• Istio 中 sidecar 的注入及示例
    • Pod Spec 中需满足的条件
    • 将普通应用添加到 Istio service mesh 中
    • Sidecar 注入说明

    Istio 中 sidecar 的注入及示例

    注意：本文档已失效，请浏览 Istio 官方文档。本书中的 Service Mesh 章节已不再维护，请转到 istio-handbook 中浏览。

    我们知道 Istio 通过向 Pod 中注入一个 sidecar 容器来将 Pod 纳入到 Istio service mesh 中的，那么这些 sidecar 容器的注入遵循什么样的规范，需要给每个 Pod 增加哪些配置信息才能纳入 Istio service mesh 中呢？这篇文章将给您答案。

    Pod Spec 中需满足的条件

    为了成为 Service Mesh 中的一部分，kubernetes 集群中的每个 Pod 都必须满足如下条件，这些规范不是由 Istio 自动注入的，而需要 生成 kubernetes 应用部署的 YAML 文件时需要遵守的：

    1. Service 关联：每个 pod 都必须只属于某一个 Kubernetes Service （当前不支持一个 pod 同时属于多个 service）。
    2. 命名的端口：Service 的端口必须命名。端口的名字必须遵循如下格式 <protocol>[-<suffix>]，可以是 http、http2、 grpc、 mongo、 或者 redis 作为 <protocol> ，这样才能使用 Istio 的路由功能。例如 name: http2-foo 和 name: http 都是有效的端口名称，而 name: http2foo 不是。如果端口的名称是不可识别的前缀或者未命名，那么该端口上的流量就会作为普通的 TCP 流量来处理（除非使用 Protocol: UDP 明确声明使用 UDP 端口）。
    3. 带有 app label 的 Deployment：我们建议 kubernetes 的Deploymenet 资源的配置文件中为 Pod 明确指定 applabel。每个 Deployment 的配置中都需要有个与其他 Deployment 不同的含有意义的 app label。app label 用于在分布式追踪中添加上下文信息。
    4. Mesh 中的每个 pod 里都有一个 Sidecar：最后，Mesh 中的每个 pod 都必须运行与 Istio 兼容的 sidecar。以下部分介绍了将 sidecar 注入到 pod 中的两种方法：使用istioctl 命令行工具手动注入，或者使用 Istio Initializer 自动注入。注意 sidecar 不涉及到流量，因为它们与容器位于同一个 pod 中。

    将普通应用添加到 Istio service mesh 中

    Istio官方的示例Bookinfo中并没有讲解如何将服务集成 Istio，只给出了 YAML 配置文件，而其中需要注意哪些地方都没有说明，假如我们自己部署的服务如何使用 Istio 呢？现在我们有如下两个普通应用（代码在 GitHub 上），它们都不具备微服务的高级特性，比如限流和熔断等，通过将它们部署到 kubernetes 并使用 Istio 来管理：

    • k8s-app-monitor-test：用来暴露 json 格式的 metrics
    • k8s-app-monitor-agent：访问上面那个应用暴露的 metrics 并生成监控图

