Alibaba Cloud Service Mesh:サービス検出スコープの設定によるメッシュ設定プッシュ効率の向上

方法1：検出する名前空間の選択

この方法では、検出する名前空間を列挙します。選択済みの名前空間のみがサービス検出スコープに留まるため、コントロールプレーンが検出する必要のある名前空間を追加する際には、選択を更新する必要があります。

1. サービス検出範囲の設定 ページで、 メッシュサービス検出パターン を データプレーン Kubernetes クラスターで選択した名前空間配下のサービスを自動検出 に設定します。

2. [Select Namespace] タブで、対象のクラスターを選択します。

3. 表示される名前空間のリストで、コントロールプレーンに検出させたくないすべての名前空間の右側にある 選択解除 をクリックします。

4. ページ下部にある OK をクリックします。確認 ダイアログボックスで、OK をクリックします。

方法2：ラベルセレクターの使用

この方法では、ラベルによって名前空間を照合します。セレクターに一致するラベルを持つすべての名前空間 (後で作成する名前空間を含む) が、サービス検出スコープに留まります。セレクターを設定する前に、コントロールプレーンに検出させたい各名前空間に、一致するラベルが付与されていることを確認してください。一致するラベルのない名前空間は、スコープから除外されます。

1. サービス検出範囲の設定 ページで、 メッシュサービス検出パターン を データプレーン Kubernetes クラスターで選択した名前空間配下のサービスを自動検出 に設定し、 [Edit Label Selector] タブをクリックします。

2. 名前空間が一致する必要のあるラベルルールを指定します。たとえば、 タグ名 を asm-discovery に、 オペレーター を [Exists] に設定すると、 asm-discovery ラベルを持つすべての名前空間が一致します。

3. ページ下部にある OK をクリックします。確認 ダイアログボックスで、OK をクリックします。

ASM インスタンスに設定が適用されたことの確認

1. 左側メニューで、グリッド情報 > 基本情報 を選択します。

2. 基本情報 ページで、メッシュの ステータス を確認します。

   ステータス が 実行中 の場合、 ASM インスタンスに設定が適用され、再び実行可能な状態になったことを示します。このステータスは、インスタンスの準備が完了したことのみを確認するものです。コントロールプレーンがスコープ外の名前空間のサービスを処理しなくなったことを確認するには、「実施例：サービス検出スコープが有効になったことの確認」で示すように、サイドカープロキシ設定とコントロールプレーンログを確認します。

ステップ1：名前空間とサンプルアプリケーションの準備

1. データプレーン上の ACK クラスターに、 ns-in-mesh と ns-not-in-mesh の名前空間を作成します。詳細については、「名前空間の作成」をご参照ください。

2. ns-in-mesh 名前空間に対して、自動サイドカープロキシインジェクションを有効にします。詳細については、「自動インジェクションの有効化」をご参照ください。

3. 次のコマンドを実行して、 ACK クラスターの ns-in-mesh 名前空間に asm-discovery=enabled ラベルを追加します。ステップ 3 のラベルセレクターがこのラベルを照合します。

   kubectl label namespace ns-in-mesh asm-discovery=enabled

4. 次の内容を使用して httpbin.yaml ファイルを作成します。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: httpbin
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: httpbin
     labels:
       app: httpbin
       service: httpbin
   spec:
     ports:
     - name: http
       port: 8000
       targetPort: 80
     selector:
       app: httpbin
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: httpbin
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: httpbin
         version: v1
     template:
       metadata:
         labels:
           app: httpbin
           version: v1
       spec:
         serviceAccountName: httpbin
         containers:
         - image: docker.io/kennethreitz/httpbin
           imagePullPolicy: IfNotPresent
           name: httpbin
           ports:
           - containerPort: 80

5. 次のコマンドを実行して、 ns-in-mesh と ns-not-in-mesh の名前空間に httpbin サンプルアプリケーションを作成します。

   kubectl apply -f httpbin.yaml -n ns-in-mesh
   kubectl apply -f httpbin.yaml -n ns-not-in-mesh

ステップ2：スコープを絞り込む前のプッシュ動作の確認

1. 次のコマンドを実行して、 ns-in-mesh 名前空間内の httpbin Pod の名前を取得します。

   kubectl get pods -n ns-in-mesh

   期待される出力：

   NAME                       READY   STATUS    RESTARTS   AGE
   httpbin-6fcb98998c-46qhr   2/2     Running   0          22m

2. 次のコマンドを実行して、サイドカープロキシ設定をエクスポートします。コマンド内の httpbin-6fcb98998c-46qhr を、前のステップで取得した httpbin Pod 名に置き換えてください。

   kubectl exec -it httpbin-6fcb98998c-46qhr -c istio-proxy -n ns-in-mesh -- curl -s localhost:15000/config_dump > config_dump.json

3. エクスポートした config_dump.json ファイルを開き、 httpbin.ns-not-in-mesh を検索します。

   httpbin.ns-not-in-mesh が検索でヒットします。これは、 ns-not-in-mesh 名前空間で自動サイドカープロキシインジェクションが有効になっていないにもかかわらず、サイドカープロキシ設定にその名前空間のサービス情報が含まれていることを示しています。

