Ziele

• Installieren Sie das Service Mesh Red Hat OpenShift in Ihrem Cluster
• Beispiel-App "BookInfo" bereitstellen
• Metriken, Protokollierung und Tracing zum Beobachten von Services verwenden
• Istio Ingress Gateway einrichten
• Einfaches Datenverkehrsmanagement, z. B. A/B-Tests und Canary-Bereitstellungen
• Netz mit mTLS schützen

1. Der Administrator stellt Red Hat OpenShift on IBM Cloud bereit und installiert den Service Mesh Operator zusammen mit anderen Telemetrie-Operatoren.
2. Der Administrator erstellt einen istio-system-Namensbereich (Projekt) sowie eine ServiceMeshControlPlane.
3. Der Administrator erstellt einen Namensbereich bookinfo mit aktivierter automatischer Sidecar-Injektion und stellt die BookInfo-App (mit vier separaten Mikroservices) im Servicenetz bereit.
4. Der Administrator stellt die App für den externen Datenverkehr mit Istio Ingress Gateway bereit.
5. Der Benutzer greift sicher (HTTPS) über den Browser auf die Anwendung zu.
6. Der Administrator überwacht den Zustand und die Leistung der Mikroservices mithilfe der Metriken, Traces und Protokolle.

Vorbereitende Schritte

Für dieses Lernprogramm ist Folgendes erforderlich:

• IBM Cloud CLI,
  • IBM Cloud Kubernetes Service-Plug-in (kubernetes-service)
• oc für die Interaktion mit OpenShift.

Anweisungen zum Herunterladen und Installieren dieser Tools für Ihre Betriebsumgebung finden Sie in der Anleitung zur Einführung in die Lernprogramme.

Um die Installation dieser Tools zu vermeiden, können Sie Cloud Shell über die IBM Cloud-Konsole verwenden. Verwenden Sie oc version, um sicherzustellen, dass die Version der Red Hat OpenShift on IBM Cloud-CLI Ihrer Clusterversion entspricht (4.13.x). Wenn diese nicht übereinstimmt, installieren Sie die übereinstimmende Version, indem Sie diese Anweisungen befolgen.

Einen Red Hat OpenShift on IBM Cloud-Cluster erstellen

Mit Red Hat OpenShift on IBM Cloud haben Sie eine schnelle und sichere Möglichkeit, Unternehmens-Workloads in Clustern zu containerisieren und bereitzustellen. Red Hat OpenShift on IBM Cloud bauen auf Kubernetes auf, die Konsistenz und Flexibilität für Ihre Entwicklungslebenszyklus-Operationen bietet.

In diesem Abschnitt stellen Sie einen Red Hat OpenShift on IBM Cloud-Cluster in einer (1) Zone mit zwei (2) Workerknoten bereit:

