Service Mesh on Red Hat OpenShift on IBM Cloud

Objetivos

• Instale Red Hat OpenShift Service Mesh en su clúster
• Despliegue la app de ejemplo BookInfo
• Utilice métricas, registro y rastreo para observar los servicios
• Configure la pasarela de entrada de Istio
• Realice la gestión de tráfico sencillo, como pruebas de tipo A/B y despliegues de prueba
• Proteja la red mediante mTLS

1. El administrador aprovisiona un clúster Red Hat OpenShift on IBM Cloud e instala el Operador de Malla de Servicios junto con otros Operadores de Telemetría.
2. El administrador crea un espacio de nombres de istio-system (proyecto) y crea ServiceMeshControlPlane.
3. El administrador crea un espacio de nombres de bookinfo con la inyección automática de complementos habilitada y despliega la app BookInfo (con cuatro microservicios independientes) en la red de servicios.
4. El administrador expone la app para el tráfico externo con la pasarela de entrada de Istio.
5. El usuario accede de forma segura (HTTPS) a la aplicación mediante el navegador.
6. El administrador supervisa el estado y el rendimiento de los microservicios mediante métricas, rastreos y registros.

Antes de empezar

Esta guía de aprendizaje requiere:

• CLI de IBM Cloud,
  • plugin de IBM Cloud Kubernetes Service (kubernetes-service),
• oc para interactuar con OpenShift.

Encontrará instrucciones para descargar e instalar estas herramientas para su entorno operativo en la guía de Iniciación a las guías de aprendizaje.

Para evitar tener que instalar estas herramientas, también puede utilizar Cloud Shell desde la consola de IBM Cloud. Utilice oc version para asegurarse de que la versión de la CLI de Red Hat OpenShift on IBM Cloud coincide con la versión del clúster (4.13.x). Si no coinciden, instale la versión coincidente siguiendo estas instrucciones.

Crear un clúster Red Hat OpenShift on IBM Cloud

Con Red Hat OpenShift on IBM Cloud, dispone de una forma rápida y segura de contenerizar y desplegar cargas de trabajo empresariales en clústeres. los clústeres Red Hat OpenShift on IBM Cloud se basan en la orquestación de contenedores Kubernetes, que ofrece coherencia y flexibilidad para sus operaciones de ciclo de vida de desarrollo.

En esta sección, suministrará un clúster de Red Hat OpenShift on IBM Cloud en una (1) zona con dos (2) nodos trabajadores:

1. Inicie sesión en su cuenta de IBM Cloud y cree un clúster de Red Hat OpenShift on IBM Cloud desde la página de creación de clúster deRed Hat OpenShift on IBM Cloud.
2. Establezca el servicio de orquestación en la versión 4.13.x de Red Hat OpenShift on IBM Cloud.
3. Seleccione la titularidad de OCP.
4. En Infraestructura elija clásica o VPC
   • Para Red Hat OpenShift on IBM Cloud en la infraestructura de VPC, debe crear una VPC y una subred antes de crear el clúster de Kubernetes. Cree o inspeccione una VPC deseada teniendo en cuenta lo siguiente (consulte las instrucciones proporcionadas en Creación de un clúster VPC estándar):
     • Una subred que se puede utilizar para esta guía de aprendizaje, tome nota de la zona y el nombre de la subred
     • La pasarela pública está conectada a la subred
   • Seleccione la VPC deseada
   • Seleccione un servicio Cloud Object Storage existente o cree uno si es necesario y, a continuación, seleccione
5. En Ubicación
   • Para Red Hat OpenShift on IBM Cloud en la infraestructura de VPC
     • Seleccione un Grupo de recursos
     • Deseleccione las zonas que no se pueden aplicar
     • En la zona deseada, verifique el nombre de subred deseado y, si no está presente, pulse el lápiz de edición para seleccionar el nombre de subred deseado
   • Para Red Hat OpenShift on IBM Cloud en la infraestructura clásica, siga las instrucciones de Creación de un clúster clásico estándar.
     • Seleccione un Grupo de recursos
     • Seleccione una Geografía
     • Seleccione Zona única como Disponibilidad
     • Elija un centro de datos
6. En Agrupación de nodos trabajadores,
   • Seleccione 4 vCPU y 16 GB de memoria como tipo
   • Seleccione 2 nodos trabajadores por centro de datos para esta guía de aprendizaje (solo clásica: dejar Cifrar disco local)
7. En Detalles de recursos, establezca el nombre del clúster como -myopenshiftcluster sustituyendo <your-initials> por sus propias iniciales.
8. Pulse Crear para suministrar un clúster Red Hat OpenShift on IBM Cloud.

