Alibaba Cloud Service Mesh:Conectar um plano de controle do ASM a um cluster de plano de dados entre VPCs via PrivateLink

Como funciona

O plano de controle do ASM e o cluster de plano de dados do ACK se comunicam por dois canais separados. Ao aplicar o recurso ASMPvlConfig, o ASM cria uma conexão PrivateLink para cada canal:

Cada conexão PrivateLink requer um endpoint na mesma zona de disponibilidade do serviço de endpoint de destino. Como o serviço de endpoint para o servidor de API do ACK está na zona da VPC do ACK, o endpoint do lado do ASM também deve estar nessa zona, e vice-versa. Por esse motivo, o recurso ASMPvlConfig usa IDs de zona cruzados entre as duas VPCs (detalhado em Configure o recurso ASMPvlConfig).

O tráfego do PrivateLink permanece dentro da rede da Alibaba Cloud e não atravessa a internet pública, garantindo que a comunicação entre o plano de controle e o plano de dados seja privada.

Pré-requisitos

• Uma instância do ASM foi criada

• Um cluster ACK foi criado na mesma região da instância do ASM, mas em uma VPC diferente

• O serviço PrivateLink foi ativado

• O kubectl está instalado e configurado com o arquivo kubeconfig da instância do ASM

Adicionar o cluster ACK à instância do ASM

Adicione o cluster ACK à instância do ASM.

Após adicionar o cluster, o status dele será exibido como Connected no console do ASM. Isso indica apenas que o cluster está registrado no ASM. A conectividade via PrivateLink ainda não foi estabelecida. Prossiga para a próxima seção para configurá-la.

Configure o recurso ASMPvlConfig

Crie um arquivo chamado asmpvlconfig.yaml com o seguinte conteúdo:

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMPvlConfig
metadata:
  name: default
spec:
  ackVpcEndpoint:
  - clusterId: <ack-cluster-id>
    vSwitches:
    - vSwitchId: <ack-vswitch-id>
      zoneId: <asm-vswitch-zone-id>
  asmVpcEndpoint:
    vSwitches:
    - vSwitchId: <asm-vswitch-id>
      zoneId: <ack-vswitch-zone-id>

Substitua os placeholders pelos valores reais:

Aplicar o recurso ASMPvlConfig

Conecte-se à instância do ASM com o kubectl e aplique o recurso:

kubectl apply -f asmpvlconfig.yaml

Verifique o status do PrivateLink

Aguarde alguns minutos para que o ASM provisione os recursos do PrivateLink e verifique o status:

kubectl get asmpvlconfig default -o yaml

Uma configuração bem-sucedida adiciona uma seção status à saída:

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMPvlConfig
metadata:
  name: default
spec:
  ackVpcEndpoint:
  - clusterId: cab9ace222210457a83f09fcd42****
    vSwitches:
    - vSwitchId: vsw-bp1jsgsanpvxpj32yai50
      zoneId: cn-hangzhou-j
  asmVpcEndpoint:
    vSwitches:
    - vSwitchId: vsw-bp1l5hini55sstnwd2skf
      zoneId: cn-hangzhou-i
status:
  clusters:
  - clusterId: cab9ace222210457a83f09fcd42****
    pvlEndpoint:
      connectionStatus: Connected
      domainName: ep-bp1i06bad79eb60c60cc.epsrv-bp1gqb8g1b8d7uactd.cn-hangzhou.privatelink.aliyuncs.com
      id: ep-bp1i06bad79eb60c60
      status: Active
    pvlEndpointService:
      id: epsrv-bp1gqb8g1b8d7uactd
      name: com.aliyuncs.privatelink.cn-hangzhou.epsrv-bp1gqb8g1b8d7uactd
      status: Active
  pilot:
    clusters:
    - clusterId: cab9ace222210457a83f09fcd42****
      pvlEndpoint:
        connectionStatus: Connected
        domainName: ep-bp1i52311b91a5a25e.epsrv-bp1cl4qwzkf747ug6tmy.cn-hangzhou.privatelink.aliyuncs.com
        id: ep-bp1i52311b91a5a25e
        status: Active
    pvlEndpointService:
      id: epsrv-bp1cl4qwzkf747ug6t
      name: com.aliyuncs.privatelink.cn-hangzhou.epsrv-bp1cl4qwzkf747ug6tmy
      status: Active
  status: Available

Confirme se status.status é Available. Isso significa que as conexões do servidor de API e do Pilot foram estabelecidas. Qualquer outro valor indica um problema de configuração — revise seus IDs de vSwitch e IDs de zona.

Visualize os recursos do PrivateLink no console de VPC

Para inspecionar diretamente o serviço de endpoint e o endpoint:

1. Faça login no console de VPC.

2. No painel de navegação à esquerda, clique em Endpoints Service.

3. Na barra de navegação superior, selecione a região onde reside o serviço de endpoint.

4. Na página Endpoints Service, clique no ID da instância do serviço de endpoint de destino para visualizar seus detalhes.

5. No painel de navegação à esquerda, clique em Endpoints. Na página Endpoints, clique no ID da instância do endpoint de destino para visualizar seus detalhes.

Adicionar o domínio PrivateLink ao certificado do servidor de API

O plano de controle do ASM acessa o servidor de API do cluster ACK por meio do nome de domínio do endpoint PrivateLink. Para que a validação TLS seja bem-sucedida, esse nome de domínio deve constar como Subject Alternative Name (SAN) no certificado do servidor de API. Sem isso, o plano de controle não consegue estabelecer uma conexão confiável com o servidor de API.

Na saída de status em Verifique o status do PrivateLink, copie o valor de pvlEndpoint.domainName em clusters (por exemplo, ep-bp1i06bad79eb60c60cc.epsrv-bp1gqb8g1b8d7uactd.cn-hangzhou.privatelink.aliyuncs.com) e adicione-o ao campo SAN personalizado do certificado do servidor de API do cluster ACK.

Para obter instruções, consulte Personalizar o SAN do certificado do servidor de API ao criar um cluster ACK.

Confirme a conectividade entre VPCs

Verifique o status do cluster ACK no console do ASM. Se o cluster estiver no estado Running, a conectividade entre VPCs via PrivateLink foi estabelecida com sucesso.