1. Melden Sie sich bei Ihrem IBM Cloud-Account an und erstellen Sie einen Red Hat OpenShift on IBM Cloud-Cluster über die Red Hat OpenShift on IBM Cloud-Clustererstellungsseite.
2. Setzen Sie den Orchestrierungsdienst auf 4.13.x von Red Hat OpenShift on IBM Cloud.
3. Wählen Sie Ihre OCP-Berechtigung aus.
4. Wählen Sie unter Infrastruktur die klassische Infrastruktur oder VPC aus.
   • Für die Red Hat OpenShift on IBM Cloud on VPC-Infrastruktur müssen Sie eine VPC-Instanz und ein Teilnetz erstellen, bevor Sie den Kubernetes-Cluster erstellen. Erstellen oder überprüfen Sie eine gewünschte VPC-Instanz und berücksichtigen Sie dabei Folgendes (Anweisungen finden Sie in Erstellen eines VPC-Standardclusters):
     • Ein Teilnetz, das für dieses Lernprogramm verwendet werden kann; notieren Sie die Zone und den Namen des Teilnetzes.
     • Das öffentliche Gateway ist an das Teilnetz angehängt.
   • Wählen Sie die gewünschte VPC-Instanz aus.
   • Wählen Sie einen vorhandenen Cloud Object Storage-Service aus oder erstellen Sie, falls erforderlich, einen Service und wählen Sie anschließend Folgendes aus:
5. Unter Standort:
   • Für die Red Hat OpenShift on IBM Cloud on VPC-Infrastruktur:
     • Wählen Sie eine Ressourcengruppe aus.
     • Wählen Sie die nicht anwendbaren Zonen ab.
     • Überprüfen Sie in der gewünschten Zone den gewünschten Teilnetznamen; falls dieser nicht vorhanden ist, klicken Sie auf das Bearbeitungssymbol (Stiftsymbol), um den gewünschten Teilnetznamen auszuwählen.
   • Folgen Sie in der Red Hat OpenShift on IBM Cloud on Classic-Infrastruktur den Anweisungen im Abschnitt Erstellen eines standardmäßigen klassischen Clusters.
     • Wählen Sie eine Ressourcengruppe aus.
     • Wählen Sie eine Geografie aus.
     • Wählen Sie eine Einzelzone als Verfügbarkeit aus.
     • Wählen Sie ein Rechenzentrum aus.
6. Unter Worker-Pool:
   • Wählen Sie 4 vCPUs 16GB Memory als Version (Flavor) aus.
   • Wählen Sie für dieses Lernprogramm 2 Workerknoten pro Rechenzentrum aus (nur klassische Infrastruktur: Behalten Sie Lokale Festplatte verschlüsseln bei).
7. Unter "Ressourcendetails" setzen Sie den Clusternamen auf "-myopenshiftcluster ", indem Sie " <your-initials> " durch Ihre eigenen Initialen ersetzen.
8. Klicken Sie auf Create (Erstellen), um einen Red Hat OpenShift on IBM Cloud-Cluster bereitzustellen.

Notieren Sie sich die oben ausgewählte Ressourcengruppe. Dieselbe Ressourcengruppe wird für alle Ressourcen in diesem Lab verwendet.

Service Mesh Istio installieren

In diesem Abschnitt installieren Sie Service Mesh Istio auf dem Cluster. Die Installation von Service Mesh umfasst die Installation der Elasticsearch-, Jaeger-, Kiali- und Service Mesh-Operatoren, das Erstellen und Verwalten einer ServiceMeshControlPlane-Ressource, um die Steuerebene bereitzustellen, und das Erstellen einer ServiceMeshMemberRoll-Ressource, um die Namensbereiche anzugeben, die dem Servicenetz zugeordnet sind.

Einige Projekte verfügen über mehrere Operatoren. Achten Sie darauf, die unten angegebenen zu installieren

Elasticsearch - Basierend auf dem Open-Source-Elasticsearch-Projekt, mit dem Sie einen Elasticsearch-Cluster für das Tracing und die Protokollierung mit Jaeger konfigurieren und verwalten können.

Jaeger - Basierend auf dem Open-Source-Jaeger-Projekt können Sie Tracing zur Überwachung und Fehlerbehebung von Transaktionen in komplexen verteilten Systemen durchführen.

Kiali - Basierend auf dem Open-Source-Kiali-Projekt stellt dies die Beobachtbarkeit für Ihr Servicenetz bereit. Mit Kiali können Sie innerhalb nur einer Konsole Konfigurationen anzeigen, den Datenverkehr überwachen und Traces anzeigen und analysieren.

Red Hat OpenShift Service Mesh – Basierend auf dem Open-Source-Projekt Istio können Sie die Microservices, aus denen Ihre Anwendungen bestehen, verbinden, sichern, steuern und überwachen.

Anwendung "BookInfo" in Servicenetz bereitstellen

BookInfo zeigt Informationen zu einem Buch an, ähnlich wie ein einzelner Katalogeintrag in einem Online-Buchladen. Auf der Seite werden eine Beschreibung des Buches, Buchdetails (ISBN, Anzahl der Seiten usw.) sowie einige Buchbesprechungen angezeigt.