Anote el grupo de recursos seleccionado anteriormente. Este grupo de recursos se utilizará para todos los recursos de este lab.

Instalación de Service Mesh - Istio

En esta sección, instalará Service Mesh - Istio en el clúster. La instalación de la red de servicios implica la instalación de los operadores Elasticsearch, Jaeger, Kiali y Service Mesh, la creación y gestión de un recurso ServiceMeshControlPlane para desplegar el plano de control y la creación de un recurso ServiceMeshMemberRoll para especificar los espacios de nombres asociados con la red de servicios.

Algunos de los proyectos tienen varios operadores. Tenga cuidado de instalar los especificados a continuación

Elasticsearch: se basa en el proyecto Elasticsearch de código abierto que le permite configurar y gestionar el clúster de Elasticsearch para realizar el rastreo y el registro con Jaeger.

Jaeger: se basa en el proyecto Jaeger de código abierto y le permite realizar el rastreo para supervisar y resolver los problemas de transacciones en sistemas distribuidos complejos.

Kiali: se basa en el proyecto Kiali de código abierto y proporciona funciones de observabilidad para la red de servicios. Mediante Kiali puede ver configuraciones, supervisar tráfico y ver y analizar rastreos en una sola consola.

Red Hat OpenShift Service Mesh- Basado en el proyecto de código abierto Istio, le permite conectar, asegurar, controlar y observar los microservicios que componen sus aplicaciones.

Despliegue de la aplicación BookInfo en la red de servicios

La aplicación BookInfo muestra información sobre un libro, de forma similar a la entrada de un catálogo de una librería en línea. En la página se muestra una descripción del libro, detalles del libro (ISBN, número de páginas, etc) y algunas críticas sobre el libro.

La aplicación Bookinfo se divide en cuatro microservicios:

• productpage. El microservicio productpage llama a los microservicios de detalles (details) y de críticas (reviews) para llegar la página.
• detalles. El microservicio details contiene información sobre el libro.
• reviews. El microservicio reviews contiene críticas sobre el libro. También llama al microservicio de clasificaciones (ratings).
• ratings. El microservicio ratings contiene información sobre la clasificación del libro que acompaña a una crítica del libro.

Hay 3 versiones del microservicio reviews:

• La versión v1 no llama al servicio ratings.
• La versión v2 llama al servicio ratings y muestra cada clasificación en forma de estrellas negras, entre 1 y 5.
• La versión v3 llama al servicio ratings y muestra cada clasificación en forma de estrellas rojas, entre 1 y 5.

A continuación se muestra la arquitectura global de la aplicación.

Red Hat OpenShift Service Mesh se basa en los sidecars de Envoy dentro del pod de la aplicación para proporcionar capacidades de Service Mesh a la aplicación. Puede habilitar la inyección automática de complementos o la puede gestionar manualmente. La inyección automática mediante la anotación es el sistema recomendado.

1. Despliegue la aplicación Bookinfo en el proyecto bookinfo aplicando el archivo bookinfo.yaml en el clúster de Red Hat OpenShift. Esto despliega todas las aplicaciones de microservicio incluidas las versiones v1, v2 y v3 de la app de revisiones.

   oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/platform/kube/bookinfo.yaml
   

   El archivo bookinfo.yaml está anotado sidecar.istio.io/inject: "true" para permitir la inyección automática del sidecar Istio para Red Hat OpenShift Service Mesh. Por lo tanto, estos pods también incluirán un complemento de Envoy cuando se inicien en el clúster.

