Alibaba Cloud Service Mesh:Improve availability and elasticity with an ASM Serverless gateway

Pré-requisitos

• Um cluster ACK foi adicionado à sua instância do ASM com versão 1.18.0.147 ou posterior.

• Uma aplicação foi implantada no cluster adicionado à instância do ASM.

Cenários

Os gateways serverless do ASM ajudam a lidar com picos de tráfego, melhoram a estabilidade do sistema e mantêm os custos de computação baixos. Eles são comuns nos seguintes cenários:

• Serviços online com flutuações evidentes de tráfego, como educação online e e-commerce, podem usar gateways serverless do ASM para lidar com picos de tráfego. A arquitetura serverless reduz significativamente a quantidade de recursos fixos e diminui os custos de computação.

• Quando vários clusters são adicionados a uma instância do ASM (por exemplo, dois clusters ACK), os gateways serverless do ASM são implantados independentemente de um cluster ACK específico. Isso proporciona alta disponibilidade.

Etapa 1: Criar um gateway de entrada serverless do ASM

Atualmente, você só pode criar um gateway serverless do ASM por meio de um arquivo YAML. Comparado a um gateway padrão do ASM executado em um cluster ACK do plano de dados, o gateway serverless do ASM exige a anotação asm.alibabacloud.com/managed-by-asm: 'true' e não requer um ID de cluster ACK. Para coletar métricas, use a anotação asm.alibabacloud.com/export-metrics para exportar as métricas do gateway para um cluster ACK de destino no plano de dados.

1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha ASM Gateways > Ingress Gateway.

3. Na página Ingress Gateway, clique em Create from YAML. Insira um nome para o gateway, use a configuração YAML abaixo e clique em Create.

   apiVersion: istio.alibabacloud.com/v1beta1
   kind: IstioGateway
   metadata:
     annotations:
       asm.alibabacloud.com/managed-by-asm: 'true'
       asm.alibabacloud.com/export-metrics: 'ack-cluster-id'
     name: ingressgateway
     namespace: istio-system
   spec:
     gatewayType: ingress
     dnsPolicy: ClusterFirst
     externalTrafficPolicy: Local
     hostNetwork: false
     ports:
       - name: http
         port: 80
         protocol: TCP
         targetPort: 80
       - name: https
         port: 443
         protocol: TCP
         targetPort: 443
     replicaCount: 1
     resources:
       limits:
         cpu: '2'
         memory: 2G
       requests:
         cpu: 200m
         memory: 256Mi
     rollingMaxSurge: 100%
     rollingMaxUnavailable: 25%
     runAsRoot: true
     serviceType: LoadBalancer

   Nota: O gateway serverless do ASM criado oferece suporte a serviços LoadBalancer e ClusterIP. Se você definir o parâmetro serviceType como ClusterIP, certifique-se de que os pods do cliente e do gateway estejam interconectados. Por exemplo, por padrão, pods na mesma virtual private cloud (VPC) podem acessar uns aos outros usando o plug-in Terway.

Etapa 2: Criar uma regra de tráfego

1. Crie um nome de domínio HTTP.

   1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha ASM Gateways > Ingress Gateway.

   3. Na página Ingress Gateway, clique em gateway de destino. No painel de navegação à esquerda do gateway, clique em Domain/Certificate. Na aba Domain, clique em Create.

   4. No painel Add domain, defina Domain como *, Protocol como HTTP, Port Name como http e port como 80. Em seguida, clique em Create.

2. Importe o serviço productpage.

   1. No painel de navegação à esquerda do gateway, clique em Upstream Service e depois em Import service.

   2. No painel Import service, selecione o namespace default, selecione productpage, clique em ícone e clique em Submit.

3. Crie uma regra de roteamento.

   1. No painel de navegação à esquerda do gateway, clique em Route management e depois em Create.

   2. Na etapa set route detail, defina route type como http, Namespaces como default e Route Name como productpage. Na seção Matching Rules, defina matchRules como Prefix e Content como /. Em seguida, clique em Next.

