Citadel#xff1a;istio中负责身份认证和证书管…istio

控制平面

Pilot管理和配置部署在特定istio服务网格中的所有sidecar代理实例管理sidecar代理之间的路由流量规则并配置故障恢复功能如超时、重试、熔断。

Citadelistio中负责身份认证和证书管理的核心安全组件1.5之后的版本取消啦其独立进程作为模块整合进istiod

证书签发机构CASDS服务器负责密钥和证书管理API服务器将安全配置分发给数据平面将证书以secret的形式挂载到命名空间客户端、服务端通过代理进行安全通信Envoy代理管理遥测和审计

Galley早版本只负责配置验证1.1之后升级为整个控制平面的配置管理中心不仅提供配置验证还负责配置管理和分发。

通过网格配置协议和其他组件进行配置交互。

数据平面

服务发现、健康检测、流量路由、负载均衡、身份认证和授权、链路追踪

手动sidecar注入istioctl

istio-injectionenabled全局注入kubectl

edit

istio-sidecar-injector修改namespaceSelector配置如果某个命名空间不想自动注入则加上istio-injectiondisabled标签即可

init容器isto-init用于设置pod中的iptables端口的转发

sidecar容器istio-proxy运行sidecar代理如envoy或Mosn

sidecar(envoy启动配置)

初始化配置文件/etc/istio/proxy/envoy-rev0.json

node区域包含envoy所在节点的相关信息ID、所属集群、IPadmin区域Envoy的日志路径及管理端口dynamic_resources动态资源来自xDS服务器下发的配置static_resources静态资源包括预制的Listener和Clustertracing分布式调用追踪的配置

全局配置curl

http:127.0.0.1:15000/config_dump

BootstrapConfigDump即为上述初始化配置文件内容ClusterConfigDump集群配置包括对应于外部服务的Outbound

Cluster和自身所在节点服务的InboundListenersConfigDump监听器配置包括用于堆外业务请求的Outbound

ListenerRoutesConfigDump路由配置用于HTTP请求的路由配置SecretConfigDumpTLS双向认证的配置包括自身的证书以及用于验证请求方的CA根证书

VirtualService用于控制流量转发规则及api粒度治理功能配置timeout和retry实现超时、重试配置fault实现故障注入DestinationRule定义路由的目标服务和流量策略在此资源的Traffic

Policy中设置熔断、健康检查配置ServiceEntry注册外部服务到网格内Gateway用来控制进出网格的流量包括入口和出口网关Sidercar用sidecar代理进行整体设置WorkloadEntry/WorkloadGroup将虚拟机接入网格。

最新版本curl

PATHPATH:PATH:PATH:(pwd)/istio-1.11.2/bindemo配置安装istioistioctl

install

mutatingwebhookconfigurations数据平面升级kubectl

label

istio.io/revcanary(先去除istio-injection标签因为此标签优先级高于canary)重新注入sidecarkubectl

rollout

upgrade安装时使用-f升级也要用安装时使用–set,升级时也要用同样标志。

3、重新注入sidecarkubectl

3、升级过程中服务可能会发生中断保证除citadel以外组件至少两个副本在运行

相关资源之间联系

gateway中的spec.server.port与ingressgateway的svc的port对应gateway中的spec.selector与标签选中的ingressgateway的pod联系设置下发代理vituralservice中的spec.gateways

与对应的gateway联系DestinationRule中的spec.subsets(子集)定义啦vitualservice中的spec.http.route.destination.subsetDestinationRule在vitualservice路由规则生效后使用应用于真实的目标地址DestinationRule中的subsets通过标签匹配pod

virtualservice的spec.hosts和serviceEntry的spec.hosts一致则可以实现对外部服务的访问规则设置