王夕宁, 阿里云服务网格ASM技术负责人, 关注Kubernetes/云原生/服务网格等领域。之前曾在IBM中国开发中心工作, 作为架构师和主要开发人员负责或参与了一系列在SOA中间件/云计算等领域的工作, 曾担任中国研发中心专利技术评审主席, 并拥有90多项相关领域的国际技术专利。
以下内容是根据王夕宁在2023年6月份在北京举行的CNCF Kubernetes Community Day（KCD）会议上的演讲主题整理而成。 Service Mesh是一种用于管理微服务架构中网络通信的解决方案，通过在每个服务实例中添加代理，实现流量控制、服务发现、负载均衡等功能。虽然Service Mesh能够提供很多优秀的功能，但也存在一些性能问题, 譬如：延迟增加：Service Me
阿里云服务网格ASM支持基于修订与标签的升级模式，以更稳定安全的方式执行新版本控制面的金丝雀升级。在这个新升级模式中，数据面的网格代理将与他们使用的特定控制面版本相关联。这使得新版本能够以较低的风险在集群中部署, 直到用户明确选择之前，没有代理连接到新版本。同时也允许逐渐将工作负载迁移到新的控制面，每个独立的控制面被称为“修订版”并具有istio.io/rev标签。 为了支持这种基于修订的升级，Istio为命名空间引入了一个istio.io/rev标签。它可以指示哪个控制面版本应该为相应命名空间中的工作负载注入Sidecar代理。例如，标签istio.io/rev=1-17-2表示为该命名
当您需要在多个服务间实现全链路的灰度发布时，可以通过配置TrafficLabel来识别流量特征，将网关入口流量分为正常流量和灰度流量。灰度流量特征会在请求调用链经过的各个服务间进行传递，从而实现全链路灰度发布。本文介绍如何通过TrafficLabel能力来实现微服务的全链路灰度发布。
本文介绍如何在ASM中使用泳道模式下的流量管理功能。具体关于ASM中的全链路灰度相关概念可以参考https://help.aliyun.com/document_detail/375313.html。
通过流量标签CRD（TrafficLabel） 定义了用户自定义的流量标签, 例如asm-labels-test，其取值范围为test1、test2、test3等。为支持基于标签的路由能力, 还需要创建相应的目标规则DestinationRule和虚拟服务VirtualService，才能将流量根据标签路由到对应的工作负载。
服务网格ASM新增扩展了流量标签TrafficLabel 自定义资源CRD。 通过该CRD定义具体的流量标签逻辑，实现为命名空间、工作负载进行设置流量标签。
ASM Serverless网关就是基于虚拟节点和ECI提供的一种Serverless 网关形态，充分支撑各种弹性和免节点运维场景的用户诉求。
配置高性能和高可用的ASM网关，可确保业务连续性并提升用户体验。本文介绍如何配置ASM网关，将网关Pod部署到指定节点上，从而提高ASM网关的高可用性并增强与业务Pod的隔离性。
Kubernetes采用CGroup实现容器的资源隔离。CGroup分为V1和V2版本，V2版本提供了更一致的体验和更丰富的功能。例如, 支持CGroup级别的eBPF挂载，可以实现Pod级别的资源监控、网络重定向等, 基于eBPF的网络优化也依赖于它。 本文介绍如何在阿里云容器服务ACK下启用cgroup v2。
Knative on ASM中提供了开箱即用、基于流量请求的自动扩缩容KPA（Knative Pod Autoscaler）功能。本文介绍如何基于流量请求数实现服务自动扩缩容。
Knative on ASM提供了基于流量的灰度发布能力。当创建Knative服务时，Knative会自动为服务创建第一个修订版本Revision。此后当Knative服务的配置发生变化时，Knative都会创建一个新的修订版本。通过修改流量发往不同修订版本的分配比例，即可实现灰度发布功能。本文介绍如何在Knative on ASM中基于流量灰度发布服务。