   3. Na etapa set route destination, defina select upstream service como productpage e clique em Next.

   4. Na etapa Advanced Options, clique em Create.

Etapa 3: Acessar o serviço productpage pelo gateway serverless do ASM

Na barra de endereços do navegador, insira {Gateway IP address}/productpage para visualizar a interface da aplicação. Para obter o endereço IP do gateway, consulte Obter o endereço IP de um gateway de entrada.

Etapa 4: Configurar o recurso de coleta de logs de acesso do gateway serverless do ASM

1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha ASM Gateways > Ingress Gateway.

3. Na página Ingress Gateway, localize o gateway de destino e clique em View YAML na coluna Actions. No editor YAML, adicione a anotação asm.alibabacloud.com/aliyun-logs-project: k8s-log-**** para especificar um projeto do Log Service.

   Neste exemplo, os logs de acesso do gateway serverless do ASM são coletados no projeto mesh-log-c4e1bbed247634d0482000d94e947****. O bloco de código a seguir fornece as configurações de amostra:

   Show the ingressgateway.yaml file

   apiVersion: istio.alibabacloud.com/v1beta1
   kind: IstioGateway
   metadata:
     annotations:
       asm.alibabacloud.com/managed-by-asm: 'true'
       asm.alibabacloud.com/aliyun-logs-project: mesh-log-c4e1bbed247634d0482000d94e947****
     name: ingressgateway
     namespace: istio-system
   spec:
    ....

4. Clique em OK para atualizar o gateway serverless.

Etapa 5: Configurar acesso via HTTPS

1. Execute os comandos a seguir para gerar um certificado de Autoridade Certificadora (CA).

   openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -subj '/O=myexample Inc./CN=aliyun.com' -keyout aliyun.root.key -out aliyun.root.crt 
   openssl req -out aliyun.com.csr -newkey rsa:2048 -nodes -keyout aliyun.com.key -subj "/CN=aliyun.com/O=myexample organization"
   openssl x509 -req -days 365 -CA aliyun.root.crt -CAkey aliyun.root.key -set_serial 0 -in aliyun.com.csr -out aliyun.com.crt

2. Configure o certificado.

   1. Faça login no console do ASM. No painel de navegação à esquerda, escolha Service Mesh > Mesh Management.

   2. Na página Mesh Management, clique em nome da instância do ASM. No painel de navegação à esquerda, escolha ASM Gateways > Certificate Management.

   3. Na página Certificate Management, clique em Create. No painel Certificate Information, configure os parâmetros e clique em OK.

      Parâmetro	Descrição
      Name	Nome do certificado. Para este exemplo, insira myexample-credential.
      Public Key Certificate	Documento eletrônico usado para provar a validade da chave pública. Para este exemplo, insira o conteúdo do arquivo aliyun.com.crt gerado na subetapa 1 da Etapa 5.
      Private Key	Chave privada. Para este exemplo, insira o conteúdo do arquivo aliyun.com.key gerado na subetapa 1 da Etapa 5.

3. Crie um nome de domínio HTTPS.

   1. No painel de navegação à esquerda, clique em Ingress Gateway. Clique em gateway de destino. No painel de navegação à esquerda do gateway, clique em Domain/Certificate. Na aba Domain, clique em Create.

   2. No painel Add domain, defina Domain como *, Protocol como HTTPS, Port Name como https e port como 443. Para Certificate, selecione myexample-credential. Selecione Secure connections with standard TLS semantics. e clique em Create.

4. Execute o comando a seguir para acessar o gateway serverless do ASM via HTTPS:

   curl -k -H Host:aliyun.com --resolve aliyun.com:443:{IP address of the desired ASM serverless gateway}  https://aliyun.com/productpage -I

Etapa 6: Visualizar os logs de acesso do gateway serverless do ASM

1. Faça login no console do Simple Log Service.

2. Na área Projects, clique em nome do log de destino (o nome do log configurado na Etapa 4.1). Na barra de navegação à esquerda, clique em ícone (Log Storage). Na lista Logstore, clique em mesh-ingress-log. Na caixa de pesquisa, insira productpage e clique em Search & Analyze.

   Os resultados da consulta mostram os logs de acesso do istio-ingressgateway. No campo content de uma entrada de log, um route_name igual a productpage e um response_code igual a 503 indicam que o gateway retornou uma resposta 503 para essa rota.

Perguntas frequentes