welche Implementierung Sie verwenden, finden Sie unter Implementierung der Steuerungsebene ermitteln.
– gibt an, dass das Feature verfügbar und standardmäßig aktiviert ist.
† – gibt an, dass sich die Feature-APIs zwischen den verschiedenen Plattformen unterscheiden können.
* gibt an, dass das Feature für die Plattform unterstützt wird und, wie unter Optionale Features aktivieren oder in dem in der Feature-Tabelle verlinkten Leitfaden beschrieben, aktiviert werden kann.
§ – gibt an, dass das Feature über eine Zulassungsliste unterstützt wird. Bisherige Nutzer von verwaltetem Anthos Service Mesh werden automatisch auf Organisationsebene auf die Zulassungsliste gesetzt.
Wenden Sie sich an den Google Cloud Support, um Zugriff zu beantragen oder den Status Ihrer Zulassungsliste zu prüfen.
– gibt an, dass das Feature nicht verfügbar ist oder nicht unterstützt wird.
Die standardmäßigen und optionalen Funktionen werden vom Google Cloud-Support vollständig unterstützt. Features, die nicht explizit in den Tabellen aufgeführt sind, erhalten bestmöglichen Support.
Was bestimmt die Implementierung der Steuerungsebene?
Wenn Sie verwaltetes Cloud Service Mesh zum ersten Mal in einer Flotte bereitstellen, bestimmen wir, welche Implementierung der Steuerungsebene verwendet werden soll. Dieselbe Implementierung wird für alle Cluster verwendet, die verwaltetes Cloud Service Mesh in dieser Flotte bereitstellen.
Neue Flotten, die in verwaltetes Cloud Service Mesh aufgenommen werden, erhalten die Steuerungsebenen-Implementierung TRAFFIC_DIRECTOR, mit bestimmten Ausnahmen:
Wenn Sie bereits ein Nutzer der verwalteten Cloud Service Mesh sind, erhalten Sie die ISTIOD-Steuerungsebenenimplementierung, wenn Sie bis mindestens 30. Juni 2024 eine neue Flotte in derselben Google Cloud-Organisation in die verwaltete Cloud Service Mesh einbinden.
Wenn Sie einer dieser Nutzer sind, können Sie sich an den Support wenden, um dieses Verhalten anzupassen.
Nutzer, deren bestehende Nutzung ohne Änderungen nicht mit der TRAFFIC_DIRECTOR-Implementierung kompatibel ist, erhalten bis zum 8. September 2024 weiterhin die ISTIOD-Implementierung. (Diese Nutzer haben eine Dienstmitteilung erhalten.)
Wenn ein GKE on Google Cloud -Cluster in Ihrer Flotte eine clusterinterne Cloud Service Mesh-Steuerungsebene enthält, wenn Sie verwaltetes Cloud Service Mesh bereitstellen, erhalten Sie die ISTIOD-Steuerungsebenenimplementierung.
Wenn ein Cluster in Ihrer Flotte GKE Sandbox verwendet, erhalten Sie bei der Bereitstellung des verwalteten Cloud Service Mesh die Steuerungsebenen-Implementierung ISTIOD.
Von der verwaltete Steuerungsebene unterstützte Features
Installieren, aktualisieren und Rollback ausführen
Umgebungen außerhalb von Google Cloud (GKE Enterprise lokal, GKE Enterprise in anderen öffentlichen Clouds, Amazon EKS, Microsoft AKS oder andere Kubernetes-Cluster)
Endpunkterkennung für mehrere Cluster mit Remote-Secrets
Multi-Cluster-Endpunkterkennung mit deklarativer API und einer einfachen Topologie
Hinweise zur Terminologie
Eine Konfiguration mit mehreren Primärinstanzen bedeutet, dass die Konfiguration in allen Clustern repliziert werden muss.
Bei einer primären Remote-Konfiguration enthält ein einzelner Cluster die Konfiguration und gilt als „Source of Truth“.
Cloud Service Mesh verwendet eine vereinfachte Definition von Netzwerken auf der Grundlage allgemeiner Konnektivität. Arbeitslastinstanzen befinden sich im selben Netzwerk, wenn sie ohne Gateway direkt kommunizieren können.
Eine einfache Topologie für die Endpunkterkennung in mehreren Clustern bedeutet, dass jeder Cluster in der Flotte entweder an der Endpunkterkennung teilnimmt oder nicht. Komplexe Topologien, die nicht unterstützt werden, umfassen (a) die unidirektionale Endpunkterkennung (z.B. kann Cluster A Endpunkte in Cluster B erkennen, aber nicht umgekehrt) und (b) disjunkte Endpunkterkennungsnetzwerke (z.B. können Cluster A und B die Endpunkte des jeweils anderen erkennen, Cluster C und D können die Endpunkte des jeweils anderen erkennen, aber A/B und C/D können die Endpunkte des jeweils anderen nicht erkennen).
