检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
网格管理 续费网格 按需转包周期 变更规格 网格事件 专有版转基础版 退订与卸载 父主题: 用户指南(新版)
灰度发布 灰度发布概述 创建灰度任务 灰度任务基本操作 父主题: 用户指南(新版)
安全 配置安全策略 JWT认证原理 在ASM中对入口网关进行JWT请求认证 父主题: 用户指南(新版)
金丝雀升级 金丝雀升级步骤 升级前检查说明 控制面升级说明 数据面升级说明 升级后处理说明 父主题: 升级
监控中心 流量监控 访问日志 应用拓扑 父主题: 用户指南(新版)
应用场景 服务灰度发布 服务流量管理 端到端的透明安全 服务运行监控 传统微服务SDK结合
应用服务网格权限管理是通过IAM统一身份认证里的委托实现的,而2024年7月前已进行授权的用户可能存在委托权限过大的问题,鉴于安全考虑,建议通过下文指导进行委托的权限收缩。 操作步骤 登录IAM控制台。 在左侧菜单栏单击委托,在搜索框中,搜索asm_admin_trust,单击搜索出来的委托名称。 单击进入“授权记录”页签,删除所有权限。
账单管理”查看资源的费用账单,以了解该资源在某个时间段的使用量和计费信息。 账单上报周期 包年/包月计费模式的资源完成支付后,会实时上报一条账单到计费系统进行结算。 按需计费模式的资源按照固定周期上报使用量到计费系统进行结算。按需计费模式产品根据使用量类型的不同,分为按小时、按天
群之间网络互通,可以处于同一VPC内,也可以将多个集群的VPC通过其他方式(对等连接、云连接等)连通。 集群的服务网段、容器网段不能和网格内已选集群的服务网段、容器网段冲突。如果集群和网格内的已选集群处于不同的VPC,集群的子网网段也不能冲突。 同一网格最多只能添加五个集群。 在
部署ASM-PROXY 为了兼容不同虚拟机操作系统的版本差异,ASM-PROXY以Docker镜像的方式进行部署。部署流程如图1所示。 图1 ASM-PROXY部署流程 准备工作 已购买CCE集群,已在集群中创建虚拟机服务使用的命名空间(假设为vmns),已在该命名空间创建容器服务。具体操作请参见购买CCE集群。
计费单位为实例数(网格的CCE集群中Pod数量)。请参考计费项。 如需了解实际场景下的计费样例以及各计费项在不同计费模式下的费用计算过程,请参见计费样例。 续费 包年/包月在到期后会影响应用服务网格的的正常运行。如果您想继续使用应用服务网格,需要在规定的时间内为应用服务网格进行
com域名,通过更改host可以切换不同的流量。 业务切流 在本地host将域名对应的ELB IP地址改为新的ELB IP。 本地验证功能,验证成功后修改DNS 配置,将域名解析IP地址改为新ELB的IP。 迁移 登录应用服务网格控制台,单击待迁移的企业版网格名称进入网格详情页面,在
API从Istiod传送到网关或工作负载。 网关或工作负载部署应该只能访问存储在其命名空间内的Kubernetes Secret中的凭证(TLS证书和私钥)。但是,Istiod中的一个错误允许授权客户端访问和检索缓存在Istiod中的任何TLS证书和私钥。 受影响版本 参考触发场景 补丁修复版本 ASM
永久生效。 asm_admin_trust包含的权限有:Tenant Guest和CCE FullAccess。在2024年7月前已进行授权的用户可能存在委托权限过大的问题,鉴于安全考虑,建议参考asm用户委托权限收缩指南进行委托的权限收缩。
IP互相访问。这对集群的网络模型有比较高的要求,使用的限制也比较多。首先,集群必须使用“容器对接ENI”的网络模型,才能够实现实例(Pod)之间通过IP访问。其次,多个集群要处于同一VPC,或多个集群的VPC通过其他方式(对等连接等)打通。而且,集群的网络要有统一的规划,多个集群的子网网段、容器网段、服务网段都不能冲突。
表现,在保证系统整体稳定运行的前提下,尽早发现新版本在实际环境上的问题。 金丝雀发布的特点: 通过在线上运行的服务中,新加入少量的新版本的服务,然后从这少量的新版本中快速获得反馈,根据反馈决定最后的交付形态。 蓝绿发布 蓝绿发布提供了一种零宕机的部署方式。不停老版本,部署新版本进
个东西向流量的转发网关,实现非扁平网络集群间的通信。 图2 非扁平网络 相比于扁平网络,非扁平网络的使用约束少: 所有集群VPC之间的网络需要互通,可以处于同一VPC内,也可以将多个集群的VPC通过其他方式(对等连接、云连接等)连通。 对等连接可参考:创建同一账户下的对等连接。 云连接可参考:同区域同账号VPC互通。
选择好集群后,按照集群的网络模型或实际的通信需求选择集群的网络类型(要求网格版本为1.8.4-r3及以上)。网络类型分为扁平网络和非扁平网络,如果是非扁平网络,还要为集群配置一个东西向流量的私网ELB,作为其他集群的访问入口。 关于扁平网络和非扁平网络的介绍以及如何选型请参见扁
执行如下命令: #查看老ELB IP grep -i "老ELB IP" *.yaml #ELB IP 替换 sed -i 's/老ELB IP/新ELB IP/g' *.yaml #ELB ID 替换 sed -i 's/老ELB ID/新ELB ID/g' *.yaml
在这个过程中,重点是第六步,原来服务端的JWT认证功能迁移到了网格代理上。网格数据面从控制面配置的认证策略中获取验证JWT令牌的公钥,可以是jwks(JSON Web Key Set)上配置的公钥,也可以是从jwksUri配置的公钥地址获取到的公钥。获得公钥后,网格代理使用该公钥对认证服务私钥签名的令牌进行验