Service Mesh on Red Hat OpenShift on IBM Cloud

Objetivos

• Instale o Red Hat OpenShift Service Mesh em seu cluster
• Implementar o aplicativo de amostra BookInfo
• Usar métricas, criação de log e rastreio para observar serviços
• Configurar o Istio Ingress Gateway
• Executar o gerenciamento de tráfego simples, como teste A/B e implementações canário
• Proteger sua malha usando mTLS

1. O administrador provisiona um cluster Red Hat OpenShift on IBM Cloud e instala o Service Mesh Operator junto com outros Telemetry Operators.
2. O administrador cria um namespace istio-system (projeto) e cria ServiceMeshControlPlane.
3. O administrador cria um namespace bookinfo com injeção automática de sidecar ativada e implementa o app BookInfo (com quatro microsserviços separados) no Service Mesh.
4. O administrador expõe o app para tráfego externo com o Istio Ingress Gateway.
5. O usuário acessa de forma segura (HTTPS) o aplicativo por meio do navegador.
6. O administrador monitora o funcionamento e o desempenho dos microsserviços usando as métricas, os rastreios e os logs.

Antes de Iniciar

Este tutorial requer:

• CLI do IBM Cloud,
  • Plug-in do IBM Cloud Kubernetes Service (kubernetes-service),
• oc para interagir com o OpenShift.

Você encontrará instruções para fazer download e instalar essas ferramentas para o seu ambiente operacional no guia Introdução aos tutoriais.

Para evitar a instalação dessas ferramentas, é possível usar o Cloud Shell no console da IBM Cloud. Use oc version para assegurar que a versão do CLI do Red Hat OpenShift on IBM Cloud corresponda à sua versão de cluster (4.13.x). Se eles não corresponderem, instale a versão correspondente seguindo estas instruções.

Crie um cluster Red Hat OpenShift on IBM Cloud

Com o Red Hat OpenShift on IBM Cloud, você tem uma maneira rápida e segura de conteinerizar e implementar cargas de trabalho corporativas em clusters. os clusters Red Hat OpenShift on IBM Cloud são baseados na orquestração de contêineres Kubernetes, que oferece consistência e flexibilidade para as operações do ciclo de vida do desenvolvimento.

Nesta seção, você provisionará um cluster Red Hat OpenShift on IBM Cloud em uma (1) zona com dois (2) nós do trabalhador:

1. Faça login em sua conta IBM Cloud e crie um cluster Red Hat OpenShift on IBM Cloud a partir do Red Hat OpenShift on IBM Cloud página de criação de cluster.
2. Defina o serviço de orquestração como a versão 4.13.x do Red Hat OpenShift on IBM Cloud.
3. Selecione sua autorização OCP.
4. Em Infraestrutura, escolha Clássica ou VPC
   • Para o Red Hat OpenShift on IBM Cloud na infraestrutura VPC, é necessário criar uma VPC e uma sub-rede antes de criar o cluster Kubernetes. Crie ou inspecione o VPC desejado lembrando-se do seguinte (consulte as instruções fornecidas em Criando um cluster VPC padrão):
     • Uma sub-rede que pode ser usada para esse tutorial; anote a zona e o nome da sub-rede
     • O gateway público é anexado à sub-rede
   • Selecione a VPC desejada
   • Selecione um serviço Cloud Object Storage existente ou crie um se necessário e, em seguida, selecione
5. Em Local
   • Para o Red Hat OpenShift on IBM Cloud na infraestrutura VPC
     • Selecione um Grupo de recursos
     • Desmarque as zonas inaplicáveis
     • Na zona desejada, verifique o nome de sub-rede desejado e, se não estiver presente, clique no lápis de edição para selecionar o nome de sub-rede desejado
   • Para o Red Hat OpenShift on IBM Cloud na infraestrutura Clássica, siga as instruções em Criando um cluster clássico padrão.
     • Selecione um Grupo de recursos
     • Selecione uma Geografia
     • Selecione Zona única como Disponibilidade
     • Escolha um Data center
6. Em Conjunto de trabalhadores,
   • Selecione 4 vCPUs com Memória de 16 GB como o tipo
   • Selecione 2 Nós do trabalhador por data center para este tutorial (clássico somente: deixe Criptografar disco local)
7. Em Detalhes do recurso, defina o nome do cluster como -myopenshiftcluster, substituindo <your-initials> por suas próprias iniciais.
8. Clique em Criar para prover um cluster Red Hat OpenShift on IBM Cloud.

Anote o grupo de recursos selecionado acima. Esse mesmo grupo de recursos será usado para todos os recursos neste laboratório.

Instalar o Service Mesh - Istio

Nesta seção, você instalará o Service Mesh - Istio no cluster. A instalação do Service Mesh envolve a instalação dos Operadores do Elasticsearch, do Jaeger, do Kiali e do Service Mesh, a criação e o gerenciamento de um recurso ServiceMeshControlPlane para implementar o plano de controle e a criação de um recurso ServiceMeshMemberRoll para especificar os namespaces associados ao Service Mesh.

