考慮事項

始める前に、カスタム・ゲートウェイの使用に関する以下の考慮事項を確認してください。

• マネージド Istio アドオンは、お客様が作成したカスタム・ゲートウェイの管理や調整は行いません。 これらのリソースの作成、管理、および保守は、お客様の責任で行ってください。
• カスタムゲートウェイをデプロイした後、 kubectl logs -n ibm-operators -l name=addon-istio-operator を実行して、 Istio operator pod ログに構文エラーがないか確認します。 Istio オペレーターは、ユーザーが IstioOperator （IOP）に対して行った変更を検証し、整合性を確保します。
• さらに、istio-global-proxy-accessLogFile 構成マップmanaged-istio-customの オプションが "/dev/stdout" に設定されていることを確認します。 Envoy プロキシーは、アクセス情報を標準出力に出力します。これは、Envoy コンテナーに対して kubectl logs コマンドを実行することで表示できます。

パブリック・トラフィック用のカスタム Ingress ゲートウェイの作成

IstioOperator (IOP) を使用して、custom-gateways 名前空間にカスタム Ingress ゲートウェイ・デプロイメントおよびパブリック・ロード・バランサー・サービスを作成します。

1. Istio アドオンをインストールします。

2. カスタム Ingress ゲートウェイの名前空間を作成します。

   kubectl create namespace custom-gateways
   

3. custom-ingress-iop.yaml (IOP) リソース用に IstioOperator という名前の YAML ファイルを作成します。 カスタム・ゲートウェイ・ポッドが特定のバージョンのマネージド Istio を実行するように強制するには、tag フィールドにバージョンを指定します。 詳しくは、カスタム・ゲートウェイの更新およびバージョンの制御を参照してください。

   apiVersion: install.istio.io/v1alpha1
   kind: IstioOperator
   metadata:
     namespace: ibm-operators
     name: custom-ingressgateway-iop
   spec:
     profile: empty
     hub: icr.io/ext/istio
     # tag: 1.29.5
     components:
       ingressGateways:
         - name: custom-ingressgateway
           label:
             istio: custom-ingressgateway
           namespace: custom-gateways
           enabled: true
           k8s:
             serviceAnnotations:
               service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: public
   

4. クラスター内に IstioOperator (IOP) リソースを作成します。 ibm-operators 名前空間内のマネージド Istio 演算子は、IOP リソースを使用して、Ingress ゲートウェイをパブリック・ロード・バランサー・サービスとともに custom-gateways 名前空間内にデプロイして公開します。

   kubectl apply -f ./custom-ingress-iop.yaml
   

5. Ingress ゲートウェイのデプロイメントとサービスが custom-gateways 名前空間内に作成されていることを確認します。

   kubectl get deploy,svc -n custom-gateways
   

   出力例

   NAME                                    READY   UP-TO-DATE   AVAILABLE   AGE
   deployment.apps/custom-ingressgateway   1/1     1            1           4m53s
   NAME                            TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)                                                                                                                                      AGE
   service/custom-ingressgateway   LoadBalancer   172.21.98.120   52.117.68.222   15020:32656/TCP,80:30576/TCP,443:32689/TCP,15029:31885/TCP,15030:30198/TCP,15031:32637/TCP,15032:30869/TCP,31400:30310/TCP,15443:31698/TCP   4m53s
   

6. service/custom-ingressgateway ロード・バランサーの出力にある、EXTERNAL-IP 列の IP アドレス (クラシック・クラスターの場合) またはホスト名 (VPC クラスターの場合) をメモしておきます。

続いて、この Ingress ゲートウェイ・ロード・バランサーの名前 custom-ingressgateway を、Istio マネージド・アプリのポートを定義する Gateway リソース内で指定することができます。 その後、その Gateway の名前を、サービス・メッシュ内のマイクロサービスのパスを定義する VirtualService リソース内で指定できます。 カスタム・ゲートウェイ・ロード・バランサーとともに Gateway および VirtualService を使用する例については、 BookInfo サンプル・アプリをお試しください。

