Ringkasan Ambient Networking

Jaringan ambient GKE menyediakan model deployment tanpa sidecar yang disederhanakan untuk mesh layanan dengan kemampuan Lapisan 4. Dengan memindahkan fungsi proxy ke komponen tingkat node yang terintegrasi ke dalam GKE Dataplane V2 (DPv2), ambient networking mengurangi overhead resource, menghilangkan mulai ulang workload untuk update proxy, dan menyederhanakan pengelolaan siklus proses mesh.

Kemampuan

Pratinjau jaringan ambient GKE mendukung fungsi mesh Lapisan 4 cluster tunggal:

  • Mutual TLS (mTLS): menerapkan transit terenkripsi dan autentikasi identitas.
  • Penemuan layanan: menemukan layanan dan merutekan koneksi secara otomatis di seluruh workload.
  • Pengelolaan Traffic Lapisan 4: melakukan load balancing dan merutekan traffic TCP.
  • Telemetri Lapisan 4: memancarkan metrik traffic jaringan, koneksi, dan error ke Cloud Observability. Untuk mengetahui detail tentang cara memvisualisasikan dan menganalisis metrik ini, lihat Ringkasan Pemantauan Layanan Jaringan.

Manfaat jaringan ambient

Dibandingkan dengan arsitektur mesh layanan berbasis sidecar, jaringan ambien menawarkan beberapa keunggulan operasional dan resource utama:

  • Pengelolaan siklus proses yang disederhanakan: menghilangkan model shared fate antara proxy sidecar dan container aplikasi. Anda dapat menerapkan update proxy, patch keamanan, dan upgrade di tingkat node tanpa memulai ulang Pod workload atau menyebabkan periode nonaktif aplikasi.

  • Pengurangan konsumsi resource: menggabungkan proxy ke dalam instance tingkat node bersama, sehingga mengurangi overhead CPU dan memori hingga 90% dibandingkan dengan model sidecar.

  • Penghapusan risiko sidecar: menyelesaikan masalah sidecar umum seperti kerentanan proxy-bypass container, gangguan koneksi persisten, dan propagasi penghentian koneksi yang tidak dapat diandalkan.

  • Integrasi platform Cloud de Confiance by S3NS native: terintegrasi secara native dengan GKE Dataplane V2 (DPv2), Workload Identity Terkelola, Certificate Authority Service (CAS), dan Google Cloud Observability.

Interoperabilitas dan cakupan

Selama pratinjau ambient networking ini, perhatikan batasan cakupan dan interoperabilitas berikut:

  • Persyaratan Gateway API: Ambient Networking memerlukan Gateway API. API Istio tidak didukung.
  • Interoperabilitas workload: workload yang terdaftar dalam jaringan ambient tidak dapat berinteroperasi dengan workload yang diinjeksikan sidecar (di GKE, Compute Engine, atau Cloud Run) atau workload gRPC tanpa proxy.

Arsitektur dan komponen

Jaringan ambient terintegrasi langsung ke GKE Dataplane V2 (DPv2) di setiap node, bukan memasukkan sidecar Envoy ke Pod workload.

Komponen bidang kontrol yang ada

Ambient networking mengandalkan komponen bidang kontrol untuk mendistribusikan kebijakan, menerjemahkan konfigurasi, dan menerbitkan sertifikat:

  • Traffic Director: menyediakan bidang kontrol xDS untuk distribusi kebijakan dan konfigurasi pemilihan rute.
  • GKE Gateway Controller: menerjemahkan resource kustom Kubernetes menjadi konfigurasi Traffic Director.
  • Certificate Authority Service (CAS): menerbitkan sertifikat identitas X.509 untuk workload menggunakan Managed Workload Identity.
  • Bidang Kontrol Cluster GKE: menyetujui Certificate Signing Request (CSR) dan merutekannya ke CAS.

Komponen node

Ambient networking menginstal komponen per node berikut untuk mengintersepsi dan mem-proxy traffic workload secara langsung di setiap node cluster:

  • Plugin NRI ambient GKE: Plugin Node Resource Interface (NRI) yang mengonfigurasi jaringan tingkat rendah untuk menangkap dan mengalihkan traffic Pod ke proxy.

  • Proxy ambient GKE: proxy level node yang mengelola soket pemantauan, menerima aturan xDS dari Traffic Director, mengambil sertifikat identitas X.509 sesuai permintaan dari Control Plane GKE, dan mem-proxy traffic Lapisan 4.

Komponen dataplane ambien tingkat node berjalan sebagai DaemonSet di namespace gke-managed-ambient dan secara otomatis diberi versi, di-patch, dan diupgrade bersama dengan bidang kontrol GKE.

Skala dan batas target

Selama pratinjau, Ambient Networking memiliki batasan cakupan dan interoperabilitas berikut:

Metrik resource GKE DPv2 (dengan ambient) DPv2 GKE standar (tanpa ambient)
Node per cluster 500 7.500
Service per cluster 300 10.000
Pod per cluster 5.000 200.000
Max Pods per node 256 256

Untuk kuota cluster GKE umum, lihat batas cluster dan spesifikasi GKE Dataplane V2 GKE.

Harga

Tinjau detail berikut terkait harga dan biaya resource operasional untuk jaringan ambien:

  • Semua Pod di namespace mana pun dengan label ambient networking.gke.io/dataplane-mode=ambient akan ditagih sebesar $0,004 per jam ($0,00006667 per menit atau sekitar $2,90 per bulan). Penagihan tidak akan diberlakukan selama pratinjau.
  • Biaya penggunaan standar untuk Cloud Observability (Cloud Monitoring/Cloud Logging) dan Certificate Authority Service berlaku.

Memahami resource Gateway API

Saat Anda menggunakan Ambient Networking, resource kustom Kubernetes Gateway API yang Anda kelola di cluster akan otomatis diterjemahkan menjadi serangkaian resourceCloud de Confiance by S3NS API terkelola.

Fungsi Resource API Cloud de Confiance by S3NS terkelola Cakupan Kardinalitas
Mesh Mesh Regional 1 per cluster
Perutean layanan TCPRoute Regional 1 per cluster, ditambah 1 per Service yang ditargetkan oleh GCPClientTLSPolicy
Representasi layanan BackendService Regional 1 per cluster
Autentikasi klien ClientTlsPolicy Regional 1 per cluster
Autentikasi server ServerTlsPolicy Regional 3 per cluster
Autentikasi server EndpointPolicy Regional 1 per GCPServerTLSPolicy, ditambah 1 per mode mTLS yang berbeda di portOverrides-nya
Otorisasi AuthzPolicy Regional 1 per Pod targetRef di setiap GCPAuthzPolicy dengan enforcementLevel: L4
Pemilihan rute egress EgressRouting Regional 1 per namespace yang memiliki GCPEgressPolicy

Langkah berikutnya