Obiettivi

• Installare Red Hat OpenShift Service Mesh nel proprio cluster
• Distribuisci un'applicazione di esempio BookInfo
• Utilizza le metriche, la registrazione e la traccia per osservare i servizi
• Configura il gateway Ingress Istio
• Esegui la gestione del traffico semplice, ad esempio i test A/B e le distribuzioni canary
• Proteggi la tua rete utilizzando mTLS

1. L'amministratore crea un cluster Red Hat OpenShift on IBM Cloud e installa l'operatore Service Mesh insieme ad altri operatori di telemetria.
2. L'amministratore crea uno spazio dei nomi (progetto) istio-system e ServiceMeshControlPlane.
3. L'amministratore crea uno spazio dei nomi bookinfo con l'inserimento automatico di sidecar abilitato e distribuisce l'applicazione BookInfo (con quattro microservizi separati) in Service Mesh.
4. L'amministratore espone l'applicazione al traffico esterno con il gateway Ingress Istio.
5. L'utente accede in modo sicuro (HTTPS) all'applicazione tramite il browser.
6. L'amministratore monitora l'integrità e le prestazioni dei microservizi utilizzando le metriche, le tracce e i log.

Prima di iniziare

Questa esercitazione richiede:

• la CLI IBM Cloud,
  • il plugin IBM Cloud Kubernetes Service (kubernetes-service),
• oc per interagire con OpenShift.

Troverai le istruzioni per scaricare e installare questi strumenti per il tuo ambiente operativo nella guida Introduzione alle esercitazioni.

Per evitare l'installazione di questi strumenti, si può usare la Cloud Shell dalla console IBM Cloud. Utilizza oc version per garantire che la versione della CLI Red Hat OpenShift on IBM Cloud corrisponda alla versione del tuo cluster (4.13.x). Se non corrispondono, installare la versione corrispondente seguendo queste istruzioni.

Creare un cluster Red Hat OpenShift on IBM Cloud

Con Red Hat OpenShift on IBM Cloud, hai un modo rapido e sicuro per inserire in un contenitore e distribuire i carichi di lavoro aziendali nei cluster. I cluster Red Hat OpenShift on IBM Cloud si basano sull'orchestrazione del contenitore Kubernetes che offre coerenza e flessibilità per le tue operazioni del ciclo di vita di sviluppo.

In questa sezione, eseguirai il provisioning di un cluster Red Hat OpenShift on IBM Cloud in una (1) zona con due (2) nodi di lavoro:

1. Accedi al tuo conto IBM Cloud e crea un cluster Red Hat OpenShift on IBM Cloud dalla pagina di creazione del clusterRed Hat OpenShift on IBM Cloud.
2. Impostare il Servizio di orchestrazione su 4.13.x versione di Red Hat OpenShift on IBM Cloud.
3. Seleziona la tua titolarità OCP.
4. In Infrastructure scegli Classic o VPC
   • Per Red Hat OpenShift on IBM Cloud sull'infrastruttura VPC, devi creare un VPC e una sottorete prima di creare il cluster Kubernetes. Creare o ispezionare il VPC desiderato tenendo presente quanto segue (vedere le istruzioni fornite in Creazione di un cluster VPC standard ):
     • Una sottorete che può essere utilizzata per questa esercitazione, annota il nome e la zona della sottorete.
     • Il gateway pubblico è collegato alla sottorete
   • Seleziona il VPC desiderato
   • Seleziona un servizio Cloud Object Storage esistente o creane uno se necessario e poi selezionalo
5. In Location
   • Per Red Hat OpenShift on IBM Cloud sull'infrastruttura VPC
     • Seleziona un gruppo di risorse (Resource group)
     • Deseleziona le zone non applicabili
     • Nella zona desiderata verifica il nome della sottorete desiderata e se non è presente, fai clic sull'icona a forma di matita di modifica per selezionare il nome della sottorete desiderata
   • Per Red Hat OpenShift on IBM Cloud sull'infrastruttura Classic, attieniti alle istruzioni contenute in Creazione di un cluster classico standard.
     • Seleziona un gruppo di risorse (Resource group)
     • Seleziona un'area geografica (Geography)
     • Seleziona Single zone come Availability
     • Scegli un Datacenter
6. In Worker pool,
   • Seleziona 4 vCPUs 16GB Memory come profilo
   • Seleziona 2 nodi di lavoro per ogni data center per questa esercitazione (solo per la classica: lascia selezionato Encrypt local disk)
7. In Dettagli risorse, impostare il nome del cluster su -myopenshiftcluster, sostituendo <your-initials> con le proprie iniziali.
8. Fai clic su Crea per eseguire il provisioning di un cluster Red Hat OpenShift on IBM Cloud.

