GKE Autopilot クラスタで Cloud Service Mesh をプロビジョニングする

環境を設定する

環境の設定には gcloud CLI または Terraform を使用します。

gcloud config set project PROJECT_ID
GOOGLE_CLOUD_PROJECT=$(gcloud config get-value project)
export GOOGLE_CLOUD_PROJECT

GKE クラスタを作成する

Autopilot モードで GKE クラスタを作成する

resource "google_container_cluster" "cluster" {
  name                = "asm-cluster"
  location            = var.region
  deletion_protection = false # Warning: Do not set deletion_protection to false for production clusters

  enable_autopilot = true
  fleet {
    project = data.google_project.project.name
  }
}

data "google_project" "project" {}

マネージド Cloud Service Mesh をプロビジョニングする

クラスタのフリート メンバーで、servicemesh 機能を使用して、マネージド Cloud Service Mesh をプロビジョニングします。

resource "google_project_service" "mesh_api" {
  service = "mesh.googleapis.com"

  disable_dependent_services = true
}

resource "google_gke_hub_feature" "feature" {
  name     = "servicemesh"
  location = "global"

  depends_on = [
    google_project_service.mesh_api
  ]
}

resource "google_gke_hub_feature_membership" "feature_member" {
  location   = "global"
  feature    = google_gke_hub_feature.feature.name
  membership = google_container_cluster.cluster.fleet.0.membership
  membership_location = google_container_cluster.cluster.location
  mesh {
    management = "MANAGEMENT_AUTOMATIC"
  }
}

コントロール プレーンがアクティブであることを確認する

controlPlaneManagement.state が ACTIVE になるまで待ちます。この処理には 15 分ほどかかる場合があります。

watch -n 30 gcloud container fleet mesh describe

出力は次のようになります。

membershipSpecs:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    mesh:
      management: MANAGEMENT_AUTOMATIC
membershipStates:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    servicemesh:
      controlPlaneManagement:
        details:
        - code: REVISION_READY
          details: 'Ready: asm-managed'
        state: ACTIVE
      dataPlaneManagement:
        details:
        - code: PROVISIONING
          details: Service is provisioning.
        state: PROVISIONING
    state:
      code: OK
      description: 'Revision(s) ready for use: asm-managed.'

Autopilot クラスタはワークロードをデプロイするまでノードをプロビジョニングしないため、上り（内向き）ゲートウェイをデプロイするまで、dataPlaneManagement セクションは PROVISIONING 状態のままです。

メッシュの上り（内向き）ゲートウェイをデプロイする

このセクションでは、サンプル アプリケーションの受信トラフィックを処理するために、メッシュの上り（内向き）ゲートウェイをデプロイします。上り（内向き）ゲートウェイは、メッシュのエッジで動作するロードバランサで、受信または送信 HTTP / TCP 接続を処理します。

ゲートウェイを専用の Namespace にデプロイしてその Deployment にラベルを付け、Cloud Service Mesh コントロール プレーンによって安全に管理され、自動的にアップグレードされるようにします。

1. クラスタにアクセスできるように認証情報をダウンロードします。

   gcloud container clusters get-credentials asm-cluster --location=us-central1
   

2. ゲートウェイのデプロイ用の Namespace を作成します。

   kubectl create namespace bank-gateways
   

3. Cloud Service Mesh コントロール プレーンによってゲートウェイ構成がデプロイに自動的に挿入されるように、Namespace にラベルを追加します。

   kubectl label namespace bank-gateways istio-injection=enabled
   

4. 上り（内向き）ゲートウェイを Namespace にデプロイします。

   Helm

   helm repo add istio https://istio-release.storage.googleapis.com/charts
   helm repo update
   helm install --wait --namespace bank-gateways \
       --set resources.requests.cpu=250m \
       --set resources.requests.memory=512Mi \
       --set resources.requests.ephemeral-storage=1Gi \
       --set resources.limits.cpu=250m \
       --set resources.limits.memory=512Mi \
       --set resources.limits.ephemeral-storage=1Gi \
       istio-ingressgateway istio/gateway
   

   kubectl

   kubectl apply -n bank-gateways \
       -k https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages/tree/main/samples/gateways/istio-ingressgateway
   kubectl -n bank-gateway wait "deployment/istio-ingressgateway"  \
       --for=condition=available --timeout=240s
   

   本番環境にデプロイする場合は、適切なリソース リクエストを設定してください。GKE Autopilot は、requests に設定されたリソース値のみを考慮します（limits ではありません）。Istio プロジェクトでは、パフォーマンスとスケーラビリティに関する情報を公開しています。