    这两个应用的 YAML 配置如下，其中包含了 Istio ingress 配置，并且符合 Istio 对 Pod 的 spec 配置所指定的规范。

    k8s-app-monitor-istio-all-in-one.yaml文件

    1. apiVersion: extensions/v1beta1
    2. kind: Deployment
    3. metadata:
    4.   annotations:
    5.     kompose.cmd: kompose convert -f docker-compose.yaml
    6.     kompose.version: 1.10.0 ()
    7.   creationTimestamp: null
    8.   labels:
    9.     app: k8s-app-monitor-agent
    10.   name: k8s-app-monitor-agent
    11. spec:
    12.   replicas: 1
    13.   template:
    14.     metadata:
    15.       creationTimestamp: null
    16.       labels:
    17.         app: k8s-app-monitor-agent
    18.     spec:
    19.       containers:
    20.       - env:
    21.         - name: SERVICE_NAME
    22.           value: k8s-app-monitor-test
    23.         image: jimmysong/k8s-app-monitor-agent:749f547
    24.         name: monitor-agent
    25.         ports:
    26.         - containerPort: 8888
    27.       restartPolicy: Always
    28. ---
    29. apiVersion: v1
    30. kind: Service
    31. metadata:
    32.   annotations:
    33.     kompose.cmd: kompose convert -f docker-compose.yaml
    34.     kompose.version: 1.10.0 ()
    35.   creationTimestamp: null
    36.   labels:
    37.     app: k8s-app-monitor-agent
    38.   name: k8s-app-monitor-agent
    39. spec:
    40.   ports:
    41.   - name: "http"
    42.     port: 8888
    43.     targetPort: 8888
    44.   selector:
    45.     app: k8s-app-monitor-agent
    46. ---
    47. apiVersion: extensions/v1beta1
    48. kind: Deployment
    49. metadata:
    50.   annotations:
    51.     kompose.cmd: kompose convert -f docker-compose.yaml
    52.     kompose.version: 1.10.0 ()
    53.   creationTimestamp: null
    54.   labels:
    55.     app: k8s-app-monitor-test
    56.   name: k8s-app-monitor-test
    57. spec:
    58.   replicas: 1
    59.   template:
    60.     metadata:
    61.       creationTimestamp: null
    62.       labels:
    63.         app: k8s-app-monitor-test
    64.     spec:
    65.       containers:
    66.       - image: jimmysong/k8s-app-monitor-test:9c935dd
    67.         name: monitor-test
    68.         ports:
    69.         - containerPort: 3000
    70.       restartPolicy: Always
    71. ---
    72. apiVersion: v1
    73. kind: Service
    74. metadata:
    75.   annotations:
    76.     kompose.cmd: kompose convert -f docker-compose.yaml
    77.     kompose.version: 1.10.0 ()
    78.   creationTimestamp: null
    79.   labels:
    80.     app: k8s-app-monitor-test
    81.   name: k8s-app-monitor-test
    82. spec:
    83.   ports:
    84.   - name: "http"
    85.     port: 3000
    86.     targetPort: 3000
    87.   selector:
    88.     app: k8s-app-monitor-test
    89. ---
    90. ## Istio ingress
    91. apiVersion: extensions/v1beta1
    92. kind: Ingress
    93. metadata:
    94.   name: k8s-app-monitor-agent-ingress
    95.   annotations:
    96.     kubernetes.io/ingress.class: "istio"
    97. spec:
    98.   rules:
    99.   - http:
    100.       paths:
    101.       - path: /k8s-app-monitor-agent
    102.         backend:
    103.           serviceName: k8s-app-monitor-agent
    104.           servicePort: 8888

    其中有两点配置需要注意。

    • Deployment 和 Service 中的 label 名字必须包含 app，zipkin 中的 tracing 需要使用到这个标签才能追踪
    • Service 中的 ports 配置和必须包含一个名为 http 的 port，这样在 Istio ingress 中才能暴露该服务

    注意：该 YAML 文件中 annotations 是因为我们一开始使用 docker-compose 部署在本地开发测试，后来再使用 kompose 将其转换为 kubernetes 可识别的 YAML 文件。

    然后执行下面的命令就可以基于以上的 YAML 文件注入 sidecar 配置并部署到 kubernetes 集群中。

    1. kubectl apply -n default -f <(istioctl kube-inject -f manifests/istio/k8s-app-monitor-istio-all-in-one.yaml)

    如何在本地启动 kubernetes 集群进行测试可以参考 kubernetes-vagrant-centos-cluster 中的说明。

    Sidecar 注入说明

    手动注入需要修改控制器的配置文件，如 deployment。通过修改 deployment 文件中的 pod 模板规范可实现该deployment 下创建的所有 pod 都注入 sidecar。添加/更新/删除 sidecar 需要修改整个 deployment。

    自动注入会在 pod 创建的时候注入 sidecar，无需更改控制器资源。Sidecar 可通过以下方式更新：

    • 选择性地手动删除 pod
    • 系统得进行 deployment 滚动更新

    手动或者自动注入都使用同样的模板配置。自动注入会从 istio-system 命名空间下获取 istio-inject 的 ConfigMap。手动注入可以通过本地文件或者 Configmap 。