ASM网关支持HTTPS协议和动态加载证书功能。在使用Knative on ASM时，可以通过ASM网关来实现HTTPS访问。本文将演示如何使用ASM网关来实现HTTPS访问Knative服务。
对于Knative服务，服务的DNS名默认格式为：{服务名}.{服务所在命名空间}.{默认域名}，Knative会默认使用example.com作为服务的域名。Knative on ASM支持使用自定义域名作为默认域名。本文介绍如何在Knative Serving中使用自定义域名。
如何在阿里云服务网格ASM中开启Knative on ASM功能, 并结合ACK或者ASK部署管理Serverless应用服务。
阿里云服务网格ASM集成ACK、ASK上Knative的Serving能力, 帮助用户方便管理Serverless工作负载，可以和事件很好的结合并且提供了基于请求驱动的自动扩缩的能力，而且在没有服务需要处理的时候可以缩容到零个实例。同时基于Service Mesh技术, Serving还具有流量灰度发布能力。
本文主要介绍深入理解熔断器在不同场景下的行为。
作为业内首个全托管Istio兼容的服务网格产品ASM，一开始从架构上就保持了业界领先性、以及与社区发展的一致性，控制平面的组件托管在阿里云侧，与数据面侧的用户集群独立, 保持高可用部署与稳定性。阿里云ASM产品是基于社区开源的Istio定制实现的，在托管的控制面侧提供了用于支撑精细化的流量管理和安全管理的组件能力。通过托管模式，解耦了Istio组件与所管理的K8s集群的生命周期管理，使得架构更加灵
ASM网关提供HTTPS安全支持、证书动态加载，从而提升ASM网关安全性。除了在ASM网关侧绑定证书的方式之外, 还可以在负载均衡侧管理证书。 本文介绍如何支持ASM网关服务在负载均衡侧绑定证书, 并创建HTTPS类型的监听。
客户告诉我们，他们需要一种更统一的方法来定制、管理和配置端到端安全加密和流量控制，包括在集群内集成北/南流量管理。为了满足这一需求，ASM产品提供了经过客户验证的ASM入口与出口网关功能，并在多集群路由、安全管理、可观测性以及高可用性、软硬一体的性能优化等诸多方面构筑独特的优势, 以让客户更加信赖在生产环境中使用。 以下是对ASM网关功能的一个梳理（持续更新中）, 帮助用户在短时间内更好地理解。
流量镜像主要用于能够在不以任何方式影响最终客户端的情况下测试具有实际生产流量的服务。 在实践中，无论是在生产环境还是非生产环境中，将生产流量镜像到测试集群，是降低新部署风险的一种非常有效的方法。像大型互联网企业，多年来也一直在坚持这么做。 服务网格技术提供了流量镜像（Traffic Mirroring）的功能，也称为影子流量（Traffic shadowing），会将实时流量的副本发送到镜像服务, 镜像流量发生在主服务的关键请求路径之外。
Grafana是开源的数据可视化平台，它可以生成各种可视化仪表，大大帮助我们简化监控的复杂度，下面介绍如何使用Grafana查看SLO相关指标。
服务等级目标SLO可以用于衡量服务的水平。用户可以基于Prometheus指标手动定义SLO，但过程相对繁琐。ASM服务网格提供了生成SLO以及配套的告警规则的能力，能够通过自定义资源YAML配置的方式简化这一流程。本文将介绍如何将生成的规则导入到Prometheus中以及如何执行SLO。
用户可以基于Prometheus指标手动定义SLO，但过程相对繁琐。阿里云服务网格ASM提供了生成SLO以及配套的告警规则的能力，能够通过自定义资源YAML配置的方式简化这一流程。本文将介绍如何使用ASM定义应用服务级SLO。
