サービス・メッシュのインストールと構成

Automation Suite では、イングレスとネットワーク用に Istio サービス メッシュが必要です。

Red Hat は、内部で Istio に依存する OpenShift Service Mesh を提供しています。

サービス メッシュのインストールと構成は、2 段階のプロセスです。 どの手順を実行する必要があるかは、クラスターに対する管理者権限を Automation Suite インストーラーに付与できるかどうかによって異なります。 詳しくは、以下の表をご覧ください。

手順	管理者権限	管理者権限なし
ステップ1: サービス・メッシュのインストール	必要な手順	必要な手順
手順 2: Istio を構成し、ルーティング用に WASM プラグインをインストールする	手順は不要	必要な手順

ステップ1: サービス・メッシュのインストール

OpenShift Service Mesh をインストールするには、 OpenShift Service Mesh ドキュメントの指示に従います。

注:

Automation Suite には、Kiali や Jaeger などのアプリケーションは必要ありません。 ただし、自分の裁量で使用できます。

UiPath® は、Service Mesh Operator を任意のノードで実行するように構成することについて意見を述べません。

OpenShift Service Mesh Control Plane を作成するには、 OpenShift Service Mesh Control Plane のドキュメントの指示に従います。 また、以下の手順も実行してください。

1. サービス メッシュ コントロール プレーンの新しいインスタンスを <istio-system> 名前空間にインストールします。
2. サービス メッシュ コントロール プレーンに ClusterWide モードを使用します。 対して MultiTenant モードについては、このページのポイント 3 を参照してください。 次のブロック の [spec] セクションに存在する必要があります。 リソースServiceMeshControlPlane

   gateways:
       enabled: true
       openshiftRoute:
         enabled: true
     mode: ClusterWide

   OpenShift ルートを無効にするには、このページのポイント 4 を参照してください。
3. サービス メッシュ コントロールには MultiTenant モードを使用できます 飛行機。 このシナリオでは、次のようにサービス・メッシュ・メンバー・ロールを明示的に作成する必要があります。 以下に示します 見本：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: <istio-system>
   spec:
     members:
       - <uipath>

4. また、OpenShift ルートを無効にするオプションもあります。 ただし、この選択には追加の責任が伴います FQDN のルートを手動で作成する。 手動ルートの作成については、次のサンプルを参照してください。

   kind: Route
   apiVersion: route.openshift.io/v1
   metadata:
     name: uipath-route
     namespace: <istio-system>
     labels:
       app: istio-ingressgateway
       app.kubernetes.io/part-of: istio
       app.kubernetes.io/instance: <istio-system>
       maistra.io/owner-name: basic
       release: istio
       app.kubernetes.io/version: 2.6.1-1-1
       app.kubernetes.io/component: istio-ingress
       maistra-version: 2.6.1
       istio: ingressgateway
       app.kubernetes.io/managed-by: maistra-istio-operator
       maistra.io/owner: <istio-system>
       istio.io/rev: basic
       app.kubernetes.io/name: istio-ingress
   spec:
     to:
       kind: Service
       name: istio-ingressgateway
     tls:
       termination: passthrough
       insecureEdgeTerminationPolicy: Redirect
     host: <fqdn>
     port:
       targetPort: https
     alternateBackends: []

   警告： OpenShift ルートを無効にすると、前提条件チェックの実行時に次のエラーが発生します。

   ❌ [ISTIO_SERVICEMESH_VALIDATION_URL_ACCESS] error accessing the url. unexpected status code: 503

特定のバージョンの OpenShift Service Mesh のインストール

YAML ファイルを使用して、特定のバージョンの OpenShift Service Mesh (OSSM) をインストールします。 次のサンプル ファイルは、OSSM バージョンをインストールします 2.4.5:

apiVersion: operators.coreos.com/v1alpha1
kind: Subscription
metadata:
  name: servicemeshoperator
  namespace: openshift-operators
spec:
  channel: stable
  installPlanApproval: Manual
  name: servicemeshoperator
  source: redhat-operators
  sourceNamespace: openshift-marketplace
  startingCSV: servicemeshoperator.v2.4.5

別の OSSM バージョンをインストールする場合は、YAML ファイルで servicemeshoperator.v2.4.5 をお使いのバージョンの正しい値に置き換えます。 たとえば、OSSM バージョン 2.5.0 をインストールするには、「 servicemeshoperator.v2.5.0と入力します。

OSSM をインストールするには、次のコマンドを実行します。

oc apply -f <yaml>

サンプル コマンドの <yaml> プレースホルダーを YAML ファイルの名前に置き換えます。

大事な： OSSM をインストールしたら、インストールを手動で承認する必要があります。

OpenShift コンソールで、 Operators > Installed Operators > Servicemeshoperator > 1 requires approval > Preview Install Plan > Approve に移動します。

Istio の構成を指定する

Istio の設定を行うには、input.json ファイルで以下のパラメーターを設定する必要があります。

"ingress": {
  "gateway_selector": {
    "istio": "ingressgateway"
  },
  "ingress_gateway_secret": "istio-ingressgateway-certs",
  "namespace": "<istio-system>"
},

Istio 構成パラメーターの詳細については、以下の表を参照してください。

パラメーター	値 (Value)
ingress.gateway_selector.istio	既定値: ingressgateway 値を変更した場合は、次のコマンドを使用して正しい値を取得します。 oc -n <istio-system> get deploy istio-ingressgateway -o jsonpath="{.metadata.labels.istio}"; echo
ingress.ingress_gateway_secret	証明書ファイルを含むシークレットの名前。 既定値は istio-ingressgateway-certsです。
ingress.namespace	サービス メッシュをインストールした名前空間。