   Una instalación de Red Hat OpenShift Service Mesh difiere de las instalaciones de la comunidad Istio en varios aspectos. Consulte este enlace en el que se comparan Service Mesh e Istio. De forma predeterminada, Istio inyecta el sidecar si ha etiquetado el proyecto istio-injection=enabled. Red Hat OpenShift Service Mesh maneja esto de forma diferente y requiere que se opte para que el sidecar se inyecte automáticamente en un despliegue, por lo que no es necesario que etiquete el proyecto. Esto evita la inyección de un complemento si no se desea (por ejemplo, en los pods de compilación o despliegue).

2. Verifique que los pods estén activos y en ejecución.

   oc get pods
   

   Salida de ejemplo:

   NAME                              READY     STATUS    RESTARTS   AGE
   details-v1-789c5f58f4-9twtw       2/2       Running   0          4m12s
   productpage-v1-856c8cc5d8-xcx2q   2/2       Running   0          4m11s
   ratings-v1-5786768978-tr8z9       2/2       Running   0          4m12s
   reviews-v1-5874566865-mxfgm       2/2       Running   0          4m12s
   reviews-v2-86865fc7d9-mf6t4       2/2       Running   0          4m12s
   reviews-v3-8d4cbbbbf-rfjcz        2/2       Running   0          4m12s
   

   Observe que cada pod de bookinfo tiene 2 contenedores. Uno es el contenedor de bookinfo y el otro es el complemento de proxy de Envoy.

La app bookinfo está en ejecución, pero no puede acceder a ella porque el servicio aún no está configurado para recibir tráfico externo. En la siguiente sección, expondrá el servicio productpage para permitir el tráfico de entrada.

Exposición de la app con la pasarela y la ruta de Ingress de Istio

Los componentes que se despliegan en la red de servicios de forma predeterminada no se exponen fuera del clúster. Se puede crear un recurso de pasarela de Ingress para permitir solicitudes externas a través de la pasarela de Ingress de Istio en los servicios de fondo.

1. Configure la ruta predeterminada de bookinfo con la pasarela de Ingress de Istio.

   oc create -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/bookinfo-gateway.yaml
   

2. Obtenga el valor de ROUTE de la pasarela de Ingress de Istio.

   oc get routes -n istio-system istio-ingressgateway
   

3. Guarde la dirección de HOST que ha recuperado en el paso anterior, ya que se utilizará para acceder a la app BookInfo en fases posteriores de esta guía de aprendizaje. Cree una variable de entorno llamada $INGRESS_HOST con la dirección de HOST.

   export INGRESS_HOST=<HOST>
   

   Para visitar la aplicación, vaya a http://$INGRESS_HOST/productpage en un nuevo separador. Si va pulsando Renovar, debería ver distintas versiones de la página en orden aleatorio (v1 - sin estrellas, v2 - estrellas negras, v3 - estrellas rojas). Mantenga abierta la pestaña del navegador para más adelante.

Observación de la telemetría del servicio: métricas y rastreo

Las prestaciones de rastreo y de métricas de Istio están diseñadas para proporcionar una visión amplia y granular del estado de todos los servicios. El rol de Istio como red de servicios lo convierte en el origen de datos ideal para la información de observabilidad, especialmente en un entorno de microservicios. A medida que las solicitudes pasan a través de varios servicios, la identificación de los cuellos de botella de rendimiento resulta cada vez más difícil con las técnicas de depuración tradicionales. El rastreo distribuido proporciona una vista holística de las solicitudes que transitan por varios servicios, lo que permite la identificación inmediata de problemas de latencia. Con Istio, el rastreo distribuido viene de forma predeterminada. Esto permite exponer la información sobre latencia, reintentos y errores para cada paso en una solicitud.