Alguns dos projectos têm vários operadores. Tenha cuidado para instalar os especificados abaixo.

Elasticsearch - Baseado no projeto Elasticsearch de software livre que permite configurar e gerenciar um cluster do Elasticsearch para rastreio e criação de log com o Jaeger.

Jaeger - Baseado no projeto Jaeger de software livre, permite executar o rastreio para monitorar e solucionar problemas de transações em sistemas distribuídos complexos.

Kiali - Baseado no projeto Kiali de software livre, fornece observabilidade para sua malha de serviços. Ao usar o Kiali, é possível visualizar configurações, monitorar o tráfego, visualizar e analisar rastreios em um único console.

Red Hat OpenShift Service Mesh- Baseado no projeto de código aberto Istio, permite conectar, proteger, controlar e observar os microsserviços que compõem seus aplicativos.

Implementar o aplicativo BookInfo no Service Mesh

O aplicativo BookInfo exibe informações sobre um livro, semelhante a uma única entrada de catálogo de uma livraria on-line. A página exibe uma descrição do manual, detalhes do manual (ISBN, número de páginas, entre outros) e algumas revisões do manual.

O aplicativo Bookinfo é dividido em quatro microsserviços separados:

• productpage. O microsserviço produtpage chama os detalhes e revisa os microsserviços para preencher a página.
• detalhes. O microsserviço details contém informações do manual.
• reviews. O microsserviço reviews contém revisões do manual. Ele também chama o microsserviço ratings.
• ratings. O microsserviço ratings contém informações de classificação do manual que acompanham uma revisão do manual.

Há três versões do microsserviço reviews:

• A versão v1 não chama o serviço de classificações.
• A versão v2 chama o serviço de classificações e exibe cada classificação como uma a cinco estrelas pretas.
• A versão v3 chama o serviço de classificações e exibe cada classificação como 1 a 5 estrelas vermelhas.

A arquitetura de ponta a ponta do aplicativo é mostrada abaixo.

Red Hat OpenShift O Service Mesh depende dos sidecars do Envoy no pod do aplicativo para fornecer recursos do Service Mesh ao aplicativo. É possível ativar a injeção automática de sidecar ou gerenciá-la manualmente. A injeção automática usando a anotação é a maneira recomendada.

1. Implemente o aplicativo Bookinfo no projeto bookinfo, aplicando o arquivo bookinfo.yaml no cluster do Red Hat OpenShift. Isso implementa todos os aplicativos de microsserviço, incluindo versões v1, v2 e v3 do app de revisões.

   oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/platform/kube/bookinfo.yaml
   

   O arquivo bookinfo.yaml é anotado como sidecar.istio.io/inject: "true" para permitir a injeção automática do sidecar do Istio para Red Hat OpenShift Service Mesh. Portanto, esses pods também incluirão um sidecar do Envoy ao serem iniciados no cluster.

   Uma instalação do Red Hat OpenShift Service Mesh difere das instalações da comunidade Istio upstream de várias maneiras. Consulte este link que compara o Service Mesh e o Istio. Por padrão, Istio injeta o sidecar se você tiver rotulado o projeto istio-injection=enabled. Red Hat OpenShift O Serviço Mesh manipula isso de forma diferente e requer que você opte em ter o sidecar automaticamente injetado em uma implementação, portanto, não é necessário rotular o projeto. Isso evitará a injeção de um sidecar, caso ele não seja desejado (por exemplo, nos pods de construção ou implementação).

2. Verifique se os pods estão funcionando.

   oc get pods
   

   Amostra de saída:

   NAME                              READY     STATUS    RESTARTS   AGE
   details-v1-789c5f58f4-9twtw       2/2       Running   0          4m12s
   productpage-v1-856c8cc5d8-xcx2q   2/2       Running   0          4m11s
   ratings-v1-5786768978-tr8z9       2/2       Running   0          4m12s
   reviews-v1-5874566865-mxfgm       2/2       Running   0          4m12s
   reviews-v2-86865fc7d9-mf6t4       2/2       Running   0          4m12s
   reviews-v3-8d4cbbbbf-rfjcz        2/2       Running   0          4m12s
   

   Observe que cada pod do Bookinfo contém dois contêineres. Um é o contêiner do Bookinfo e o outro é o sidecar de proxy do Bookinfo.

Seu app Bookinfo está em execução, mas não é possível acessá-lo porque o serviço ainda não está configurado para receber tráfego externo. Na próxima seção, você exporá o serviço productpage para permitir o tráfego recebido.

Expor o app com o Istio Ingress Gateway e a Rota

Por padrão, os componentes implementados na malha de serviços não são expostos fora do cluster. Um recurso Ingress Gateway pode ser criado para permitir solicitações externas por meio do Istio Ingress Gateway para os serviços auxiliares.

