Instalação e configuração do service mesh

Importante:

As permissões de instalação são relevantes apenas se você não puder fornecer privilégios de administrador ao instalador do Automation Suite. Se você puder fornecer os privilégios de administrador necessários ao instalador, você não precisará seguir as instruções nesta seção.

O Automation Suite requer o service mesh do Istio para o Ingress e a rede.

A Red Hat fornece o OpenShift Service Mesh, que depende do Istio internamente.

A instalação e a configuração do service mesh é um processo de várias etapas. Qual das etapas que você deve executar depende de se você pode ou não conceder privilégios de administrador ao instalador do Automation Suite sobre seu cluster. Para obter detalhes, consulte a seguinte tabela:

Etapa	Privilégios de administrador	Sem privilégios de administrador
Etapa 1: instalar o service mesh	Etapa obrigatória	Etapa obrigatória
Etapa 2: Configurando o Istio e instalando o plug-in HASM para roteamento	Etapa não necessária	Etapa obrigatória
Etapa 3: Configurando o Istio para várias instalações em um único cluster	Etapa não necessária	Etapa obrigatória

Etapa 1: instalar o service mesh

Observação:

Antes de selecionar um procedimento de instalação, revise a matriz de compatibilidade do OpenShift Service Mesh para confirmar quais versões do OSSM são compatíveis com seu Automation Suite na versão OpenShift.

Para instalar o OpenShift Service Mesh, consulte o procedimento que se aplica à versão que você usa:

• Instalando o OpenShift Service Mesh 2.x
• Instalando o OpenShift Service Mesh 3.x

Observação:

O Automation Suite não requer aplicativos como o Kiali e o Jaeger. No entanto, você pode usá-los como quiser.

A UiPath® não tem uma opinião sobre a configuração do Operador do Service Mesh para ser executado em qualquer nó.

Instalando o OpenShift Service Mesh 2.x

Para instalar o OpenShift Service Mesh 2.x, siga as instruções na documentação do OpenShift Service Mesh.

Para criar o Plano de controle do OpenShift Service Mesh, siga as instruções na documentação do Plano de controle do OpenShift Service Mesh. Certifique-se de executar também as seguintes etapas:

1. Instale a nova instância do plano de controle do service mesh no namespace <istio-system> .

2. Use o modo ClusterWide para o plano de controle do service mesh. Para o modo MultiTenant , consulte o ponto 3 nesta página. O seguinte bloco deve estar presente na seção spec do recurso ServiceMeshControlPlane :

   gateways:
     enabled: true
     openshiftRoute:
       enabled: true
   mode: ClusterWide
   

   Para desabilitar a rota OpenShift, consulte o ponto 4 nesta página.

3. Você pode usar o modo MultiTenant para o plano de controle da malha de serviço. Esse cenário requer que você crie explicitamente uma lista de membros da malha de serviço, conforme mostrado na seguinte amostra:

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: <istio-system>
   spec:
     members:
       - <uipath>
   

4. Você também tem a opção de desabilitar a rota OpenShift. No entanto, essa escolha vem com a responsabilidade adicional de criar manualmente uma rota para o FQDN. Para a criação manual de rotas, consulte o seguinte exemplo:

   kind: Route
   apiVersion: route.openshift.io/v1
   metadata:
     name: uipath-route
     namespace: <istio-system>
     labels:
       app: istio-ingressgateway
       app.kubernetes.io/part-of: istio
       app.kubernetes.io/instance: <istio-system>
       maistra.io/owner-name: basic
       release: istio
       app.kubernetes.io/version: 2.6.1-1-1
       app.kubernetes.io/component: istio-ingress
       maistra-version: 2.6.1
       istio: ingressgateway
       app.kubernetes.io/managed-by: maistra-istio-operator
       maistra.io/owner: <istio-system>
       istio.io/rev: basic
       app.kubernetes.io/name: istio-ingress
   spec:
     to:
       kind: Service
       name: istio-ingressgateway
     tls:
       termination: passthrough
       insecureEdgeTerminationPolicy: Redirect
     host: <fqdn>
     port:
       targetPort: https
     alternateBackends: []
   

   AVISO:

   Desabilitar a rota OpenShift levará ao seguinte erro ao executar as verificações de pré-requisitos:

   ❌ [ISTIO_SERVICEMESH_VALIDATION_URL_ACCESS] error accessing the url. unexpected status code: 503
   

Instalação de uma versão específica do OpenShift Service Mesh

Use um arquivo YAML para instalar uma versão específica do OpenShift Service Mesh (OSSM). O seguinte arquivo de exemplo instala a versão 2.4.5 do OSSM:

apiVersion: operators.coreos.com/v1alpha1
kind: Subscription
metadata:
  name: servicemeshoperator
  namespace: openshift-operators
spec:
  channel: stable
  installPlanApproval: Manual
  name: servicemeshoperator
  source: redhat-operators
  sourceNamespace: openshift-marketplace
  startingCSV: servicemeshoperator.v2.4.5

Se você planeja instalar uma versão diferente do OSSM, substitua servicemeshoperator.v2.4.5 pelo valor correto para sua versão no arquivo YAML. Por exemplo, para instalar a versão 2.5.0 do OSSM, insira servicemeshoperator.v2.5.0.

