GKE Autopilot 클러스터에서 Cloud Service Mesh 프로비저닝

환경 설정하기

gcloud CLI 또는 Terraform을 사용하여 환경을 설정할 수 있습니다.

gcloud config set project PROJECT_ID
GOOGLE_CLOUD_PROJECT=$(gcloud config get-value project)
export GOOGLE_CLOUD_PROJECT

GKE 클러스터 만들기

Autopilot 모드로 GKE 클러스터를 만듭니다.

resource "google_container_cluster" "cluster" {
  name                = "asm-cluster"
  location            = var.region
  deletion_protection = false # Warning: Do not set deletion_protection to false for production clusters

  enable_autopilot = true
  fleet {
    project = data.google_project.project.name
  }
}

data "google_project" "project" {}

관리형 Cloud Service Mesh 프로비저닝

클러스터에 대한 Fleet 멤버십의 servicemesh 기능을 사용하여 관리형 Cloud Service Mesh를 프로비저닝합니다.

resource "google_project_service" "mesh_api" {
  service = "mesh.googleapis.com"

  disable_dependent_services = true
}

resource "google_gke_hub_feature" "feature" {
  name     = "servicemesh"
  location = "global"

  depends_on = [
    google_project_service.mesh_api
  ]
}

resource "google_gke_hub_feature_membership" "feature_member" {
  location   = "global"
  feature    = google_gke_hub_feature.feature.name
  membership = google_container_cluster.cluster.fleet.0.membership
  membership_location = google_container_cluster.cluster.location
  mesh {
    management = "MANAGEMENT_AUTOMATIC"
  }
}

컨트롤 플레인이 활성 상태인지 확인

controlPlaneManagement.state가 ACTIVE가 될 때까지 기다립니다. 최대 15분이 걸릴 수 있습니다.

watch -n 30 gcloud container fleet mesh describe

출력은 다음과 비슷합니다.

membershipSpecs:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    mesh:
      management: MANAGEMENT_AUTOMATIC
membershipStates:
  projects/746296320118/locations/us-central1/memberships/asm-cluster:
    servicemesh:
      controlPlaneManagement:
        details:
        - code: REVISION_READY
          details: 'Ready: asm-managed'
        state: ACTIVE
      dataPlaneManagement:
        details:
        - code: PROVISIONING
          details: Service is provisioning.
        state: PROVISIONING
    state:
      code: OK
      description: 'Revision(s) ready for use: asm-managed.'

Autopilot 클러스터는 워크로드를 배포할 때까지 노드를 프로비저닝하지 않으므로 dataPlaneManagement 섹션은 인그레스 게이트웨이를 배포할 때까지 PROVISIONING 상태로 유지됩니다.

메시 인그레스 게이트웨이 배포

이 섹션에서는 샘플 애플리케이션의 수신 트래픽을 처리할 메시 인그레스 게이트웨이를 배포합니다. 인그레스 게이트웨이는 메시의 에지에서 작동하는 부하 분산기로, 수신 또는 발신되는 HTTP/TCP 연결을 수신합니다.

게이트웨이를 전용 네임스페이스로 배포하고 배포 라벨을 지정하여 게이트웨이가 안전하게 관리되고 Cloud Service Mesh 컨트롤 플레인에 의해 자동으로 업그레이드될 수 있게 합니다.

1. 클러스터에 액세스할 수 있도록 사용자 인증 정보를 다운로드합니다.

   gcloud container clusters get-credentials asm-cluster --location=us-central1
   

2. 게이트웨이 배포를 위한 네임스페이스를 만듭니다.

   kubectl create namespace bank-gateways
   

3. Cloud Service Mesh 컨트롤 플레인이 배포에 게이트웨이 구성을 자동으로 삽입하도록 네임스페이스에 라벨을 추가합니다.

   kubectl label namespace bank-gateways istio-injection=enabled
   

4. 네임스페이스에 인그레스 게이트웨이를 배포합니다.

   Helm

   helm repo add istio https://istio-release.storage.googleapis.com/charts
   helm repo update
   helm install --wait --namespace bank-gateways \
       --set resources.requests.cpu=250m \
       --set resources.requests.memory=512Mi \
       --set resources.requests.ephemeral-storage=1Gi \
       --set resources.limits.cpu=250m \
       --set resources.limits.memory=512Mi \
       --set resources.limits.ephemeral-storage=1Gi \
       istio-ingressgateway istio/gateway
   

   kubectl

   kubectl apply -n bank-gateways \
       -k https://github.com/GoogleCloudPlatform/anthos-service-mesh-packages/tree/main/samples/gateways/istio-ingressgateway
   kubectl -n bank-gateway wait "deployment/istio-ingressgateway"  \
       --for=condition=available --timeout=240s
   

   프로덕션 환경에 배포할 때는 적절한 리소스 요청을 설정했는지 확인하세요. GKE Autopilot은 limits가 아닌 requests에 설정된 리소스 값만 고려합니다. Istio 프로젝트는 성능 및 확장성에 대한 정보를 게시합니다.