Prendi nota del gruppo di risorse selezionato in precedenza. Questo stesso gruppo di risorse verrà utilizzato per tutte le risorse in questo lab.

Installa Service Mesh - Istio

In questa sezione, installerai Service Mesh - Istio sul cluster. L'installazione di Service Mesh comporta l'installazione degli operatori Elasticsearch, Jaeger, Kiali e Service Mesh, la creazione e la gestione di una risorsa ServiceMeshControlPlane per distribuire il piano di controllo e la creazione di una risorsa ServiceMeshMemberRoll per specificare gli spazi dei nomi associati a Service Mesh.

Alcuni dei progetti hanno più operatori. Fare attenzione ad installare quelli specificati di seguito

Elasticsearch - Si basa sul progetto Elasticsearch open source che ti abilita a configurare e gestire un cluster Elasticsearch per la traccia e la registrazione con Jaeger.

Jaeger - Si basa sul progetto Jaeger open source, ti consente di eseguire la traccia per monitorare e risolvere i problemi con le transazioni in sistemi distribuiti complessi.

Kiali - Si basa sul progetto Kiali open source, fornisce l'osservabilità per la tua rete di servizi. Utilizzando Kiali puoi visualizzare le configurazioni, monitorare il traffico e visualizzare ed analizzare le tracce in una sola console.

Red Hat OpenShift Service Mesh- Basato sul progetto open source Istio, consente di collegare, proteggere, controllare e osservare i microservizi che compongono le applicazioni.

Distribuisci l'applicazione BookInfo su Service Mesh

L' applicazione BookInfo visualizza le informazioni su un libro, in modo simile a una singola voce del catalogo di un negozio di libri online. Vengono visualizzati sulla pagina una descrizione del libro, i dettagli del libro (ISBN, numero di pagine e così via) e alcune recensioni del libro.

L'applicazione Bookinfo viene suddivisa in quattro microservizi separati:

• productpage. Il microservizio productpage richiama i microservizi details e reviews per popolare la pagina.
• details. Il microservizio details contiene le informazioni sul libro.
• reviews. Il microservizio reviews contiene le recensioni del libro. Richiama inoltre il microservizio ratings.
• ratings. Il microservizio ratings contiene le informazioni sulla valutazione di un libro che accompagnano una recensione del libro.

Ci sono 3 versioni del microservizio reviews:

• La versione v1 non richiama il servizio ratings.
• La versione v2 richiama il servizio ratings e visualizza ogni valutazione con delle stelle nere, da 1 a 5.
• La versione v3 richiama il servizio ratings e visualizza ogni valutazione con delle stelle rosse, da 1 a 5.

Di seguito è mostrata l'architettura end-to-end dell'applicazione.

Red Hat OpenShift Service Mesh si basa sulle sidecar di Envoy all'interno del pod dell'applicazione per fornire le funzionalità di Service Mesh all'applicazione. Puoi abilitare l'inserimento automatico di sidecar o gestirlo manualmente. L'inserimento automatico tramite l'annotazione è il metodo consigliato.

