Documentation de référence de l'API Cloud Run

Cette page fournit une référence des API utilisées pour configurer Cloud Service Mesh pour les charges de travail Cloud Run.

API Cloud Run

API v1

Cloud Service Mesh est activé à l'aide d'une annotation de niveau de révision. La valeur de cette annotation est le nom du réseau en arrière-plan du cluster Istio Cloud Service Mesh.

API v2

Cloud Service Mesh est activé à l'aide du champ serviceMesh dans la ressource Service.

API Istio Cloud Service Mesh

API VirtualService

Istio Auto mTLS et dénomination sécurisée

Actuellement, Cloud Service Mesh est compatible avec le protocole TLS mutuel Istio automatique et le nom de domaine sécurisé pour les requêtes entre les services GKE.

Pour la version Preview, les charges de travail autres que GKE qui communiquent avec des charges de travail/services GKE n'utiliseront pas le mTLS automatique Istio ni le nom sécurisé. Le trafic sera au format texte brut. Assurez-vous que les services GKE disposent d'une règle mTLS permissive (qui est la valeur par défaut de l'API Istio) qui accepte le trafic mTLS des charges de travail GKE et le texte brut des charges de travail autres que GKE.

Utilisez la commande suivante pour vérifier si PeerAuthentication est en mode permissif:

# list PeerAuthentication resources in a namespace
# If no PeerAuthentication resource exists in the namespace, 
# then it's PERMISSIVE mode (Istio API default)
kubectl get PeerAuthentication -n $NAMESPACE

# for each of the above run the following command
kubectl get PeerAuthentication $PEER-AUTHN -n $NAMESPACE

# Expected Output is as follows:
# MTLS Mode must be PERMISSIVE.
# If the output says STRICT, then please update the policy to PERMISSIVE.
apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: $PEER-AUTHN
  namespace: $NAMESPACE
spec:
  mtls:
    mode: PERMISSIVE

Télémétrie MeshConfig

Cloud Service Mesh est compatible avec l'API de télémétrie MeshConfig pour activer et désactiver Cloud Logging et Cloud Monitoring pour les charges de travail GKE. Cela fonctionne de la même manière pour les charges de travail autres que GKE.

Règle de destination

Pour la version Preview, le ciblage DestinationRule des services virtuels "external-mesh" sera pris en charge, à l'exception des champs suivants: trafficPolicy.tls

API Sidecar

L'API Sidecar ne s'applique pas aux charges de travail autres que GKE. Les charges de travail autres que GKE pourront voir tous les services virtuels de portée "external-mesh" sans être filtrés par des règles de visibilité Sidecar.

API de sécurité : règles d'autorisation et d'authentification des requêtes

Elles ne s'appliquent pas aux charges de travail autres que GKE qui agissent en tant que clients envoyant du trafic sortant. Ils continueront d'appliquer les charges de travail GKE qui reçoivent du trafic entrant.

API GCPBackend