Para instalar o OSSM, execute o seguinte comando:

oc apply -f <yaml>

Substitua o espaço reservado <yaml> no comando de exemplo pelo nome do seu arquivo YAML.

Importante:

Depois de instalar o OSSM, você deve aprovar manualmente a instalação.

No console do OpenShift, acesse Operadores > Operadores instalados > Serviceme Shopator > 1 requer aprovação > Visualizar Plano de Instalação > Aprovar.

Instalando o OpenShift Service Mesh 3.x

Antes de instalar o OpenShift Service Mesh 3.x, certifique-se de que:

• Você instalou ou atualizou para uma versão do Automation Suite compatível. Para obter detalhes, consulte a matriz de compatibilidade.
• Você tem permissões de administrador do cluster do OpenShift.
• Você pode acessar o console da Web OpenShift.
• Você tem o nome de domínio (FQDN) usado para o roteamento do Automation Suite.
• Você tem o OpenShift CLI (oc) instalado em sua estação de trabalho.

O processo de instalação do OpenShift Service Mesh 3.x implanta os seguintes componentes:

• Operador do Service Mesh - Gerencia o ciclo de vida do service mesh.
• Plano de controle do Istio - Fornece o plano de dados principais e a funcionalidade do plano de controle.
• Plug-in do Istio CNI - Configura e impõe regras de rede em malha.
• Gateway de entrada — expõe os aplicativos do Automation Suite ao tráfego externo.
• Rotas - Forneça pontos de entrada para componentes do Automation Suite e pontos de extremidade de validação.

Para instalar o OpenShift Service Mesh 3.x, siga as instruções para instalar o operador do OperatorHub usando o console da Web OpenShift. Para obter detalhes, consulte a documentação do OpenShift Service Mesh.

Certifique-se de executar também as seguintes etapas:

1. Instale o operador do Service Mesh a partir do OperatorHub seguindo as instruções fornecidas na documentação do OpenShift Service Mesh.

2. Certifique-se de que o gateway de entrada inclua os rótulos corretos. Os rótulos devem corresponder aos valores que você passa como o seletor de gateway no arquivo input.json . Para verificar o rótulo do gateway de ingresso, execute:

   oc get pods -l istio=ingressgateway -n <istio-system>
   

3. Crie as rotas necessárias usando um arquivo YAML. O arquivo YAML deve definir caminhos para o ponto de extremidade principal do Automation Suite, o ponto de extremidade do Apps, o ponto de extremidade do Insights e o ponto de extremidade de validação. Para obter detalhes, consulte os seguintes exemplos:

   • Ponto de extremidade do Automation Suite:

     ---
     kind: Route
     apiVersion: route.openshift.io/v1
     metadata:
       name: uipath-route-https
       namespace: <istio-system>
     spec:
       host: <FQDN>
       to:
         kind: Service
         name: istio-ingressgateway # Istio Ingress gateway Service
       port:
         targetPort: https
       tls:
         termination: passthrough
         insecureEdgeTerminationPolicy: Redirect
     

   • Ponto de extremidade do Apps:

     ---
     kind: Route
     apiVersion: route.openshift.io/v1
     metadata:
       name: uipath-route-apps
       namespace: <istio-system>
     spec:
       host: apps.<FQDN>
       to:
         kind: Service
         name: istio-ingressgateway # Istio Ingress gateway Service
       port:
         targetPort: https
       tls:
         termination: passthrough
         insecureEdgeTerminationPolicy: Redirect
     

   • Ponto de extremidade do Insights:

     ---
     kind: Route
     apiVersion: route.openshift.io/v1
     metadata:
       name: uipath-route-insights
       namespace: <istio-system>
     spec:
       host: insights.<FQDN>
       to:
         kind: Service
         name: istio-ingressgateway # Istio Ingress gateway Service
       port:
         targetPort: https
       tls:
         termination: passthrough
         insecureEdgeTerminationPolicy: Redirect
     

   • ponto de extremidade de validação:

     ---
     kind: Route
     apiVersion: route.openshift.io/v1
     metadata:
       name: istio-validation-route
       namespace: <istio-system>
     spec:
       host: istio-validation.<FQDN> # Istio Ingress gateway Service
       to:
         kind: Service
         name: istio-ingressgateway
       port:
         targetPort: http2
     

