1.3. Service Mesh 3.x と OpenShift Serverless の統合

手順

1. 競合するゲートウェイを確認します。

   コマンドの例

   $ oc get gateway -A -o jsonpath='{range .items[*]}{@.metadata.namespace}{"/"}{@.metadata.name}{" "}{@.spec.servers}{"\n"}{end}' | column -t

   出力例

   knative-serving/knative-ingress-gateway  [{"hosts":["*"],"port":{"name":"https","number":443,"protocol":"HTTPS"},"tls":{"credentialName":"wildcard-certs","mode":"SIMPLE"}}]
   knative-serving/knative-local-gateway    [{"hosts":["*"],"port":{"name":"http","number":8081,"protocol":"HTTP"}}]

   このコマンドは、knative-serving 内の Gateways と別の Service Mesh インスタンスの一部である Gateways を除き、port: 443 と hosts: ["*"] をバインドする Gateway を返してはなりません。

   注記

   Serverless が属するメッシュは個別である必要があり、できれば Serverless ワークロード専用に予約されている必要があります。これは、Gateways などの追加設定が Serverless ゲートウェイ knative-local-gateway および knative-ingress-gateway に干渉する可能性があるためです。Red Hat OpenShift Service Mesh では、1 つのゲートウェイのみが同じポート (port: 443) 上でワイルドカードホストバインディング (hosts: ["*"]) を要求できます。別のゲートウェイがすでにこの設定をバインドしている場合は、Serverless ワークロード用に別のメッシュを作成する必要があります。

手順

1. 次の設定で、istio-system namespace に Istio リソースを作成します。

   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     values:
       meshConfig:
         defaultConfig:
           terminationDrainDuration: 35s
     updateStrategy:
       inactiveRevisionDeletionGracePeriodSeconds: 30
       type: InPlace
     namespace: istio-system
     version: v1.26-latest

2. 次のコマンドを実行して、istio-system というプロジェクトを作成します。

   $ oc new-project istio-system

3. 次のコマンドを実行して、Istio カスタムリソース (CR) を適用します。

   $ oc apply -f istio.yaml

4. 次の設定で、istio-cni namespace に IstioCNI リソースを作成します。

   apiVersion: sailoperator.io/v1
   kind: IstioCNI
   metadata:
     name: default
   spec:
     namespace: istio-cni
     version: v1.26-latest

5. 以下のコマンドを実行して istio-cni というプロジェクトを作成します。

   $ oc new-project istio-cni

6. 次のコマンドを実行して、IstioCNI CR を適用します。

   $ oc apply -f istio-cni.yaml

7. 次の設定で、gateway-deploy.yaml という名前のファイルを作成します。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: knative-istio-ingressgateway
     namespace: knative-serving-ingress
   spec:
     selector:
       matchLabels:
         knative: ingressgateway
     template:
       metadata:
         annotations:
           inject.istio.io/templates: gateway
         labels:
           knative: ingressgateway
           sidecar.istio.io/inject: "true"
       spec:
         containers:
           - name: istio-proxy
             image: auto
   
   ---
   # Set up roles to allow reading credentials for TLS
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: istio-ingressgateway-sds
     namespace: knative-serving-ingress
   rules:
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["get", "watch", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: istio-ingressgateway-sds
     namespace: knative-serving-ingress
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: istio-ingressgateway-sds
   subjects:
     - kind: ServiceAccount
       name: default

   • spec.template.metadata.annotations.inject.istio.io/templates は、デフォルトのサイドカーテンプレートではなく、ゲートウェイインジェクションテンプレートを指定します。
   • spec.template.metadata.labels.knative は、ゲートウェイの一意のラベルを定義します。これは、ゲートウェイがこのワークロードを選択できるようにするために必要です。
   • spec.template.metadata.labels.sidecar.istio.io/inject は、ゲートウェイの挿入を有効にします。
   • spec.template.spec.containers.image は、Pod が起動するたびにイメージが自動的に更新されるようにします。

8. 次のコマンドを実行して、リソースを適用します。

   $ oc apply -f gateway-deploy.yaml

9. 次の設定で serving-gateways.yaml という名前のファイルを作成し、Knative Serving コンポーネントのゲートウェイリソースを作成します。

