Aprovisiona Cloud Service Mesh en un clúster de GKE Autopilot

Configura tu entorno

Puedes configurar tu entorno con la gcloud CLI o Terraform.

gcloud config set project PROJECT_ID
GOOGLE_CLOUD_PROJECT=$(gcloud config get-value project)
export GOOGLE_CLOUD_PROJECT

Crea un clúster de GKE

Crear un clúster de GKE en modo Autopilot

resource "google_container_cluster" "cluster" {
  name                = "asm-cluster"
  location            = var.region
  deletion_protection = false # Warning: Do not set deletion_protection to false for production clusters

  enable_autopilot = true
  fleet {
    project = data.google_project.project.name
  }
}

data "google_project" "project" {}

Aprovisiona Cloud Service Mesh administrado

Puedes aprovisionar Cloud Service Mesh administrado con la función servicemesh en la membresía de la flota para tu clúster.

resource "google_project_service" "mesh_api" {
  service = "mesh.googleapis.com"

  disable_dependent_services = true
}

resource "google_gke_hub_feature" "feature" {
  name     = "servicemesh"
  location = "global"

  depends_on = [
    google_project_service.mesh_api
  ]
}

resource "google_gke_hub_feature_membership" "feature_member" {
  location   = "global"
  feature    = google_gke_hub_feature.feature.name
  membership = google_container_cluster.cluster.fleet.0.membership
  membership_location = google_container_cluster.cluster.location
  mesh {
    management = "MANAGEMENT_AUTOMATIC"
  }
}

Verifica que el plano de control esté activo

Espera hasta que el controlPlaneManagement.state esté ACTIVE. Este proceso puede llevar hasta 15 minutos.

watch -n 30 gcloud container fleet mesh describe

El resultado es similar al siguiente:

membershipSpecs:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    mesh:
      management: MANAGEMENT_AUTOMATIC
membershipStates:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    servicemesh:
      controlPlaneManagement:
        details:
        - code: REVISION_READY
          details: 'Ready: asm-managed'
        state: ACTIVE
      dataPlaneManagement:
        details:
        - code: PROVISIONING
          details: Service is provisioning.
        state: PROVISIONING
    state:
      code: OK
      description: 'Revision(s) ready for use: asm-managed.'

La sección dataPlaneManagement permanece en el estado PROVISIONING hasta que implementas la puerta de enlace de entrada, ya que los clústeres de Autopilot no aprovisionan nodos hasta que implementes una carga de trabajo.

Implementa una puerta de enlace de entrada de la malla

En esta sección, implementarás una puerta de enlace de entrada de la malla para controlar el tráfico entrante para la aplicación de ejemplo. Una puerta de enlace de entrada es un balanceador de cargas que opera en el perímetro de la malla y recibe conexiones HTTP/TCP entrantes o salientes.

Implementa la puerta de enlace en un espacio de nombres dedicado y etiqueta la implementación para asegurarte de que el plano de control de Cloud Service Mesh pueda administrar y actualizar de forma automática la puerta de enlace.

1. Descarga las credenciales para poder acceder al clúster:

   gcloud container clusters get-credentials asm-cluster --location=us-central1
   

2. Crea un espacio de nombres para la implementación de la puerta de enlace:

   kubectl create namespace bank-gateways
   

3. Agrega una etiqueta al espacio de nombres para que el plano de control de Cloud Service Mesh inserte de forma automática la configuración de la puerta de enlace en la implementación.

   kubectl label namespace bank-gateways istio-injection=enabled
   

4. Implementa la puerta de enlace de entrada en el espacio de nombres:

   Helm

   helm repo add istio https://istio-release.storage.googleapis.com/charts
   helm repo update
   helm install --wait --namespace bank-gateways \
       --set resources.requests.cpu=250m \
       --set resources.requests.memory=512Mi \
       --set resources.requests.ephemeral-storage=1Gi \
       --set resources.limits.cpu=250m \
       --set resources.limits.memory=512Mi \
       --set resources.limits.ephemeral-storage=1Gi \
       istio-ingressgateway istio/gateway
   

   kubectl

   kubectl apply -n bank-gateways \
       -k https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages/tree/main/samples/gateways/istio-ingressgateway
   kubectl -n bank-gateway wait "deployment/istio-ingressgateway"  \
       --for=condition=available --timeout=240s
   

   Asegúrate de configurar solicitudes de recursos adecuadas cuando realices la implementación en un entorno de producción. Autopilot de GKE solo considera los valores de recursos establecidos en requests y no en limits. El proyecto de Istio publica información sobre rendimiento y escalabilidad.