   Esta rota é necessária para o PreReq Run. Se ausente, o OpenShift pode retornar o seguinte erro:

   ❌ [ISTIO_SERVICEMESH_VALIDATION_URL_ACCESS] error accessing the url. unexpected status code: 503

4. Aplique as definições de rota:

   oc apply -f routes.yaml
   

5. Verifique se as rotas foram criadas com sucesso:

   oc get routes -n <istio-system>
   

   Você deve ver as seguintes rotas:

   • uipath-route-https
   • uipath-route-apps
   • uipath-route-insights
   • istio-validation-route

AVISO:

A rota de validação é necessária. Se a rota estiver ausente, as verificações de pré-requisitos falharão com:

❌ [ISTIO_SERVICEMESH_VALIDATION_URL_ACCESS] error accessing the url. unexpected status code: 503

Fornecimento da configuração do Istio

Para fornecer a configuração do Istio, você deve definir os seguintes parâmetros no arquivo input.json :

"ingress": {
  "gateway_selector": {
    "istio": "ingressgateway"
  },
  "ingress_gateway_secret": "istio-ingressgateway-certs",
  "namespace": "<istio-system>"
},

Para obter mais informações sobre os parâmetros de configuração do Istio, consulte a seguinte tabela:

Parâmetro	Valor
ingress.gateway_selector.istio	Valor padrão: ingressgateway Esse é o rótulo padrão usado internamente pelo Automation Suite. No entanto, seu ambiente pode usar um rótulo diferente para o gateway do Istio ingress, dependendo de como o cluster foi configurado. Se você tiver alterado o valor, use o seguinte comando para obter o valor correto: oc -n <istio-system> get deploy istio-ingressgateway -o jsonpath="{.metadata.labels.istio}"; echo
ingress.ingress_gateway_secret	O nome do segredo que contém os arquivos de certificado. O valor padrão é istio-ingressgateway-certs .
ingress.namespace	O namespace onde você instalou o service mesh.

Etapa 2: Configurando o Istio e instalando o plug-in HASM para roteamento

Visão geral

Importante:

Esta etapa requer privilégios de administrador para instalação no namespace do Istio.

Há duas maneiras de realizar a instalação:

• Opção A: se você não puder fornecer as permissões que o instalador do Automation Suite requer, você deverá executar essa etapa antes da instalação do Automation Suite.
• Opção B: durante a instalação do Automation Suite. Este método requer que o arquivo Kubeconfig que você usa durante a instalação do Automation Suite tenha as permissões necessárias. Para revisar as permissões, consulte a seção Concedendo permissões de instalação . Se você puder fornecer todas as permissões necessárias, pule esta etapa.

Pré-requisitos

Antes de configurar o Istio e instalar o plug-in do HASM para roteamento, você deve atender aos seguintes pré-requisitos:

• Use uma máquina Linux, Windows ou macOS com acesso ao servidor da API OpenShift Kubernetes.

• Instale o cliente OpenShift CLI em sua máquina. Para obter detalhes, consulte Openshift CLI (oc).

• Instale o Helm 3.14 ou mais recente na máquina na qual você planeja instalar o plug-in do HASM e autentique o Helm em seu registro privado. Para instalar e autenticar o Helm, execute as seguintes etapas:

  1. Baixe e instale os binários do Helm em sua máquina. Para obter detalhes, consulte a documentação do Helm.

  2. Autentique o Helm em seu registro seguindo as instruções na documentação do Helm. Como alternativa, use o seguinte comando, substituindo os valores de exemplo por sua URL e credenciais de registro reais:

     helm registry login my.registry.io:443 --username "admin" --password "secret"
     

Configuração e instalação

Para configurar o Istio e instalar o plug-in do HASM para roteamento, siga as seguintes etapas:

1. Crie um imagepullsecret no namespace onde você instalou o service mesh. Para criar o imagepullsecret, use seu fluxo de trabalho típico ou siga as seguintes etapas:

   registry= <registry_url> #provide the registry where the UiPath images are hosted
   username= <user_name> #provide the username which will be used for the authentication
   password= <password> #provide the password which will be used for the authentication
   namespace= <namespace> #namespace where you want to create a secret
   
   oc create secret docker-registry uipathpullsecret --namespace=${namespace} \
     --docker-server=${registry} --docker-username=${username} \
     --docker-password=${password} --dry-run=client -o yaml \
     | oc apply -f -
   

2. Puxe o gráfico de helm para um diretório local, <uipath-istio-configure>:

   helm pull oci://<docker-registry>/helm/istio-configure --version <istio-configure-version> \
   --untar --untardir <uipath-istio-configure>
   