1. Distribuisci l'applicazione Bookinfo nel progetto bookinfo applicando il file bookinfo.yaml sul cluster Red Hat OpenShift. Questo distribuisce tutte le applicazioni del microservizio incluse le versioni v1, v2 e v3 dell'applicazione reviews.

   oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/platform/kube/bookinfo.yaml
   

   Il file bookinfo.yaml è annotato sidecar.istio.io/inject: "true" per consentire l'iniezione automatica della sidecar Istio per Red Hat OpenShift Service Mesh. Pertanto, questi pod includeranno anche un sidecar Envoy e vengono avviati nel cluster.

   Un'installazione di Red Hat OpenShift Service Mesh differisce dalle installazioni della comunità Istio upstream per diversi aspetti. Fare riferimento a questo link per confrontare Service Mesh e Istio. Per impostazione predefinita, Istio inserisce il sidecar se hai etichettato il progetto istio-injection=enabled. Red Hat OpenShift lo gestisce in modo diverso e ti richiede di optare per l'inserimento automatico del sidecar in una distribuzione, quindi non ti è richiesto di etichettare il progetto. Questo evita di inserire un sidecar se non è desiderato (ad esempio, nei pod di build e distribuzione).

2. Verifica che i pod siano attivi e in esecuzione.

   oc get pods
   

   Output di esempio:

   NAME                              READY     STATUS    RESTARTS   AGE
   details-v1-789c5f58f4-9twtw       2/2       Running   0          4m12s
   productpage-v1-856c8cc5d8-xcx2q   2/2       Running   0          4m11s
   ratings-v1-5786768978-tr8z9       2/2       Running   0          4m12s
   reviews-v1-5874566865-mxfgm       2/2       Running   0          4m12s
   reviews-v2-86865fc7d9-mf6t4       2/2       Running   0          4m12s
   reviews-v3-8d4cbbbbf-rfjcz        2/2       Running   0          4m12s
   

   Nota che ogni pod bookinfo ha 2 contenitori in esso. Uno è il contenitore bookinfo e l'altro è il sidecar proxy Envoy.

La tua applicazione bookinfo è in esecuzione ma non puoi accedervi perché il servizio non è ancora configurato a ricevere il traffico esterno. Nella prossima sezione, esporrai il servizio productpage per consentire il traffico in entrata.

Esponi l'applicazione con la rotta e il gateway Ingress Istio.

I componenti distribuiti sulla rete di servizi per impostazione predefinita non sono esposti al di fuori del cluster. Una risorsa gateway Ingress può essere creata per consentire le richieste esterne tramite il gateway Ingress Istio ai servizi di supporto.

1. Configura la rotta predefinita bookinfo con il gateway Ingress Istio.

   oc create -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/bookinfo-gateway.yaml
   

2. Ottieni la ROTTA del gateway Ingress Istio.

   oc get routes -n istio-system istio-ingressgateway
   

3. Salva l'indirizzo HOST che hai richiamato nel passo precedente, perché sarà utilizzato per accedere all'applicazione Bookinfo in parti successive dell'esercitazione. Crea una variabile di ambiente denominata $INGRESS_HOST con il tuo indirizzo HOST.

   export INGRESS_HOST=<HOST>
   

   Visita l'applicazione andando a http://$INGRESS_HOST/productpage in una nuova scheda. Se continui a premere Aggiorna, dovresti vedere versioni diverse della pagina in ordine casuale (v1 - nessuna stella, v2 - stelle nere, v3 - stelle rosse). Tenere aperta la scheda del browser per un secondo momento.

Osserva la telemetria del servizio: metriche e traccia

Le funzioni di metriche e traccia di Istio sono progettate per fornire un'ampia gamma di informazioni, o informazioni dettagliate, sull'integrità di tutti i servizi. Il ruolo di Istio come rete di servizi lo rende l'origine dati ideale per informazioni sull'osservabilità, in particolare in un ambiente di microservizi. Poiché le richieste passano attraverso più servizi, identificare i colli di bottiglia delle prestazioni diventa sempre più difficile utilizzando le tecniche di debug tradizionali. La traccia distribuita fornisce una vista olistica delle richieste che transitano tra più servizi, consentendo l'identificazione immediata di problemi di latenza. Con Istio, la traccia distribuita viene fornita per impostazione predefinita. Questo esporrà le informazioni di latenza, nuovi tentativi ed errori per ogni hop in una richiesta.