1. Configure a rota padrão de Bookinfo com o Istio Ingress Gateway.

   oc create -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/bookinfo-gateway.yaml
   

2. Obtenha a ROTA do Istio Ingress Gateway.

   oc get routes -n istio-system istio-ingressgateway
   

3. Salve o endereço do HOST recuperado na etapa anterior, pois ele será usado para acessar o app BookInfo em partes posteriores do tutorial. Crie uma variável de ambiente chamada $INGRESS_HOST com o endereço do HOST.

   export INGRESS_HOST=<HOST>
   

   Visite o aplicativo acessando http://$INGRESS_HOST/productpage em uma nova guia. Se você continuar pressionando Atualizar, deverá ver diferentes versões da página em ordem aleatória (v1 - sem estrelas, v2 - estrelas pretas, v3 - estrelas vermelhas). Mantenha a guia do navegador aberta para mais tarde.

Observar a telemetria de serviço: métricas e rastreio

Os recursos de rastreio e métricas do Istio são projetados para fornecer insight amplo e granular no funcionamento de todos os serviços. A função do Istio como uma malha de serviços torna-a a origem de dados ideal para informações de observabilidade, especificamente em um ambiente de microsserviços. À medida que as solicitações passam por vários serviços, a identificação de gargalos de desempenho torna-se cada vez mais difícil ao usar técnicas tradicionais de depuração. O rastreio distribuído fornece uma visualização holística de solicitações que transitam por vários serviços, permitindo a identificação imediata de problemas de latência. Com o Istio, o rastreio distribuído vem por padrão. Isso exporá informações de latência, nova tentativa e falha de cada hop em uma solicitação.

Executar o gerenciamento de tráfego

As regras de roteamento de tráfego do Istio permitem controlar facilmente o fluxo de chamadas de tráfego e de API entre os serviços. O Istio simplifica a configuração de propriedades de nível de serviço, como disjuntores, tempos limite e novas tentativas, além de facilitar a configuração de tarefas importantes, como teste A/B, lançamentos canários e lançamentos montados com divisões de tráfego baseadas em porcentagem. Ele também fornece recursos de recuperação de falha prontos para usar que ajudam a tornar seu aplicativo mais robusto contra falhas de serviços dependentes ou da rede.

O modelo de gerenciamento de tráfego do Istio conta com os proxies do Envoy (sidecars) que são implementados junto com seus serviços. Todo o tráfego que os serviços enviam e recebem (tráfego de plano de dados) é transmitido por proxy por meio do Envoy, facilitando direcionar e controlar o tráfego em torno da malha sem fazer mudanças nos serviços.

O Pilot converte regras de alto nível em configurações de baixo nível e distribui essa configuração para instâncias do Envoy. O Pilot usa três tipos de recursos de configuração para gerenciar o tráfego em sua malha de serviço: Serviços virtuais, regras de destino e entradas de serviço.

Proteger os serviços

O Istio pode proteger a comunicação entre os microsserviços sem precisar de mudanças de código do aplicativo. A segurança é fornecida autenticando e criptografando caminhos de comunicação dentro do cluster. Isso está se tornando um requisito comum de segurança e conformidade. Delegar a segurança de comunicação ao Istio (em vez da implementação do TLS em cada microsserviço) assegura que seu aplicativo será implementado com políticas de segurança consistentes e gerenciáveis.

1. Para configurar o mTLS, é necessário modificar as regras de destino anteriores para usar o ISTIO_MUTUAL.

   oc replace -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all-mtls.yaml
   

2. Envie mais tráfego para seu aplicativo. Tudo ainda deve continuar funcionando conforme o esperado.
3. Ative o Kiali novamente e acesse Gráfico.
4. Selecione bookinfo na barra superior Namespace.
5. Em Exibição, selecione Segurança. Você deverá ver o ícone de bloqueio em todas as setas (tráfego).
6. Para confirmar que o tráfego está seguro, clique na seta de productpage para v1 e você deverá ver mTLS Enabled com o ícone de bloqueio na área de janela direita.

Ativar o SSL para o tráfego que vem para o cluster (HTTPS)

Nesta seção, você criará uma Rota segura para o Ingress Gateway com a finalização de Borda usando o certificado padrão fornecido pelo Red Hat OpenShift on IBM Cloud. Com uma rota de borda, o Controlador do Ingress finaliza a criptografia TLS antes de encaminhar o tráfego para o Pod istio-ingressgateway.

1. Ative o console do Red Hat OpenShift on IBM Cloud
2. Em Rede e, em seguida, em Rotas,
3. Escolha o projeto istio-system na barra superior e, em seguida, clique em Criar rota
   1. Nome: istio-ingressgateway-secure
   2. Serviço: istio-ingressgateway
   3. Porta de destino80->8080(TCP)
   4. MarcarSecure Route
   5. Finalização TLS: Edge
   6. Tráfego inseguro: None
4. Clique em Criar.
5. Visite a nova URL HTTPS na seção Local da rota istio-ingressgateway-secure. Lembre-se de incluir /productpage no final da URL.

Remover recursos

É possível remover gradualmente os recursos individuais ou pular essas etapas e excluir diretamente o cluster inteiro.

Conteúdo relacionado

• Entendendo Red Hat OpenShift Serviço Mesh
• Red Hat OpenShift on IBM Cloud
• Comparando o Service Mesh e o Istio- Expondo apps com rotas
• Observabilidade do Istio