   O seguinte exemplo mostra o comando após substituir os placeholders por valores reais:

   helm pull oci://registry.mycompany.com/helm/istio-configure --version 2024.10.0 \
   --untar --untardir uipath-istio-configure
   

3. Crie um arquivo de valores de parâmetro a ser aplicado durante a instalação do Helm de istio-configure. Use o exemplo a seguir como um modelo para o arquivo e substitua os placeholders <fqdn>, <cluster_type>, <pullsecret>, <registry>, e <uipath_namespace> com valores apropriados:

   fqdn: <fqdn>    #the FQDN of the Automation Suite
   gateway:
     selector:
       istio: ingressgateway
   global:
     cluster_type: <cluster_type>    # REQUIRED. Example: eks, aks, openshift
     kubernetesDistribution: <cluster_type>  # REQUIRED. Example: eks, aks, openshift
     imagePullSecret:
       name: <pullsecret>    #name of pull secret which you had create earlier
   minProtocolVersion: TLSV1_2   #TLS versions
   uipath:
     registry: <registry>    #registry url without the protocol 
   uipathServiceNamespace: <uipath_namespace>   #namespace where the uipath application is deployed
   patchIstioService: false
   wasm:
     image:
       pullSecret: <pullsecret>    #name of pull secret which you had create earlier
       registry: oci://<registry>   #registry url without the protocol
   

4. Instale istio-configure no namespace do Istio usando o Helm. No seguinte comando, substitua o placeholder <istio_namespace> pelo namespace no qual o Istio está instalado, e o <path_to_the_values_yaml> pelo local do arquivo YAML que contém os valores dos parâmetros:

   helm upgrade --debug --install --wait custom-istio-configure \
     uipath-istio-configure/istio-configure --version 2024.10.0 \
     --namespace <istio_namespace> -f <path_to_the_values.yaml>
   

5. Se você usar um registro que não esteja assinado por uma autoridade conhecida, você deve adicionar a variável de ambiente WASM_INSECURE_REGISTRIES à implantação do istio-ingressgateway , para que o Istio possa extrair a imagem que o plug-in do WCS usa. Para adicionar a variável de ambiente, execute o comando a seguir:

   oc -n <istio-system> patch deployment istio-ingressgateway --type="json" --patch='[{"op":"add", "path": "/spec/template/spec/containers/0/env/-", "value": {"name": "WASM_INSECURE_REGISTRIES", "value": "customer-registry.com"}}]'
   

6. Adicione istio-configure à seção exclude_components em seu arquivo input.json .

7. Crie segredos de certificado usando o nome fornecido em ingress.ingress_gateway_secret dentro do namespace. <istio-system>

Observação:

Se você atualizar o FQDN após a instalação, você deve reconfigurar o Istio e o plug-in do Warm, a menos que o instalador do Automation Suite tenha privilégios administrativos. Para reconfigurar, você deve seguir as seguintes etapas:

1. Atualize o arquivo de valores de parâmetros mencionado naEtapa 3 com o novo FQDN.
2. Repita todas as etapas para configurar o Istio e instalar o plug-in do HASM para o roteamento.

Etapa 3: Configurando o Istio para várias instalações em um único cluster

Para configurar o Istio para várias instalações do Automation Suite em um único cluster do OpenShift, você deve adicionar vários custom-istio-configure que contêm o FQDN e recursos para diferentes instâncias do Automation Suite. Você deve preencher os valores do helm que correspondam à sua segunda ou qualquer instalação subsequente.

Você deve criar valores istio-configure diferentes para cada instalação:

 fqdn: <fqdn-for-second-installation>    #the FQDN of the Automation Suite
gateway:
  selector:
    istio: ingressgateway
global:
  cluster_type: <cluster_type>    # REQUIRED. Example: eks, aks, openshift
  imagePullSecret:
    name: <pullsecret>    #name of pull secret which you had create earlier
minProtocolVersion: TLSV1_2   #TLS versions
uipath:
  registry: <registry>    #registry url without the protocol 
uipathServiceNamespace: <second-installation-namespace>   #namespace where the uipath application is deployed
patchIstioService: false
wasm:
  image:
    pullSecret: <pullsecret>    #name of pull secret which you had create earlier
    registry: oci://<registry>   #registry url without the protocol

Você deve alterar o nome de custom-istio-configure para <namespace>-custom-istio-configure. Ele deve ser instalado no namespace replicado no qual a segunda instalação é executada.

 helm upgrade --debug --install --wait <namespace>-custom-istio-configure \
  uipath-istio-configure/istio-configure --version 2024.10.0 \
  --namespace <istio_namespace> -f <path_to_the_values.yaml>