샘플 애플리케이션 배포

1. 배포의 Kubernetes 네임스페이스를 만듭니다.

   kubectl create namespace bank-sample
   

2. Cloud Service Mesh에서 사이드카 프록시를 샘플 포드에 자동으로 삽입하도록 네임스페이스에 라벨을 추가합니다.

   kubectl label namespace bank-sample istio-injection=enabled
   

3. 샘플 애플리케이션 배포:

   git clone https://github.com/GoogleCloudPlatform/bank-of-anthos.git
   kubectl apply -n bank-sample -f bank-of-anthos/extras/jwt/jwt-secret.yaml
   kubectl apply -n bank-sample -f bank-of-anthos/kubernetes-manifests/
   

4. 애플리케이션이 준비될 때까지 기다립니다. 몇 분 정도 걸릴 수 있습니다.

   watch kubectl -n bank-sample get pods
   

   애플리케이션이 준비되었으면 출력이 다음과 비슷합니다.

   NAME                                 READY   STATUS    RESTARTS   AGE
   accounts-db-0                        2/2     Running   0          2m16s
   balancereader-5c695f78f5-x4wlz       2/2     Running   0          3m8s
   contacts-557fc79c5-5d7fg             2/2     Running   0          3m7s
   frontend-7dd589c5d7-b4cgq            2/2     Running   0          3m7s
   ledger-db-0                          2/2     Running   0          3m6s
   ledgerwriter-6497f5cf9b-25c6x        2/2     Running   0          3m5s
   loadgenerator-57f6896fd6-lx5df       2/2     Running   0          3m5s
   transactionhistory-6c498965f-tl2sk   2/2     Running   0          3m4s
   userservice-95f44b65b-mlk2p          2/2     Running   0          3m4s
   

5. Istio Gateway 및 VirtualService 리소스를 만들어 인그레스 게이트웨이 뒤에 있는 애플리케이션을 노출합니다.

   kubectl apply -n bank-sample -f bank-of-anthos/extras/istio/frontend-ingress.yaml
   

6. 샘플 애플리케이션의 링크를 가져옵니다.

   INGRESS_HOST=$(kubectl -n bank-gateways get service istio-ingressgateway \
       -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   echo "http://$INGRESS_HOST"
   

7. 브라우저에서 링크를 따라 샘플 애플리케이션을 엽니다. 애플리케이션을 보려면 기본 사용자 이름과 비밀번호로 로그인합니다.

상호 TLS 적용

STRICT 상호 TLS(mTLS) 모드가 사용 설정되어 있는지 확인합니다. istio-system 네임스페이스에 메시의 기본 PeerAuthentication 정책을 적용합니다.

1. 다음 매니페스트를 mesh-peer-authn.yaml로 저장합니다.

   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "default"
     namespace: "istio-system"
   spec:
     mtls:
       mode: STRICT
   

2. 클러스터에 매니페스트를 적용합니다.

   kubectl apply -f mesh-peer-authn.yaml
   

특정 네임스페이스에서 PeerAuthentication 리소스를 만들어 이 구성을 재정의할 수 있습니다.

Cloud Service Mesh 대시보드 살펴보기

1. Google Cloud 콘솔에서 Cloud Service Mesh로 이동하여 메시의 대시보드를 봅니다.

   Cloud Service Mesh로 이동

2. 메뉴 바의 드롭다운 목록에서 프로젝트를 선택합니다.

   메시의 모든 마이크로서비스가 포함된 개요 테이블과 마이크로서비스 간의 연결을 그래픽으로 시각화한 표가 나타납니다. 이 테이블에서는 각 마이크로서비스에 대해 다음 3개의 SRE '골든 신호'를 보여줍니다.

   • 트래픽 - 초당 요청
   • 오류율 - 백분율
   • 지연 시간 - 밀리초

   이러한 측정항목은 마이크로서비스에서 처리하는 실제 트래픽을 기반으로 합니다. 지속적인 테스트 트래픽은 샘플 애플리케이션의 일부로 배포된 loadgenerator 클라이언트에서 frontend 서비스로 자동 전송됩니다. Cloud Service Mesh는 Google Cloud Observability에 측정항목, 로그, trace(선택사항)를 자동으로 전송합니다.

3. 테이블에서 frontend 서비스를 클릭하여 서비스의 개요 대시보드를 확인합니다. 서비스에 대한 추가 측정항목과 인바운드 및 아웃바운드 연결 시각화를 확인할 수 있습니다. 또한 서비스에 대한 모니터링 및 알림을 위한 서비스 수준 객체(SLO)를 만들 수 있습니다.

mTLS가 사용 설정되어 있는지 확인

패널에서 보안 링크를 클릭하여 frontend 서비스의 보안 개요를 확인합니다. 테이블과 시각화에는 마이크로서비스 간의 인바운드 및 아웃바운드 연결 각각에 대해 녹색 자물쇠 아이콘이 표시됩니다. 이 아이콘은 연결이 인증 및 암호화에 mTLS를 사용하고 있음을 나타냅니다.