Die Anwendung "Bookinfo" ist in vier separate Mikroservices unterteilt:

• productpage. Der Mikroservice 'productpage' ruft die Details auf und überprüft die Mikroservices, um die Seite zu füllen.
• Details. Der Mikroservice 'details' enthält die Buchinformationen.
• reviews. Der Mikroservice 'reviews' enthält Buchbesprechungen. Außerdem ruft er den Mikroservice 'ratings' auf.
• ratings. Der Mikroservice 'ratings' enthält Informationen zur Einstufung des Buches, die eine Buchbesprechung begleiten.

Es gibt 3 Versionen des Mikroservice 'reviews':

• Version V1 ruft den Service 'ratings' nicht auf.
• Version V2 ruft den service 'ratings' auf und zeigt jede Bewertung mit 1 bis 5 schwarzen Sternen an.
• Version V3 ruft den service 'ratings' auf und zeigt jede Bewertung mit 1 bis 5 roten Sternen an.

Die End-to-End-Architektur der Anwendung wird nachfolgend dargestellt.

Red Hat OpenShift Service Mesh verlässt sich auf die Envoy-Sidecars innerhalb des Pods der Anwendung, um der Anwendung Service-Mesh-Funktionen bereitzustellen. Sie können die automatische Sidecar-Injektion aktivieren oder sie manuell verwalten. Die automatische Injektion mit der Annotation ist die empfohlene Methode.

1. Stelleln Sie die Anwendung "Bookinfo" im Projekt bookinfo bereit, indem Sie die Datei 'bookinfo.yaml' auf den Red Hat OpenShift-Cluster anwenden. Dadurch werden alle Mikroserviceanwendungen einschließlich der Versionen v1, v2 und v3 der Reviews-App bereitgestellt.

   oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/platform/kube/bookinfo.yaml
   

   Die Datei bookinfo.yaml wird mit sidecar.istio.io/inject: "true" kommentiert, um die automatische Einspeisung des Istio-Sidecars für Red Hat OpenShift Mesh zu ermöglichen. Daher beziehen diese Pods auch einen Envoy-Sidecar ein, wenn sie im Cluster gestartet werden.

   Eine Installation von Red Hat OpenShift unterscheidet sich in mehrfacher Hinsicht von Upstream-Installationen der Istio-Community. Verweisen Sie auf diesen Link, der Service Mesh und Istio vergleicht. Standardmäßig fügt Istio das Sidecar ein, wenn Sie das Projekt istio-injection=enabled bezeichnet haben. Red Hat OpenShift Service Mesh behandelt dies anders und erfordert, dass Sie das Sidecar automatisch in eine Bereitstellung einfügen lassen, sodass Sie das Projekt nicht beschriften müssen. Dadurch wird vermieden, dass ein Sidecar injiziert wird, wenn er nicht gewünscht wird (z. B. beim Erstellen oder Bereitstellen von Pods).

2. Stellen Sie sicher, dass die Pods betriebsbereit sind.

   oc get pods
   

   Beispielausgabe:

   NAME                              READY     STATUS    RESTARTS   AGE
   details-v1-789c5f58f4-9twtw       2/2       Running   0          4m12s
   productpage-v1-856c8cc5d8-xcx2q   2/2       Running   0          4m11s
   ratings-v1-5786768978-tr8z9       2/2       Running   0          4m12s
   reviews-v1-5874566865-mxfgm       2/2       Running   0          4m12s
   reviews-v2-86865fc7d9-mf6t4       2/2       Running   0          4m12s
   reviews-v3-8d4cbbbbf-rfjcz        2/2       Running   0          4m12s
   

   Beachten Sie, dass jeder "BookInfo"-Pod zwei Container enthält. Einer ist der "BookInfo"-Container und der andere ist der Envoy-Proxy-Sidecar.