プライベート・ネットワーク・トラフィック用のカスタム Ingress ゲートウェイの作成

カスタム Ingress ゲートウェイ・デプロイメントを作成し、それをプライベート・ロード・バランサー・サービスで公開するには、パブリック・トラフィック用のカスタム Ingress ゲートウェイを作成にある手順に従います。 ステップ 3 で IOP を作成するときは、public ではなく service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: private アノテーションを指定します。

次の考慮事項に注意してください。

• クラシック・クラスターがプライベート VLAN にのみ接続されている場合、または VPC クラスターでプライベートクラウド・サービス・エンドポイントのみが有効になっている場合は、IOP を適用すると、デフォルトでプライベート・ロード・バランサーが作成されます。
• クラシック・クラスターに限っては、ibmcloud ks nlb-dns create classic を使用してカスタム・ゲートウェイ・ロード・バランサーの IP アドレスに対して DNS レコードや IBM 提供のサブドメインを作成することはできません。

カスタム・ゲートウェイの更新とバージョンの管理

カスタム Ingress ゲートウェイのマネージド Istio バージョンを手動で更新および制御します。

IBM Cloud が、IBM Cloud Kubernetes Service でサポートされる最新バージョンの Istio へのパッチの更新を自動的にロールアウトして、すべての Istio コンポーネントを最新に保ちます。 たとえば、パッチバージョン 1.29.5 がリリースされると、すべてのIngressゲートウェイポッドが自動的にこの最新のパッチバージョンに更新されます。 パッチ・バージョンは、アプリのダウン時間を回避するために、ローリング更新ストラテジーを使用して更新されます。 ただし、最新のパッチ・バージョンでの潜在的な回帰を検査する場合などは、カスタム・ゲートウェイ・ポッドの自動更新を回避することができます。

カスタム Ingress ゲートウェイの更新を管理するために、以下のロールアウト・ストラテジーを使用できます。

1. カスタム Ingress ゲートウェイの IOP を作成します。 tag フィールドに、コントロール・プレーン・バージョンと同じかそれより前のパッチ・バージョンを指定します。 コントロール・プレーンのバージョンは、istioctl version を実行して見つけることができます。
2. マネージド Istio アドオンの新しいパッチ・バージョンがリリースされたら、1 つのカスタム・ゲートウェイの IOP YAML ファイルに最新のパッチ・バージョンを使用するための編集を加え、クラスターでその IOP を再適用します。
3. カスタム・ゲートウェイのポッドが最新のパッチに更新されたら、カスタム・ゲートウェイに対するすべての変更をテストします。
4. 変更に問題がなければ、残りのカスタム・ゲートウェイの構成を変更して、最新のパッチに更新します。

タグには、使用している Istio アドオンのコントロール・プレーン・バージョンより後のバージョンを設定しないでください。

バージョンがリリースされた後、できるだけ早くカスタム・ゲートウェイ・ポッドを更新してください。 古いバージョンを実行しているカスタム・ゲートウェイは、セキュリティーの脆弱性にさらされるおそれがあります。

追加のゲートウェイのカスタマイズ

カスタム Ingress ゲートウェイは、特定ゾーンへのゲートウェイ・ロード・バランサーのデプロイ、ゲートウェイ・ポッド・レプリカの最小数の指定、エッジ・ノードへのカスタム・ゲートウェイ・ポッドのスケジューリング、安全なシャットダウンのための preStop ライフサイクル・フックの追加、アンチアフィニティーとワーカー・ノード・アフィニティーの指定などのカスタマイズを追加して構成できます。

