規劃安裝作業
本頁面提供相關資訊，協助您規劃在 GKE 上安裝叢內 Cloud Service Mesh。
自訂控制層
Cloud Service Mesh 支援的功能因平台而異。建議您查看支援的功能，瞭解平台支援哪些功能。部分功能預設為啟用，其他功能則可選擇啟用，方法是建立 IstioOperator 疊加檔案。執行 asmcli install 時，您可以透過疊加檔案指定 --custom_overlay 選項，自訂控制層。最佳做法是將重疊檔案儲存在版本管控系統中。
GitHub 上的
anthos-service-mesh
套件包含許多疊加檔案。這些檔案包含預設設定的常見自訂項目。您可以直接使用這些檔案，或視需要進行其他變更。部分檔案是啟用選用 Cloud Service Mesh 功能的必要條件。執行 asmcli驗證專案和叢集時，系統會下載 anthos-service-mesh 套件。
使用 asmcli install 安裝 Cloud Service Mesh 時，您可以透過 --option 或 --custom_overlay 指定一或多個疊加檔案。如果不需要變更 anthos-service-mesh 存放區中的檔案，可以使用 --option，指令碼會從 GitHub 為您擷取檔案。否則，您可以變更疊加層檔案，然後使用 --custom_overlay 選項將其傳遞至 asmcli。
選擇憑證授權單位
視您的用途和平台而定，您可以選擇下列任一項做為憑證授權單位 (CA)，核發相互傳輸層安全標準 (mTLS) 憑證：
本節將概略介紹這些 CA 選項及其用途。
網狀 CA
除非您需要自訂憑證授權單位，否則建議使用 Cloud Service Mesh 憑證授權單位，原因如下：
- Cloud Service Mesh 憑證授權單位是高度可靠且可擴充的服務，專為動態擴充的工作負載進行最佳化。
- 透過 Cloud Service Mesh 憑證授權單位，Google 會管理 CA 後端的安全性和可用性。
- Cloud Service Mesh 憑證授權單位可讓您在叢集之間，依賴單一信任根。
Cloud Service Mesh 憑證授權單位核發的憑證包含應用程式服務的下列資料：
- 專案 ID Google Cloud
- GKE 命名空間
- GKE 服務帳戶名稱
CA 服務
除了 Cloud Service Mesh 憑證授權單位，您也可以設定 Cloud Service Mesh 使用憑證授權單位服務。本指南提供與 CA 服務整合的機會，建議用於下列用途：
- 您需要在不同叢集上，使用不同的憑證授權單位簽署工作負載憑證。
- 如需在 Cloud HSM 中備份簽署金鑰。
- 如果您所處的產業受到嚴格監管，且須遵守法規。
- 如要將 Cloud Service Mesh CA 鏈結至自訂企業根憑證，以簽署工作負載憑證。
Cloud Service Mesh 憑證授權單位的費用已包含在 Cloud Service Mesh 定價中。CA 服務不包含在 Cloud Service Mesh 基本價格中，而是另外計費。此外，CA 服務提供明確的服務水準協議，但 Cloud Service Mesh 憑證授權單位則沒有。
Istio CA
如果符合下列條件，建議使用 Istio CA：
- 您的網格已使用 Istio CA，且不需要 Cloud Service Mesh 憑證授權單位或 CA 服務提供的優點。
- 您需要自訂根層級 CA。
- 您有工作負載，其中不適用於Google Cloud管理的 CA 服務。Google Cloud
準備閘道設定
使用 Cloud Service Mesh 時，您可以選擇將閘道做為服務網格的一部分來部署及管理。閘道是指在網格邊緣運作的負載平衡器，負責接收傳入或傳出網格的 HTTP/TCP 連線。換句話說，閘道其實就是 Envoy Proxy，能讓您精細控管進出網格的流量。
asmcli 不會安裝 istio-ingressgateway。建議您分別部署及管理控制層和閘道。詳情請參閱「安裝及升級閘道」。