Руководство по установке#

В руководстве приведены инструкции по установке компонента Сервисный прокси (SVPX).

Термины и определения#

Системные требования#

Настройки безопасности окружения и перечень платформенных (дополнительных внешних) продуктов, используемых для установки, настройки и контроля в конечной информационной системе (далее — ИС), выбираются клиентом при разработке конечной ИС, исходя из характера обрабатываемой в ней информации и иных требований информационной безопасности (далее — ИБ), предъявляемых к ней.

Системное программное обеспечение#

Ниже представлены категории системного программного обеспечения (далее — ПО), которые обязательны или опциональны для установки, настройки, контроля и функционирования компонента. В каждой категории перечислены все поддерживаемые продукты сторонних правообладателей. Отдельно обозначены варианты, которые рекомендует АО «СберТех» (маркировка «Рекомендовано» в столбце «Продукт, функциональная совместимость с которым подтверждена»). Клиенту необходимо выбрать один из продуктов в каждой категории, исходя из условий использования конечной ИС.

Примечание:

*

• Да — категория ПО обязательна для функционирования сервиса (это означает, что сервис не может выполнять свои основные функции без установки данной категории ПО).

• Нет — категория ПО необязательна для функционирования сервиса (это означает, что сервис может выполнять свои основные функции без установки данной категории ПО).

**

• Рекомендовано — рекомендованный правообладателем АО «СберТех» продукт.

• Опционально — альтернативный по отношению к рекомендованному правообладателем АО «СберТех» продукт.

Платформенные зависимости#

У компонента SVPX реализована интеграция со следующими компонентами из состава продукта:

Для настройки, контроля и функционирования компонента SVPX реализована интеграция с программными продуктами, правообладателем которых является АО «СберТех»:

Примечание:

***

• Да — компонент или продукт необходим для функционирования сервиса (это означает, что сервис не может выполнять свои основные функции без установки данного компонента).

• Нет — необязательный для функционирования сервиса компонент или продукт (это означает, что сервис может выполнять свои основные функции без установки данного компонента).

****

• Рекомендуется установка программного продукта, правообладателем которого является АО «СберТех», при этом не исключена возможность (допускается правообладателем) использования аналога других производителей. Аналоги, в отношении которых продукт успешно прошел испытания и подтвердил свою работоспособность, указаны в разделе «Системное программное обеспечение».

Аппаратные требования#

Для установки компонента требуется следующая конфигурация аппаратного обеспечения, рассчитанная в зависимости от схемы взаимодействия и количества TPS.

Процессор

CPU измеряется в милликорах (millicores). Один милликор равен 1⁄1000 ядра. 1000 милликоров = 1 ядро.

Память

Память измеряется в KБ, MБ, ГБ и TБ.

Единицы измерения:

• 1024 bytes = 1 KБ;

• 1024 KB = 1 MБ;

• 1024 MB = 1 ГБ;

• 1024 ГБ = 1 TБ.

На промышленных стендах для повышения надежности для критичных сервисов рекомендуется устанавливать request = limit.

Стандартные значения ресурсов сервисного прокси определенные в настройках контрольной панели (компонент POLM):

Примерные значения по ресурсам сервисного прокси в зависимости от нагрузки на прикладной сервис с инжектированным сервисным прокси:

Для сервисного прокси требуемые и максимальные значения задаются администраторами с помощью настроек контрольной панели (компонент POLM). Если требуется установить другие значения ресурсов сервисного прокси, то можно переопределить их с помощью аннотаций в Deployment прикладного сервиса.

Чтобы переопределить настройки по умолчанию, необходимо добавить аннотацию в Deployment прикладного сервиса:

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    metadata:
      annotations:
    sidecar.istio.io/inject: 'true'
    sidecar.maistra.io/proxyCPULimit: 300m
    sidecar.maistra.io/proxyMemoryLimit: 300Mi
    sidecar.istio.io/proxyCPU: 300m
        sidecar.istio.io/proxyMemory: 300Mi

Подготовка окружения#

Перед установкой проверьте соблюдение следующих условий:

1. Развернут и настроен кластер Kubernetes версии 1.19 и выше, в соответствии с требованиями, предъявляемыми к Платформе.