次の IOP YAML ファイルには、これらの追加カスタマイズの例が含まれています。

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: ibm-operators
  name: custom-ingressgateway-iop
spec:
  profile: empty
  hub: icr.io/ext/istio
  # tag: 1.29.5 # Force the gateway to a specific managed Istio version
  components:
    ingressGateways:
      - name: custom-ingressgateway
        label:
          istio: custom-ingressgateway
        namespace: custom-gateways
        enabled: true
        k8s:
          serviceAnnotations:
            service.kubernetes.io/ibm-load-balancer-cloud-provider-ip-type: public
            service.kubernetes.io/ibm-load-balancer-cloud-provider-zone: "dal12" # Deploy the load balancer to a specific zone in your cluster
          hpaSpec: # Specify the minimum number of pod replicas
            minReplicas: 2
          tolerations: # Schedule the custom gateway pods onto edge nodes
          - key: dedicated
            value: edge
          env:
          - name: TERMINATION_DRAIN_DURATION
            value: 30s
          affinity:
            podAntiAffinity:
              preferredDuringSchedulingIgnoredDuringExecution:
              - podAffinityTerm:
                  labelSelector:
                    matchExpressions:
                    - key: app
                      operator: In
                      values:
                      - istio-ingressgateway
                  topologyKey: kubernetes.io/hostname
                weight: 100
            nodeAffinity: # Example node affinities to control the zone or the edge
              preferredDuringSchedulingIgnoredDuringExecution: # Could be requiredDuringSchedulingIgnoredDuringExecution instead
                nodeSelectorTerms:
                - matchExpressions:
                  - key: ibm-cloud.kubernetes.io/zone
                    operator: In
                    values:
                    - "dal12" # Deploy the load balancer to a specific zone in your cluster
              preferredDuringSchedulingIgnoredDuringExecution:
              - preference:
                  matchExpressions:
                  - key: dedicated
                    operator: In
                    values:
                    - edge
                weight: 100

カスタム Egress ゲートウェイの作成

バージョン 1.8 またはそれより後のマネージド Istio アドオンでは、カスタム Egress ゲートウェイを作成できます。 Egress ゲートウェイは、サービス・メッシュ内のアプリから外部の宛先へのすべてのアウトバウンド・トラフィックの出口点として機能します。

例えば、カスタム Egress ゲートウェイを作成するには、クラスター内の IOP に対して以下の YAML ファイルを適用できます。

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: ibm-operators
  name: custom-egressgateway-iop
spec:
  profile: empty
  hub: icr.io/ext/istio
  # tag: 1.29.5 # Force the Gateway to a specific version
  components:
    egressGateways:
      - name: custom-egressgateway
        label:
          istio: custom-egressgateway
        namespace: custom-gateways
        enabled: true

カスタムエグレスゲートウェイの設定および使用方法の詳細については、『 Istio 』のオープンソースドキュメントを参照してください。

デフォルト・ゲートウェイの無効化

カスタム・ゲートウェイの作成後にデフォルトの istio-ingressgateway デプロイメントや istio-egressgateway デプロイメントが不要になった場合は、オプションでそれらを無効にできます。

アプリにクライアントからアクセスできるようにする場合は、少なくとも 1 つのゲートウェイ・ロード・バランサーが有効になっていて、トラフィックをアプリに経路指定するように構成されていることを確認してください。 すべてのゾーンでデフォルト・ゲートウェイ・ロード・バランサーを無効にすると、アプリは公開されなくなり外部からアクセス不可となります。

1. managed-istio-custom 構成マップ・リソースを編集します。

   kubectl edit cm managed-istio-custom -n ibm-operators
   

2. istio-ingressgateway-public-1|2|3-enabled フィールドを "false" に設定して、デフォルトの Ingress ゲートウェイを使用不可にします。

   istio-ingressgateway-public-1-enabled: "false"
   istio-ingressgateway-public-2-enabled: "false"
   istio-ingressgateway-public-3-enabled: "false"
   

3. デフォルトの Egress ゲートウェイを使用不可にするには、istio-egressgateway-public-1-enabled: "false" フィールドを追加します。

   istio-egressgateway-public-1-enabled: "false"
   

4. 構成ファイルを保存して閉じます。

5. デフォルトのゲートウェイ・サービスが削除されていることを確認します。

   kubectl get svc -n istio-system