Esegui la gestione del traffico

Le regole di instradamento del traffico di Istio ti consentono di controllare facilmente il flusso di traffico e le chiamate API tra i servizi. Istio semplifica la configurazione delle proprietà al livello di servizio come gli interruttori di circuito, i timeout e i nuovi tentativi e rende facile configurare attività importanti come il test A/B, i rollout canary e i rollout preparati con suddivisioni di traffico basate sulle percentuali. Fornisce anche funzioni di ripristino dagli errori predefinite che ti aiutano a rendere la tua applicazione più resistente agli errori di servizi dipendenti o di rete.

Il modello di gestione del traffico di Istio si basa sui proxy (sidecar) Envoy distribuiti insieme ai tuoi servizi. Tutto il traffico che i tuoi servizi inviano e ricevono (il traffico del piano di dati) viene elaborato tramite proxy con Envoy, rendendo facile indirizzare e controllare il traffico intorno alla tua rete senza apportare alcuna modifica ai tuoi servizi.

Pilot traduce le regole di alto livello in configurazioni di basso livello e distribuisce questa configurazione alle istanze Envoy. Pilot utilizza tre tipi di risorse di configurazione per gestire il traffico all'interno della sua rete di servizi: Servizi virtuali, Regole di destinazione e Voci di servizio.

Proteggi i tuoi servizi

Istio può proteggere la comunicazione tra i microservizi senza richiedere modifiche al codice dell'applicazione. La protezione viene fornita autenticando e crittografando i percorsi di comunicazione all'interno del cluster. Questo sta diventando un requisito comune di sicurezza e conformità. Delegando la protezione della comunicazione a Istio (al contrario di implementare TLS in ogni microservizio), garantisci che la tua applicazione sarà distribuita con politiche di sicurezza gestibili e coerenti.

1. Per configurare mTLS, devi modificare le tue precedenti regole di destinazione all'uso di ISTIO_MUTUAL.

   oc replace -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all-mtls.yaml
   

2. Invia ulteriore traffico alla tua applicazione. Dovrebbe continuare a funzionare tutto come previsto.
3. Avvia nuovamente Kiali a vai a Graph.
4. Seleziona bookinfo dalla barra superiore Namespace.
5. In Display, seleziona Security. Dovresti vedere l'icona lock su tutte le frecce (traffico).
6. Per confermare che il tuo traffico è protetto, fai clic sulla freccia da productpage a v1 e dovresti visualizzare mTLS Enabled con un'icona lock sul pannello di destra.

Abilita SSL per il traffico in entrata nel tuo cluster (HTTPS)

In questa sezione, creerai una rotta sicura al gateway Ingress con la terminazione Edge tramite il certificato predefinito fornito da Red Hat OpenShift on IBM Cloud. Con una rotta edge, il controller Ingress termina la crittografia TLS prima di inoltrare il traffico la pod istio-ingressgateway.

1. Avvia la console Red Hat OpenShift on IBM Cloud
2. In Networking e poi in Routes.
3. Scegli il progetto istio-system dalla barra superiore e poi fai clic su Create Route
   1. Nome: istio-ingressgateway-secure
   2. Servizio: istio-ingressgateway
   3. Porta di destinazione 80->8080(TCP)
   4. Verifica Secure Route
   5. Terminazione TLS: Edge
   6. Traffico non sicuro: None
4. Fai clic su Crea.
5. Visita il nuovo URL HTTPS nella sezione Location della rotta istio-ingressgateway-secure. Ricorda di aggiungere /productpage alla fine dell'URL.

Rimuovi le risorse

È possibile rimuovere gradualmente le singole risorse o ignorare questi passi ed eliminare direttamente l'intero cluster.

Contenuto correlato

• Descrizione di Red Hat OpenShift Service Mesh
• Red Hat OpenShift on IBM Cloud
• Confronto tra mesh del servizio e Istio- Esposizione di applicazioni con rotte
• Osservabilità Istio