Alibaba Cloud Service Mesh:Criar um egress gateway

Casos de uso

• Aplicação centralizada de segurança: Roteie todo o tráfego de saída por nós de gateway dedicados para aplicar políticas de autorização e auditar o acesso externo a partir de um único ponto.

• Isolamento de rede: Use o egress gateway como ponto de saída centralizado para que os serviços da malha alcancem redes externas de forma controlada.

• Observabilidade de tráfego: Centralize o tráfego de saída em um único ponto para coletar métricas, logs e rastreamentos de todas as chamadas externas.

Limitações

• O Horizontal Pod Autoscaler (HPA) para egress gateways exige o ASM Enterprise Edition ou Ultimate Edition.

• Com o mutual TLS (mTLS) ativado, pods sem sidecar proxies não conseguem rotear tráfego pelo egress gateway.

Pré-requisitos

Antes de começar, verifique se você tem:

• Um cluster Container Service for Kubernetes (ACK) adicionado à sua instância do ASM. Para mais informações, consulte O cluster foi adicionado à instância do ASM.

Criar um egress gateway no console do ASM

1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

2. Na página Mesh Management, clique em Mesh Management. No painel de navegação à esquerda, escolha ASM Gateways > Egress Gateway.

3. Na página Egress Gateway, clique em Create.

4. Configure os parâmetros básicos descritos na tabela a seguir.

   Nota

   Para definir o egress gateway via YAML, clique em Create from YAML na página Egress Gateway. Para descrições dos campos, consulte Campos CRD para um gateway do ASM.

   Parâmetro	Descrição
   Name	Nome do egress gateway.
   Cluster	Cluster onde implantar o egress gateway.
   Port Mapping	Portas a expor. Defina Protocol e Service Port para cada entrada. Duas portas comuns aparecem por padrão. Mantenha, remova ou adicione portas conforme necessário.
   Resources Limits	Limites de CPU e memória para o pod do egress gateway.
   Gateway instances	Número de réplicas de pod para o egress gateway.

5. (Opcional) Clique em Advanced Options e configure os parâmetros descritos na tabela a seguir.

   Importante

   Com o mutual TLS ativado, pods sem sidecar proxies não podem acessar serviços externos pelo egress gateway.

   Parâmetro	Descrição
   HPA	Ative o Horizontal Pod Autoscaler (HPA) para dimensionar réplicas de pod automaticamente com base no uso de recursos. Configure os seguintes subparâmetros: Monitoring items e Threshold — as réplicas aumentam quando a métrica ultrapassa o limiar e diminuem quando ficam abaixo dele. Se você definir limiares tanto para utilização de CPU quanto para uso de memória, qualquer métrica que exceder seu respectivo limiar acionará o dimensionamento. Maximum replicas — limite superior de réplicas de pod. Minimum number of replicas — limite inferior de réplicas de pod. Requer ASM Enterprise Edition ou Ultimate Edition.
   Rolling Upgrade	Habilite atualizações contínuas para o egress gateway. Configure os seguintes subparâmetros: Maximum number of unavailable instances — número máximo de pods que podem ficar indisponíveis durante uma atualização, garantindo a continuidade do serviço. Exceeding the desired number of instances — quantidade máxima de pods extras permitidos durante uma atualização. Por exemplo, 25% significa que a contagem de pods não pode exceder 125% do número desejado de réplicas.
   Deploy ASM Gateway replicas as widely as possible	Defina podAntiAffinity para agendar os pods do gateway preferencialmente em nós diferentes e melhorar a disponibilidade.
   Custom Deployment Policy	Configure os campos nodeSelector, tolerations e affinity para o egress gateway. Para descrições dos campos, consulte Campos CRD para um gateway do ASM.
   Support two-way TLS authentication	Ative o mutual TLS (mTLS) entre os sidecar proxies e o egress gateway. O mTLS permite impor políticas de autorização no tráfego de saída com base em identidades de serviço verificadas.

6. Clique em Create. Quando o status do gateway mudar para Running, o egress gateway estará pronto. O campo Service address exibe o endereço IP do egress gateway.

Gerenciar um egress gateway

Após criar um egress gateway, gerencie-o pelo console do ASM.

Visualizar um egress gateway no console do ACK

Os detalhes do egress gateway também estão disponíveis no console do ACK.

Próximos passos

• Configurar um egress gateway para rotear todo o tráfego de saída no ASM — Defina regras de roteamento para direcionar o tráfego de saída pelo egress gateway.

• Usar uma política de tráfego de saída para gerenciar o tráfego de saída — Personalize o gerenciamento do tráfego de saída com a CustomResourceDefinition (CRD) ASMEgressTrafficPolicy.

• Observabilidade — Monitore o tráfego que passa pelo egress gateway.

• Segurança de tráfego e carregamento dinâmico de certificados — Proteja o tráfego de saída com certificados TLS.

• Visão geral dos gateways do ASM — Conheça todos os tipos e recursos dos gateways do ASM.

Referências

• API CreateASMGateway — Crie um egress gateway programaticamente.

• Campos CRD para um gateway do ASM — Referência completa dos campos CRD para gateways do ASM.