Implementa la aplicación de ejemplo

1. Crea un espacio de nombres de Kubernetes para la implementación:

   kubectl create namespace bank-sample
   

2. Agrega una etiqueta al espacio de nombres para que Cloud Service Mesh inserte de forma automática proxies de sidecar en los Pods de muestra:

   kubectl label namespace bank-sample istio-injection=enabled
   

3. Implementa la aplicación de ejemplo:

   git clone https://github.com/GoogleCloudPlatform/bank-of-anthos.git
   kubectl apply -n bank-sample -f bank-of-anthos/extras/jwt/jwt-secret.yaml
   kubectl apply -n bank-sample -f bank-of-anthos/kubernetes-manifests/
   

4. Espera a que la aplicación esté lista. Tardará varios minutos.

   watch kubectl -n bank-sample get pods
   

   Cuando la aplicación está lista, el resultado es similar al siguiente:

   NAME                                 READY   STATUS    RESTARTS   AGE
   accounts-db-0                        2/2     Running   0          2m16s
   balancereader-5c695f78f5-x4wlz       2/2     Running   0          3m8s
   contacts-557fc79c5-5d7fg             2/2     Running   0          3m7s
   frontend-7dd589c5d7-b4cgq            2/2     Running   0          3m7s
   ledger-db-0                          2/2     Running   0          3m6s
   ledgerwriter-6497f5cf9b-25c6x        2/2     Running   0          3m5s
   loadgenerator-57f6896fd6-lx5df       2/2     Running   0          3m5s
   transactionhistory-6c498965f-tl2sk   2/2     Running   0          3m4s
   userservice-95f44b65b-mlk2p          2/2     Running   0          3m4s
   

5. Crea los recursos Gateway y VirtualService de Istio para exponer la aplicación detrás de la puerta de enlace de entrada:

   kubectl apply -n bank-sample -f bank-of-anthos/extras/istio/frontend-ingress.yaml
   

6. Obtén un vínculo a la aplicación de ejemplo:

   INGRESS_HOST=$(kubectl -n bank-gateways get service istio-ingressgateway \
       -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   echo "http://$INGRESS_HOST"
   

7. En un navegador, sigue el vínculo para abrir la aplicación de ejemplo. Accede con el nombre de usuario y la contraseña predeterminados para ver la aplicación.

Aplica TLS mutua

Asegúrate de que esté habilitado el modo de TLS mutua (mTLS) STRICT. Aplica una política PeerAuthentication predeterminada para la malla en el espacio de nombres istio-system.

1. Guarda el siguiente manifiesto como mesh-peer-authn.yaml:

   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "default"
     namespace: "istio-system"
   spec:
     mtls:
       mode: STRICT
   

2. Aplica el manifiesto al clúster:

   kubectl apply -f mesh-peer-authn.yaml
   

Puedes anular esta configuración creando recursos de PeerAuthentication en espacios de nombres específicos.

Explora los paneles de Cloud Service Mesh

1. En la consola de Google Cloud, ve a Cloud Service Mesh para ver los paneles de ta malla:

   Ir a Cloud Service Mesh

2. Selecciona el proyecto en la lista desplegable de la barra de menú.

   Verás una tabla de descripción general con todos los microservicios en tu malla y una visualización gráfica de las conexiones entre los microservicios. Para cada microservicio, en la tabla se muestran tres de los SRE "Golden signals":

   • Tráfico: solicitudes por segundo
   • Tasa de error: un porcentaje
   • Latencia - milisegundos

   Estas métricas se basan en el tráfico real que controlan los microservicios. El tráfico de prueba constante se envía automáticamente al frontend por un cliente de loadgenerator implementado como parte de la aplicación de ejemplo. Cloud Service Mesh envía de forma automática métricas, registros y seguimientos (de forma opcional) a Google Cloud Observability.

3. Haz clic en el servicio frontend de la tabla para ver un panel de descripción general del servicio. Verás las métricas adicionales para el servicio y una visualización de los estados de las conexiones entrantes y salientes. También puedes crear un Objeto de nivel de servicio (SLO) para supervisar y generar alertas sobre el servicio.

Verifica que la mTLS esté habilitada

Haz clic en el vínculo de seguridad en el panel para ver una descripción general de seguridad del servicio frontend. En la tabla y la visualización, se muestra un ícono de bloqueo verde para cada una de las conexiones entrantes y salientes entre microservicios. Este ícono indica que la conexión usa mTLS para la autenticación y encriptación.