   ###########################################################
   # cluster external
   ###########################################################
   apiVersion: v1
   kind: Service
   metadata:
     name: knative-istio-ingressgateway
     namespace: knative-serving-ingress
   spec:
     type: ClusterIP
     selector:
       knative: ingressgateway
     ports:
       - name: http2
         port: 80
         targetPort: 8080
       - name: https
         port: 443
         targetPort: 8443
   ---
   apiVersion: networking.istio.io/v1beta1
   kind: Gateway
   metadata:
     name: knative-ingress-gateway
     namespace: knative-serving
   spec:
     selector:
       knative: ingressgateway
     servers:
       - hosts:
           - '*'
         port:
           name: https
           number: 443
           protocol: HTTPS
         tls:
           credentialName: wildcard-certs
           mode: SIMPLE
   ---
   ###########################################################
   # cluster local
   ###########################################################
   apiVersion: v1
   kind: Service
   metadata:
     labels:
       experimental.istio.io/disable-gateway-port-translation: "true"
     name: knative-local-gateway
     namespace: knative-serving-ingress
   spec:
     ports:
       - name: http2
         port: 80
         protocol: TCP
         targetPort: 8081
     selector:
       knative: ingressgateway
     type: ClusterIP
   ---
   apiVersion: networking.istio.io/v1beta1
   kind: Gateway
   metadata:
     name: knative-local-gateway
     namespace: knative-serving
   spec:
     selector:
       knative: ingressgateway
     servers:
       - hosts:
           - '*'
         port:
           name: http
           number: 8081
           protocol: HTTP

10. 次のコマンドを実行して、リソースを適用します。

    $ oc apply -f serving-gateways.yaml

11. 次の設定で、istio-system namespace に PeerAuthentication リソースを作成し、メッシュ全体で mTLS を適用します。

    apiVersion: security.istio.io/v1
    kind: PeerAuthentication
    metadata:
      name: mesh-mtls
      namespace: istio-system
    spec:
      mtls:
        mode: STRICT

12. 次のコマンドを実行して、リソースを適用します。

    $ oc apply -f peerauth.yaml

手順

1. 次の KnativeServing カスタムリソースを使用して Knative Serving をインストールします。これにより、Istio 統合が有効になります。

   knative-serving-config.yaml 設定ファイルの例

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
     annotations:
       serverless.openshift.io/disable-istio-net-policies-generation: "true"
   spec:
     ingress:
       istio:
         enabled: true 

   1

   
     deployments: 

   2

   
     - name: activator
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: autoscaler
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     config:
       istio: 

   3

   
         gateway.knative-serving.knative-ingress-gateway: istio-ingressgateway.<your-istio-namespace>.svc.cluster.local
         local-gateway.knative-serving.knative-local-gateway: knative-local-gateway.<your-istio-namespace>.svc.cluster.local

   1

   Istio 統合を有効にします。

   2

   Knative Serving データプレーン Pod のサイドカーの注入を有効にします。

   3

   istio が istio-system namespace で実行されていない場合は、これら 2 つのフラグを正しい namespace で設定する必要があります。

2. KnativeServing リソースを適用します。

   $ oc apply -f knative-serving-config.yaml

3. 次の KnativeEventing オブジェクトを使用して Knative Eventing をインストールします。これにより、Istio 統合が有効になります。

   knative-eventing-config.yaml 設定ファイルの例

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeEventing
   metadata:
     name: knative-eventing
     namespace: knative-eventing
     annotations:
       serverless.openshift.io/disable-istio-net-policies-generation: "true"
   spec:
     config:
       features:
         istio: enabled
     workloads:
       - name: pingsource-mt-adapter
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
   
       - name: imc-dispatcher
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
   
       - name: mt-broker-ingress
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
   
       - name: mt-broker-filter
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
   
       - name: job-sink
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"

   • spec.config.features.istio は、Eventing Istio コントローラーが、InMemoryChannel または KafkaChannel サービスごとに DestinationRule を作成できるようにします。
   • spec.workload は、Knative Eventing Pod のサイドカー挿入を有効にします。

4. KnativeEventing リソースを適用します。

   $ oc apply -f knative-eventing-config.yaml

5. 次の KnativeKafka カスタムリソースを使用して Knative Kafka をインストールします。これにより、Istio 統合が有効になります。

   knative-kafka-config.yaml 設定ファイルの例

   apiVersion: operator.serverless.openshift.io/v1alpha1
   kind: KnativeKafka
   metadata:
     name: knative-kafka
     namespace: knative-eventing
   spec:
     channel:
       enabled: true
       bootstrapServers: <bootstrap_servers> 

   1

   
     source:
       enabled: true
     broker:
       enabled: true
       defaultConfig:
         bootstrapServers: <bootstrap_servers> 

   2

   
         numPartitions: <num_partitions>
         replicationFactor: <replication_factor>
       sink:
         enabled: true
     workloads: 

   3

   
     - name: kafka-controller
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-broker-receiver
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-broker-dispatcher
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-channel-receiver
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-channel-dispatcher
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-source-dispatcher
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: kafka-sink-receiver
       labels:
         "sidecar.istio.io/inject": "true"
       annotations:
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1 2