サンプル アプリケーションをデプロイする

1. デプロイ用の Kubernetes の Namespace を作成します。

   kubectl create namespace bank-sample
   

2. Cloud Service Mesh によりサンプル Pod にサイドカー プロキシが自動的に挿入されるように、Namespace にラベルを追加します。

   kubectl label namespace bank-sample istio-injection=enabled
   

3. サンプル アプリケーションをデプロイします。

   git clone https://github.com/GoogleCloudPlatform/bank-of-anthos.git
   kubectl apply -n bank-sample -f bank-of-anthos/extras/jwt/jwt-secret.yaml
   kubectl apply -n bank-sample -f bank-of-anthos/kubernetes-manifests/
   

4. アプリケーションの準備ができるまで待ちます。これには数分かかります。

   watch kubectl -n bank-sample get pods
   

   アプリケーションの準備が整うと、出力は次のようになります。

   NAME                                 READY   STATUS    RESTARTS   AGE
   accounts-db-0                        2/2     Running   0          2m16s
   balancereader-5c695f78f5-x4wlz       2/2     Running   0          3m8s
   contacts-557fc79c5-5d7fg             2/2     Running   0          3m7s
   frontend-7dd589c5d7-b4cgq            2/2     Running   0          3m7s
   ledger-db-0                          2/2     Running   0          3m6s
   ledgerwriter-6497f5cf9b-25c6x        2/2     Running   0          3m5s
   loadgenerator-57f6896fd6-lx5df       2/2     Running   0          3m5s
   transactionhistory-6c498965f-tl2sk   2/2     Running   0          3m4s
   userservice-95f44b65b-mlk2p          2/2     Running   0          3m4s
   

5. Istio の Gateway リソースと VirtualService リソースを作成して、上り（内向き）ゲートウェイの背後にあるアプリケーションを公開します。

   kubectl apply -n bank-sample -f bank-of-anthos/extras/istio/frontend-ingress.yaml
   

6. サンプル アプリケーションへのリンクを取得します。

   INGRESS_HOST=$(kubectl -n bank-gateways get service istio-ingressgateway \
       -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   echo "http://$INGRESS_HOST"
   

7. ブラウザで、リンクをクリックしてサンプル アプリケーションを開きます。デフォルトのユーザー名とパスワードでログインしてアプリケーションを表示します。

相互 TLS を適用する

STRICT 相互 TLS（mTLS）モードが有効になっていることを確認します。メッシュのデフォルトの PeerAuthentication ポリシーを istio-system Namespace に適用します。

1. 次のマニフェストを mesh-peer-authn.yaml として保存します。

   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "default"
     namespace: "istio-system"
   spec:
     mtls:
       mode: STRICT
   

2. マニフェストをクラスタに適用します。

   kubectl apply -f mesh-peer-authn.yaml
   

この構成をオーバーライドするには、特定の Namespace に PeerAuthentication リソースを作成します。

Cloud Service Mesh ダッシュボードを確認する

1. Google Cloud コンソールで [Cloud Service Mesh] に移動し、メッシュのダッシュボードを表示します。

   Cloud Service Mesh に移動する

2. メニューバーのプルダウン リストからプロジェクトを選択します。

   メッシュにあるすべてのマイクロサービスを含む概要の表が表示され、マイクロサービス間の接続が図示されます。各マイクロサービスについて、この表には SRE の「ゴールデン シグナル」のうち 3 つが表示されます。

   • トラフィック - 1 秒あたりのリクエスト数
   • エラー率 - パーセンテージ
   • レイテンシ - ミリ秒

   これらの指標は、マイクロサービスによって処理される実際のトラフィックに基づいています。frontend Service には、サンプル アプリケーションの一部としてデプロイされた loadgenerator クライアントによって、定常的なテスト トラフィックが自動的に送信されます。Cloud Service Mesh は、指標、ログ、トレース（オプション）を Google Cloud Observability に自動的に送信します。

3. 表内の frontend サービスをクリックすると、サービスの概要ダッシュボードが表示されます。サービスの追加指標に加え、インバウンド接続とアウトバウンド接続のビジュアリゼーションが表示されます。また、サービスのモニタリングとアラート用に、サービスレベル オブジェクト（SLO）を作成することもできます。

mTLS が有効になっていることを確認する

パネルのセキュリティ リンクをクリックすると、frontend サービスのセキュリティの概要が表示されます。表とビジュアリゼーションには、マイクロサービス間のインバウンド接続とアウトバウンド接続のそれぞれに緑色の鍵アイコンが表示されます。このアイコンは、接続が認証と暗号化に mTLS を使用していることを示します。