4. 次の内容を使用して sleep.yaml ファイルを作成します。

   ##################################################################################################
   # Sleep サービス
   ##################################################################################################
   apiVersion: v1
   kind: Service
   metadata:
     name: sleep
     labels:
       app: sleep
   spec:
     ports:
     - port: 80
       name: http
     selector:
       app: sleep
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: sleep
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: sleep
     template:
       metadata:
         labels:
           app: sleep
       spec:
         containers:
         - name: sleep
           image: pstauffer/curl
           command: ["/bin/sleep", "3650d"]
           imagePullPolicy: IfNotPresent
   ---

5. 次のコマンドを実行して、 ACK クラスターの ns-not-in-mesh 名前空間に sleep アプリケーションをデプロイします。

   kubectl apply -f sleep.yaml -n ns-not-in-mesh

6. コントロールプレーンログを確認します。コンソールのエントリポイントは、 ASM インスタンスのバージョンによって異なります。

{"content":"2024-01-04T10:27:00.056248Z\tinfo\tads\tPush debounce stable[16] 1 for config ServiceEntry/ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local: 100.183738ms since last change, 100.183497ms since last push, full=true","_time_":"2024-01-04T18:27:00.056310074+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"1|MTcwNDM2MjU0MjUyMjE4OTYxMA==|10|4","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364020"}
{"content":"2024-01-04T10:26:59.956023Z\tinfo\tads\tFull push, new service ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local","_time_":"2024-01-04T18:26:59.956087922+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"1|MTcwNDM2MjU0MjUyMjE4OTYxMA==|10|3","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364020"}

{"content":"2024-01-04T10:33:21.180016Z\tinfo\tads\tPush debounce stable[28] 2 for config Address//c847e048f73054cb192835f8a60ea5219//Pod/ns-not-in-mesh/sleep-fc5cdb9c5-pkfvr and 1 more configs: 100.488198ms since last change, 121.179298ms since last push, full=true","_time_":"2024-01-04T18:33:21.180104591+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"0|MTcwNDM1NjA0OTcxOTcxNzAyMw==|11|9","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364401"}
{"content":"2024-01-04T10:33:21.079470Z\tinfo\tmodel\tFull push, new service ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local","_time_":"2024-01-04T18:33:21.07954976+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"0|MTcwNDM1NjA0OTcxOTcxNzAyMw==|11|8","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364401"}

ステップ3：サービス検出スコープを ns-in-mesh 名前空間に絞り込む

「サービス検出スコープの設定」の手順に従って、 ns-in-mesh 名前空間のみがスコープに含まれるようにします。

• 方法1では、 ns-in-mesh 以外のすべての名前空間の右側にある 選択解除 をクリックします。

• 方法2では、 タグ名 を asm-discovery に、 オペレーター を [Exists] に設定します。これにより、ステップ1で追加したラベルのため、 ns-in-mesh が一致します。

ステップ4：スコープを絞り込んだ後のプッシュ動作の確認

1. 次のコマンドを実行して、サイドカープロキシ設定を再度エクスポートします。コマンド内の httpbin-6fcb98998c-46qhr を、ステップ 2 で取得した httpbin Pod 名に置き換えてください。

   kubectl exec -it httpbin-6fcb98998c-46qhr -c istio-proxy -n ns-in-mesh -- curl -s localhost:15000/config_dump > config_dump.json

2. エクスポートした config_dump.json ファイルを開き、 httpbin.ns-not-in-mesh を検索します。

   httpbin.ns-not-in-mesh は検索でヒットしません。これは、サイドカープロキシ設定に ns-not-in-mesh 名前空間のサービス情報が含まれなくなったことを示しています。

3. 次のコマンドを実行して、 ACK クラスターの ns-not-in-mesh 名前空間から sleep アプリケーションを削除します。

   kubectl delete -f sleep.yaml -n ns-not-in-mesh

4. コントロールプレーンログを再度確認します。「ステップ2：スコープを絞り込む前のプッシュ動作の確認」の ASM バージョンに応じたナビゲーションパスを使用しますが、sleep アプリケーションを削除した時刻が時間範囲に含まれるように、時間範囲を 15 分 に設定します。

   sleep アプリケーションの削除に関するログは表示されません。これは、サービス検出スコープ外の名前空間での変更によって、コントロールプレーンからサイドカープロキシへの設定のプッシュがトリガーされないことを示しています。

指定したラベルを持つ Pod をサービス検出スコープから除外する

指定したラベルを持つ Pod を除外して、それらの Pod が受信するすべてのトラフィックを迅速にドレインします。デフォルトでは、 ASM は Kubernetes クラスター内のすべての Service と Pod を検出します。 Pod がサービス検出スコープ外にある場合、 ASM コントロールプレーンはその Pod を検出せず、サイドカープロキシはリクエストをその Pod に送信しません。

1. ASM コンソールにログインします。左側メニューで、[Service Mesh] > [Mesh Management] を選択します。

2. [Mesh Management] ページで、対象の ASM インスタンスの名前をクリックします。左側メニューで、サービス検出範囲の設定 を選択します。

3. 高度な設定 を展開し、 指定ラベルの Pod の除外 をクリックして、サービス検出から除外する Pod のラベルルールを追加します。

4. タグ名 と タグ値 を入力します。指定したラベルを持つ Pod は、サービス検出スコープから除外されます。たとえば、 topology.kubernetes.io/region を使用して特定のリージョン内の Pod を除外したり、 topology.kubernetes.io/zone を使用して特定のゾーン内の Pod を除外したりします。

5. ページ下部にある OK をクリックします。表示されるダイアログボックスで、OK をクリックします。