Ihre "BookInfo"-App ist aktiv, aber Sie können nicht darauf zugreifen, da der Service noch nicht für den Empfang von externem Datenverkehr konfiguriert ist. Im nächsten Abschnitt machen Sie den Service productpage zugänglich, sodass er eingehenden Datenverkehr zulässt.

Zugänglichmachen der App mit Istio Ingress Gateway und Route

Die Komponenten, die standardmäßig im Servicenetz bereitgestellt sind, werden nicht außerhalb des Clusters zugänglich gemacht. Eine Ingress Gateway-Ressource kann erstellt werden, um externe Anforderungen über Istio Ingress Gateway an die Unterstützungsservices zu senden.

1. Konfigurieren Sie die "BookInfo"-Standardroute mit Istio Ingress Gateway.

   oc create -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/bookinfo-gateway.yaml
   

2. Rufen Sie die ROUTE von Istio Ingress Gateway ab.

   oc get routes -n istio-system istio-ingressgateway
   

3. Speichern Sie die HOST-Adresse, die Sie im vorherigen Schritt abgerufen haben, da sie für den Zugriff auf die App "BookInfo" in späteren Teilen des Lernprogramms verwendet wird. Erstellen Sie eine Umgebungsvariable namens $INGRESS_HOST mit Ihrer HOST-Adresse.

   export INGRESS_HOST=<HOST>
   

   Besuchen Sie die Anwendung, indem Sie http://$INGRESS_HOST/productpage in einer neuen Registerkarte aufrufen. Wenn Sie weiter auf "Aktualisierung" klicken, sollten verschiedene Versionen der Seite in zufälliger Reihenfolge angezeigt werden (V1 - keine Sterne, V2 - schwarze Sterne, V3 - rote Sterne). Lassen Sie die Browserregisterkarte für später geöffnet.

Servicetelemetrie beobachten: Metriken und Traceerstellung

Die Tracing- und Metriken-Funktionen von Istio sind so ausgelegt, dass sie umfassende und differenzierte Einblicke in den Zustand sämtlicher Services bieten. Die Rolle von Istio als Servicenetz macht es zu einer idealen Datenquelle für Beobachtbarkeits-Informationen, insbesondere in einer Mikroservices-Umgebung. Während Anforderungen an mehrere Services übergeben werden, wird die Ermittlung von Leistungsengpässen mittels traditioneller Debugtechniken zunehmend schwierig. Die verteilte Traceerstellung bietet eine ganzheitliche Sicht der Anforderungen, während diese mehrere Services durchlaufen, wodurch die sofortige Identifizierung von Latenzproblemen ermöglicht wird. Mit Istio ist das verteilte Tracing eine Standardfunktion. Dadurch werden Latenz-, Wiederholungs- und Fehlerinformationen für jeden Hop in einer Anforderung zugänglich gemacht.

Datenverkehrsmanagement durchführen

Durch die Regeln von Istio für das Datenverkehr-Routing können Sie den Datenfluss und die API-Aufrufe zwischen den Services problemlos steuern. Istio vereinfacht die Konfiguration von Eigenschaften auf Serviceebene, wie Trennschalter, Zeitlimitüberschreitungen und Wiederholungsversuche, und macht es leicht, wichtige Aufgaben wie A/B-Tests, Canary-Rollouts und Staging-Rollouts mit prozentualen Datenverkehraufteilungen zu konfigurieren. Darüber hinaus bietet es sofort einsatzfähige Funktionen zur Fehlerbehebung, die Ihnen helfen, Ihre Anwendung für Ausfälle abhängiger Services oder des Netzes robuster zu machen.

Das Modell von Istio für das Datenverkehrmanagement beruht auf den Envoy-Proxys (Sidecars), die zusammen mit Ihren Diensten bereitgestellt werden. Der gesamte Datenverkehr, den Ihre Services senden und empfangen (Verkehr auf Datenebene), wird durch Envoy geleitet, was es vereinfacht, den Datenverkehr direkt um Ihr Netz herum zu steuern, ohne dass Änderungen an Ihren Services vorgenommen werden müssen.