   Apache Kafka クラスター URL (例: my-cluster-kafka-bootstrap.kafka:9092)。

   3

   Knative Kafka Pod のサイドカーインジェクションを有効にします。

6. KnativeEventing オブジェクトを適用します。

   $ oc apply -f knative-kafka-config.yaml

7. ServiceEntry をインストールして、KnativeKafka コンポーネントと Apache Kafka クラスターとの間の通信を Service Mesh に通知します。

   kafka-cluster-serviceentry.yaml 設定ファイルの例

   apiVersion: networking.istio.io/v1alpha3
   kind: ServiceEntry
   metadata:
     name: kafka-cluster
     namespace: knative-eventing
   spec:
     hosts: 

   1

   
       - <bootstrap_servers_without_port>
     exportTo:
       - "."
     ports: 

   2

   
       - number: 9092
         name: tcp-plain
         protocol: TCP
       - number: 9093
         name: tcp-tls
         protocol: TCP
       - number: 9094
         name: tcp-sasl-tls
         protocol: TCP
       - number: 9095
         name: tcp-sasl-tls
         protocol: TCP
       - number: 9096
         name: tcp-tls
         protocol: TCP
     location: MESH_EXTERNAL
     resolution: NONE

   1

   Apache Kafka クラスターホストのリスト (例: my-cluster-kafka-bootstrap.kafka)。

   2

   Apache Kafka クラスターリスナーポート。

   注記

   spec.ports にリストされているポートは、TPC ポートの例です。実際の値は、Apache Kafka クラスターの設定方法によって異なります。

8. ServiceEntry リソースを適用します。

   $ oc apply -f kafka-cluster-serviceentry.yaml

手順

1. 次のコマンドを入力して、Istio コンポーネントが実行されていることを確認します。

   $ oc get pods -n istio-system

2. 次のコマンドを入力して、Istio CNI コンポーネントが実行されていることを確認します。

   $ oc get pods -n istio-cni

3. 次のコマンドを入力して、Knative コンポーネントが実行されていることを確認します。

   $ oc get pods -n knative-serving

4. 以下のコマンドを入力して、ゲートウェイサービスが存在することを確認します。

   $ oc get svc -n knative-serving-ingress

5. 次のコマンドを入力して、テスト namespace を作成します。

   $ oc new-project demo

6. サンプル Knative サービスマニフェストを作成し、以下の設定で hello-service.yaml として保存します。

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     annotations:
       serving.knative.openshift.io/enablePassthrough: "true"
     name: hello-service
     namespace: demo
   spec:
     template:
       metadata:
         labels:
           sidecar.istio.io/inject: "true"
         annotations:
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
       spec:
         containers:
           - image: quay.io/openshift-knative/showcase

   • serving.knative.openshift.io/enablePassthrough: "true" は、Istio ゲートウェイを介した TLS パススルーを許可するように Ingress を設定します。
   • sidecar.istio.io/inject: "true" により、Istio プロキシーが挿入されます。
   • sidecar.istio.io/rewriteAppHTTPProbers: "true" は、Knative ヘルスプローブを mTLS と連携させます。

7. 以下のコマンドを入力して Knative サービスを適用します。

   $ oc apply -f hello-service.yaml

8. 次のコマンドを入力して、サイドカーの挿入および Pod の準備状態を確認します。

   $ oc get pods -n demo

   $ oc get pod -n demo -l serving.knative.dev/service=hello-service -o jsonpath='{.items[0].spec.containers[*].name}{"\n"}'

9. 次のコマンドを入力して、サービス URL を取得します。

   $ oc get ksvc hello-service -n demo -o jsonpath='{.status.url}{"\n"}'

10. 以下のコマンドのいずれかを入力して、サービスを呼び出します。

    • オプション A: Ingress ドメインに信頼できる証明書が設定されている場合は、フロングリングコマンドを入力します。

      $ curl https://$(oc get ksvc hello-service -n demo -o jsonpath='{.status.url}' | sed 's#https://##')

    • オプション B: カスタム証明書または自己署名証明書を使用している場合は、次のコマンドを入力して、-k を使用するか、CA ファイルに --cacert <path> を指定します。

      $ curl  --cacert <path_to_your_CA_file> https://$(oc get ksvc hello-service -n demo -o jsonpath='{.status.url}' | sed 's#https://##')

      次の例のような出力が表示されます。

      {"artifact":"knative-showcase","greeting":"Welcome"}

      JSON の正確な値が変わる可能性がありますが、応答では knative-showcase アプリケーションが正常に実行されていることを示すはずです。