手順 2: Istio を構成し、ルーティング用に WASM プラグインをインストールする

概要

重要:

この手順には、Istio 名前空間にインストールするための管理者権限が必要です。

インストールを実行するには、次の 2 つの方法があります。

• オプション A: Automation Suite インストーラーに必要な権限を付与できない場合は、Automation Suite のインストール前にこの手順を実行する必要があります。

• オプション B: Automation Suite のインストール中。 この方法では、Automation Suite のインストール時に使用する Kubeconfig ファイルに必要な権限が必要です。 権限を確認するには、「 インストール権限を付与する 」セクションをご覧ください。 必要な権限をすべて付与できる場合は、この手順をスキップします。

前提条件

Istio を構成し、ルーティング用の WASM プラグインをインストールする前に、以下の前提条件を満たす必要があります。

• OpenShift Kubernetes API サーバーにアクセスできる Linux、Windows、または macOS マシンを使用します。

• マシンに OpenShift CLI クライアントをインストールします。 詳細は、「 Openshift CLI (oc)」を参照してください。

• WASM プラグインをインストールし、プライベート レジストリに対して Helm を認証する予定のマシンに Helm 3.14 以降をインストールします。 Helm をインストールして認証するには、次の手順に従います。

  1. Helm バイナリをダウンロードしてマシンにインストールします。 詳しくは、 Helm のドキュメントをご覧ください。

  2. 「」の手順に従って、レジストリに対して Helm を認証します。 Helm のドキュメントまたは、次のコマンドを使用して、サンプルを置き換えます 値を実際のレジストリ URL に置き換え、 資格 情報：

     helm registry login my.registry.io:443 --username "admin" --password "secret"

構成とインストール

Istio を構成し、ルーティング用の WASM プラグインをインストールするには、次の手順を実行します。

1. サービス メッシュをインストールした名前空間に imagepullsecret を作成します。 imagepullsecretを作成するには、一般的なワークフローを使用するか、次の手順を実行します。

   registry= <registry_url> #provide the registry where the UiPath images are hosted
   username= <user_name> #provide the username which will be used for the authentication
   password= <password> #provide the password which will be used for the authentication
   namespace= <namespace> #namespace where you want to create a secret
   
   oc create secret docker-registry uipathpullsecret --namespace=${namespace} \
     --docker-server=${registry} --docker-username=${username} \
     --docker-password=${password} --dry-run=client -o yaml \
     | oc apply -f -

2. Helm チャートをローカル ディレクトリにプルします ( <uipath-istio-configure>)。

   helm pull oci://<docker-registry>/helm/istio-configure --version <istio-configure-version> \
   --untar --untardir <uipath-istio-configure>

   次の例は、プレースホルダーを置換した後のコマンドを示しています 実際の 価値観：

   helm pull oci://registry.mycompany.com/helm/istio-configure --version 2024.10.0 \
   --untar --untardir uipath-istio-configure

3. istio-configureの Helm インストール中に適用するパラメーター値ファイルを作成します。次のサンプルを ファイルのテンプレートとして使用し、 <fqdn>、 <pullsecret>、 <registry>、 <uipath_namespace> の各プレースホルダーを適切な値に置き換えます。

   fqdn: <fqdn>    #the FQDN of the Automation Suite
   gateway:
     selector:
       istio: ingressgateway
   global:
     imagePullSecret:
       name: <pullsecret>    #name of pull secret which you had create earlier
   minProtocolVersion: TLSV1_2   #TLS versions
   uipath:
     registry: <registry>    #registry url without the protocol 
   uipathServiceNamespace: <uipath_namespace>   #namespace where the uipath application is deployed
   patchIstioService: false
   wasm:
     image:
       pullSecret: <pullsecret>    #name of pull secret which you had create earlier
       registry: oci://<registry>   #registry url without the protocol

4. Helm を使用して、 istio-configure を Istio 名前空間にインストールします。 次のコマンドで、 <istio_namespace> プレースホルダーを Istio がインストールされている名前空間に置き換え、 <path_to_the_values_yaml> をパラメーター値を含む YAML ファイルの場所に置き換えます。

   helm upgrade --debug --install --wait custom-istio-configure \
     uipath-istio-configure/istio-configure --version 2024.10.0 \
     --namespace <istio_namespace> -f <path_to_the_values.yaml>

5. 既知の機関によって署名されていないレジストリを使用する場合は、 WASM_INSECURE_REGISTRIES 環境変数を istio-ingressgateway デプロイに追加して、WASM プラグインが使用するイメージを Istio がプルできるようにする必要があります。 環境変数を追加するには、次のコマンドを実行します。

   oc -n <istio-system> patch deployment istio-ingressgateway --type="json" --patch='[{"op":"add", "path": "/spec/template/spec/containers/0/env/-", "value": {"name": "WASM_INSECURE_REGISTRIES", "value": "customer-registry.com"}}]'

6. input.json ファイルの exclude_components セクションにistio-configureを追加します。
7. <istio-system> 名前空間内の ingress.ingress_gateway_secret で指定されている名前を使用して、証明書のシークレットを作成します。

注:

インストール後に FQDN を更新する場合は、次のいずれかのシナリオが適用されます。

• Automation Suite インストーラーに管理者権限を付与し、input.json ファイルのexclude_components リストに istio-configure コンポーネントを追加しなかった場合は、追加の手順を実行する必要はありません。
• Automation Suite インストーラーに管理者権限を付与せず、istio-configure コンポーネントを input.json ファイルのexclude_componentsリストに追加した場合は、次の手順を実行する必要があります。

  1. ポイント 3 で説明したパラメーター値ファイルを新しい FQDN で更新します。

  2. Istio を設定し、ルーティング用の WASM プラグインをインストールするためのすべての手順を繰り返します。