Pilot setzt allgemeine Regeln in spezifische Konfigurationen um und verteilt diese Konfigurationen an Envoy-Instanzen. Pilot verwendet drei Arten von Konfigurationsressourcen, um den Datenverkehr innerhalb seines Service-Netzes zu verwalten: Virtuelle Dienste, Zielregeln und Service-Einträge.

Services schützen

Istio kann die Kommunikation zwischen Mikroservices sichern, ohne dass Änderungen am Anwendungscode notwendig sind. Die Sicherheit wird durch Authentifizierung und Verschlüsselung von Kommunikationspfaden innerhalb des Clusters bereitgestellt. Dies wird zu einer allgemeinen Sicherheits- und Compliance-Anforderung. Durch die Delegation der Kommunikationssicherheit an Istio (im Gegensatz zur Implementierung von TLS in jedem Mikroservice) stellen Sie sicher, dass Ihre Anwendung mit konsistenten und einfach zu verwaltenden Sicherheitsrichtlinien bereitgestellt wird.

1. Zur Konfiguration von mTLS müssen Sie Ihre vorherigen Zielregeln ändern, sodass sie ISTIO_MUTUAL verwenden.

   oc replace -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all-mtls.yaml
   

2. Senden Sie mehr Datenverkehr an Ihre Anwendung. Alles sollte weiterhin erwartungsgemäß funktionieren.
3. Starten Sie Kiali erneut und wechseln Sie zu Diagramm.
4. Wählen Sie bookinfo in der oberen Leiste Namensbereich aus.
5. Wählen Sie unter "Anzeige" die Option Sicherheit aus. Auf allen Pfeilen (Datenverkehr) sollte das Symbol Sperren angezeigt werden.
6. Um die Sicherheit Ihres Datenverkehrs zu prüfen, klicken Sie auf den Pfeil von productpage bis v1. Sie sollten im rechten Fensterbereich das Symbol mTLS Enabled mit dem Sperrsymbol sehen.

SSL für den in Ihren Cluster eingehenden Datenverkehr aktivieren (HTTPS)

In diesem Abschnitt erstellen Sie eine sichere Route zu Ingress-Gateway mit Edge-Terminierung unter Verwendung des von Red Hat OpenShift on IBM Cloud bereitgestellten Standardzertifikats. Bei einer Edge-Route beendet der Ingress-Controller die TLS-Verschlüsselung, bevor er den Datenverkehr an den Pod von Istio Ingress Gateway weiterleitet.

1. Starten Sie die Red Hat OpenShift on IBM Cloud-Konsole.
2. Unter Netzbetrieb und Routen gehen Sie wie folgt vor:
3. Wählen Sie das Projekt istio-system in der oberen Leiste aus und klicken Sie anschließend auf Route erstellen.
   1. Name: istio-ingressgateway-secure
   2. Service: istio-ingressgateway
   3. Zielport 80->8080(TCP)
   4. Secure Route prüfen
   5. TLS-Terminierung: Edge
   6. Unsicherer Datenverkehr: None
4. Klicken Sie auf Erstellen.
5. Besuchen Sie die neue HTTPS-URL im Abschnitt Standort der Route istio-ingressgateway-secure. Denken Sie daran, am Ende der URL /productpage hinzuzufügen.

Ressourcen entfernen

Sie können entweder schrittweise einzelne Ressourcen entfernen oder diese Schritte überspringen und den gesamten Cluster direkt löschen.

Zugehörige Inhalte

• Red Hat OpenShift Service Mesh
• Red Hat OpenShift on IBM Cloud
• Servicenetz und Istio vergleichen- Apps mit Routen zugänglich machen
• Istio-Beobachtbarkeit