† Istio veröffentlicht die Proxy-Images default, debug und distroless. Für Cloud Service Mesh mit einer verwalteten (TRAFFIC_DIRECTOR) Steuerungsebene: Direkt eingebundene Cluster verwenden standardmäßig distroless und können nicht geändert werden. Migrierte Cluster verwenden standardmäßig default-Images und können distroless mit MeshConfig oder Pod-Annotation aktivieren. Überschreibungen für andere Bildtypen (debug) werden nicht unterstützt.
Distroless-Images enthalten nur minimale Binärdateien. Daher können Sie die üblichen Befehle wie „bash“ oder „curl“ nicht ausführen, da sie im Distroless-Image nicht vorhanden sind.
Sie können jedoch sitzungsspezifische Container verwenden, um sie an einen laufenden Arbeitslast-Pod anzuhängen, um ihn zu prüfen und benutzerdefinierte Befehle auszuführen. Weitere Informationen finden Sie unter Cloud Service Mesh-Logs erfassen.
Hinweis:Die PeerAuthentication API unterstützt den DISABLE-Modus für die Implementierung der TRAFFIC_DIRECTOR-Steuerungsebene nicht. Sie können mTLS für bestimmte Arbeitslasten jedoch mit der DestinationRule API als Workaround deaktivieren. Weitere Informationen finden Sie unter mTLS für verwaltetes CSM deaktivieren.
JWT von Drittanbietern ist standardmäßig aktiviert.
Fügen Sie beim Definieren der RequestAuthentication API den vollständigen FQDN/Hostname in JWKSURI ein.
Die verwaltete Steuerungsebene erzwingt, dass Envoy JWKS abruft, wenn ein JWKS-URI angegeben wird.
Die AES-CBC-Algorithmen A128CBC-HS256, A192CBC-HS384 und A256CBC-HS512 sind in Inline-JWKS nicht zulässig, wenn die TRAFFIC_DIRECTOR-Steuerungsebene verwendet wird.
Telemetrie
Messwerte
Funktion
Verwaltet (TD)
Verwaltet (istiod) eingestellt
Cloud Monitoring (HTTP-In-Proxy-Messwerte)
Cloud Monitoring (TCP-In-Proxy-Messwerte)
Prometheus-Messwerte werden in Grafana exportiert (nur Envoy-Messwerte)
*
*
Exportieren von Prometheus-Messwerten in Kiali
Google Cloud Managed Service for Prometheus, ohne das Cloud Service Mesh-Dashboard
Benutzerdefinierte Adapter/Back-Ends, In- oder Out-of-Process
Beliebige Telemetrie- und Logging-Back-Ends
† Die TRAFFIC_DIRECTOR-Steuerungsebene unterstützt eine Teilmenge der Istio-Telemetrie-API, die zum Konfigurieren von Zugriffsprotokollen und Traces verwendet wird.
Obwohl TCP ein unterstütztes Protokoll für das Netzwerk ist und TCP-Messwerte erfasst werden, werden sie nicht gemeldet. Messwerte werden nur für HTTP-Dienste in der Google Cloud Console angezeigt.
Dienste, die mit Layer-7-Funktionen für die folgenden Protokolle konfiguriert wurden, werden nicht unterstützt: WebSocket, MongoDB, Redis, MySQL, Kafka, Cassandra, RabbitMQ, Cloud SQL. Unter Umständen können Sie das Protokoll mithilfe der TCP-Bytestream-Unterstützung nutzen. Wenn der TCP-Bytestream das Protokoll nicht unterstützt (z. B. wenn Kafka eine Weiterleitungsadresse in einer protokollspezifischen Antwort sendet und diese Weiterleitung nicht mit der Routinglogik von Cloud Service Mesh kompatibel ist), wird das Protokoll nicht unterstützt. Gateway-Ports können zwar mit dem Mongo-, MySQL- und Redis-Protokoll erstellt werden, das Mesh-Netzwerk behandelt den resultierenden Traffic jedoch als Standard-TCP, ohne protokollspezifische Verarbeitung.
† Bei proxylosen gRPC-Bereitstellungen werden IPv6-Dual-Stack-Funktionen nur in gRPC 1.66.1 oder höher in C++ und Python, gRPC Go v1.71 und gRPC Node.js v1.12 unterstützt.
Wenn Sie versuchen, Dual-Stack-Features mit einer gRPC-Version zu konfigurieren, die Dual-Stack nicht unterstützt, verwenden die Clients nur die erste von Traffic Director gesendete Adresse.
Außerdem erfordert die Implementierung der TRAFFIC_DIRECTOR-Steuerungsebene, dass sich die Zielregel, die Teilmengen definiert, im selben Namespace und Cluster wie der Kubernetes-Dienst oder ServiceEntry befindet.
Sidecar
Funktion
Verwaltet (TD)
Verwaltet (istiod) verworfen
Sidecar v1beta1
†
† Die TRAFFIC_DIRECTOR-Implementierung der Steuerungsebene unterstützt die folgenden Felder und Werte in Feldern nicht:
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2026-10-28 (UTC)."],[],[]]