2. В кластере создан проект для развертывания контрольной панели (компонент POLM);

3. В кластере создан и подключен к контрольной панели (компонент POLM) прикладной проект. Действия по подключению проекта выполняют администраторы контрольной панели.

Установка#

Этот документ содержит названия переменных, которые применимы для различных сред контейнеризации, указанных в системных требованиях руководства по установке.

Установка платформенных зависимостей производится по инструкции, входящей в комплект соответствующих дистрибутивов.

Перед началом установки сервисного прокси необходимо убедиться в том, что в кластере платформы установлен компонент POLM, в состав которого входит докер-образ сервисного прокси.

Установка сервисного прокси представляет собой внедрение в Pod прикладного сервиса дополнительного контейнера (istio-proxy), функционирующего в режиме sidecar.

Чтобы установить в Pod прикладного сервиса контейнер с сервисным прокси, добавьте аннотацию в Deployment приложения прикладного сервиса. Проект прикладного сервиса при этом должен быть подключен к одной из контрольных панелей (компонент POLM), в соответствии с документацией на POLM.

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    metadata:
      annotations:
    sidecar.istio.io/inject: 'true'

Для внесения изменений в конфигурацию уже установленного проекта пользователь должен иметь права изменения ресурсов Deployment в проекте.

Обновление#

Все настройки сервисного прокси устанавливаются в проекте контрольной панели, в котором развернут сервис управления политиками (компонент POLM).

Именно сервис Управления политиками автоматически добавляет (инжектит) сервисный прокси в прикладной Pod. Для обновления сервисного прокси необходимо обновить сервис управления политиками (компонент POLM) на новую версию, чтобы он при инжекте вставлял новый образ сервисного прокси. Описание процесса обновления приведено в разделе «Обновление» документа «Руководство по установке» компонента POLM.

Для обновления сервисного прокси в приложении, требуется провести рестарт Pod, после чего новая версия сервисного прокси загрузится автоматически для всех прикладных сервисов, подключенных к контрольной панели. Рестарт может осуществляться с использованием различных стратегий, например, rolling update, в зависимости от требований приложений, запущенных в данном Pod.

Удаление#

Для удаления Sidecar istio-proxy из Pod прикладного сервиса необходимо отредактировать Deployment приложения прикладного сервиса и указать false в значении sidecar.istio.io/inject:

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    metadata:
      annotations:
    sidecar.istio.io/inject: 'false'

Для внесения изменений в конфигурацию уже установленного проекта пользователь должен иметь права изменения ресурсов Deployment в проекте.

Проверка работоспособности#

Проверка работоспособности платформенных зависимостей производится по инструкции, входящей в комплект соответствующих дистрибутивов.

1. Зайдите в нужный проект.

2. В меню выберите пункт Workload/Pods.

3. На странице найдите нужный Pod прикладного сервиса.

4. Нажмите на вкладку ⋮ и выберите Logs.

5. Выберите контейнер сервисного прокси (istio-proxy).

6. Проверьте, что в консоли нет ошибок.

7. Убедитесь, что есть строка Envoy proxy is ready (прокси готов к работе).

Также можно убедиться в том, что сам сервисный прокси запущен, путем просмотра статуса контейнера istio-proxy. Статусы Ready и Started должны быть в значении True.

Проверка работоспособности интеграций#

При реализации архитектуры с компонентами LOGA и MONA необходимо ознакомиться с методами проверки работоспособности в документации указанных компонентов.

Откат#

Откат сервисного прокси на предыдущую версию может быть выполнен только в рамках отката компонента POLM в контрольной панели. Описание процесса отката приведено в разделе «Откат» документа «Руководство по установке» компонента POLM.

Часто встречающиеся проблемы и пути их устранения#

Если указанные пути решения не помогли, обратитесь к системным администраторам контрольной панели.

Чек-лист валидации установки#

1. Слева в меню Workloads выберите раздел Pods.

2. В списке выберите Pod нужного прикладного сервиса и перейдите в него.

3. Проверьте, что на вкладке Details в разделе Containers появился контейнер с сервисным прокси (istio-proxy).

4. Проверьте интеграции компонента SVPX с внешними системами и компонентами. Порядок проверки приведен в подразделе «Проверка работоспособности интеграций».