Gestión del tráfico

Las reglas de direccionamiento de tráfico de Istio permiten controlar fácilmente el flujo de llamadas de tráfico y de API entre los servicios. Istio simplifica la configuración de las propiedades de nivel de servicio, como los interruptores de circuito, los tiempos de espera y los reintentos, y facilita la configuración de tareas importantes como las pruebas de tipo A/B, los despliegues de recuperación y los despliegues por etapas con divisiones de tráfico basadas en el porcentaje. También proporciona características de recuperación de anomalías listas para ser utilizadas que ayudan a aumentar la solidez de la aplicación frente a las anomalías de los servicios dependientes o de la red.

El modelo de gestión de tráfico de Istio se basa en los proxies de Envoy (complementos) que se despliegan junto con sus servicios. Todo el tráfico que sus servicios envían y reciben (tráfico del plano de datos) se envía mediante proxy a través de Envoy, lo que facilita el direccionamiento y el control del tráfico en la red sin realizar ningún cambio en los servicios.

El servicio piloto convierte las reglas generales en configuraciones específicas y distribuye esta configuración a las instancias de Envoy. Pilot utiliza tres tipos de recursos de configuración para gestionar el tráfico dentro de su malla de servicios: Servicios virtuales, Reglas de destino y Entradas de servicio.

Protección de los servicios

Istio puede proteger la comunicación entre microservicios sin necesidad de realizar cambios en el código de la aplicación. La seguridad se proporciona mediante la autenticación y el cifrado de vías de acceso de comunicación dentro del clúster. Esto se está convirtiendo en un requisito de conformidad y de seguridad común. La delegación de la seguridad de la comunicación a Istio (en lugar de implementar TLS en cada microservicio) garantiza que la aplicación se despliega con políticas de seguridad coherentes y gestionables.

1. Para configurar mTLS, debe modificar las reglas de destino anteriores para que utilicen ISTIO_MUTUAL.

   oc replace -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all-mtls.yaml
   

2. Envíe más tráfico a la aplicación. Todo debería seguir funcionando según lo esperado.
3. Vuelva a iniciar Kiali y vaya a Gráfico.
4. Seleccione bookinfo en la barra Espacio de nombres superior.
5. En Visualizar, seleccione Seguridad. Debería ver el icono de candado en todas las flechas (tráfico).
6. Para confirmar que el tráfico es seguro, pulse la flecha entre productpage y v1; debería ver mTLS Enabled con el icono de candado en el panel de la derecha.

Habilitación de SSL para el tráfico procedente del clúster (HTTPS)

En esta sección, creará una ruta segura a la pasarela de Ingress con la terminación de extremo (Edge) utilizando el certificado predeterminado proporcionado por Red Hat OpenShift on IBM Cloud. Con una ruta de extremo, el controlador de Ingress termina el cifrado TLS antes de reenviar el tráfico al pod de istio-ingressgateway.

1. Inicie la consola de Red Hat OpenShift on IBM Cloud
2. En Redes, seleccione Rutas,
3. Elija el proyecto istio-system en la barra superior y pulse Crear ruta
   1. Nombre: istio-ingressgateway-secure
   2. Servicio: istio-ingressgateway
   3. Puerto de destino80->8080(TCP)
   4. Comprobar Secure Route
   5. Terminación de TLS: Edge
   6. Tráfico no seguro: None
4. Pulse Crear.
5. Visite el nuevo URL de HTTPS en la sección Ubicación de la ruta istio-ingressgateway-secure. Recuerde añadir /productpage al final del URL.

Eliminación de recursos

Puede eliminar gradualmente los recursos individuales o saltarse estos pasos y suprimir directamente todo el clúster.

Contenido relacionado

• Descripción de la malla de servicio de Red Hat OpenShift
• Red Hat OpenShift on IBM Cloud
• Comparación de Service Mesh e Istio- Exposición de apps con rutas
• Observabilidad de Istio