阿里云服务网格ASM提供了生成服务等级目标SLO以及配套的告警规则的能力，能够通过自定义资源CRD配置的方式简化这一流程。本文将介绍对应的CRD具体字段内容含义。
服务等级目标 (SLO) 提供了一种形式化的方式来描述、衡量和监控微服务应用程序的性能、质量和可靠性。SLO 为应用开发和平台团队、运维团队提供了一个共享的质量基准，作为衡量服务水平质量以及持续改进的参考。SLO 由一个或多个服务等级指标 (SLI) 组成。使用 SLI 组合定义的 SLO 允许团队以更精确和相关的方式描述服务健康状况。 阿里云服务网格ASM提供了开箱即用的基于服务等级目标SLO的监控和告警能力，用于监控应用服务之间调用的延迟和错误率特征。
一个增强网站安全性的最佳做法是禁用早期版本的 TLS （TLS v1.0 和 1.1）并仅启用 TLS v1.2 和更高版本。这背后的原因是包括 TLS v1.0 在内的早期 TLS 版本存在已知的安全问题，并且使用功能强大的工具和系统进行了解密，导致传输中的数据泄露。禁用TLS v1.2 中的弱密码也很重要。您可以在 ASM 网关中通过配置TLS协议版本来增强安全性, 从而简单地解决上述问题。前
包括TLS v1.0在内的早期TLS版本存在已知的安全问题，并且使用功能强大的工具和系统进行了解密，导致传输中的数据泄露。因此，一个增强网站安全性的最佳做法是禁用早期版本的TLS（v1.0和v1.1）并仅启用TLS v1.2及更高版本。同时，禁用TLS v1.2中的弱密码也非常重要。 本文介绍如何在ASM网关配置TLS协议版本，增强网站安全性。
服务网格的控制面组件扮演的一个重要角色是负责推送网格的规则配置到数据面的Sidecar代理或者网关中。如果用户配置的网格规则内容存在一些冲突导致推送失败, 因此代理或者网关就接收不到最新的配置内容。 因为代理或网关在不重启的情况下, 仍然可以使用已经接收到的配置继续运行, 但是一旦这些Pod重启, 很有可能导致Sidecar代理或网关启动失败。 在很多实际的客户场景中, 经常出现用户误配置引发的网关或代理不可用问题, 因此启用控制面的日志告警, 及时发现问题、解决问题势在必行。 ASM支持采集控制平面日志和日志告警，例如采集ASM控制平面向数据平面Sidecar推送配置的相关日志。
在站酷的生产实践中，多集群、多语言的业务架构对统一管理带来了不小的挑战。对于服务网格来说，由于Sidecar模式的无侵入式特性，可以以统一的方式管理以不同技术栈开发的多语言应用，实现显著的运维成本降低。但对于社区服务网格Istio而言，多集群下的服务治理、以及对不同的Kuberenets集群形态的兼容仍然是一个极大的挑战。通过使用服务网格ASM，对多集群、多形态、多语言服务的统一纳管成为了非常简单的工作。托管式服务网格 ASM 在成为多种异构类型计算服务统一管理的基础设施中, 提供了统一的流量管理能力、服务安全能力、服务可观测性能力、以及实现统一的代理可扩展能力, 以此构筑企业级服务网格平台。
随着业务不断快速发展，公司亟需提升数字化竞争力，延伸价值链条。在云上搭建新业务流程研发系统，通过容器化技术进行云原生优化改造，解决业务应用部署中碰到的不稳定、上线人工干预过多、无法稳定升级等问题。 服务网格作为一种用来管理应用服务通信的基础核心技术, 为应用服务间的调用带来了安全、可靠、快速、应用无感知的流量路由、安全、可观测能力。阿里云服务网格ASM产品提供了高可用、免运维、内建安全最佳实践；开发人员可以更专注于业务应用而非基础设施运维。可在服务网格产品内一键创建服务网格实例，无需复杂的配置。
服务网格作为一种用来管理应用服务通信的基础核心技术, 为应用服务间的调用带来了安全、可靠、快速、应用无感知的流量路由、安全、可观测能力。我们针对开源社区 Istio 和阿里云服务网格 ASM 产品分别进行了调研， 通过试用了解到作为云厂商的产品， ASM 具备了若干生产使用的功能和实战经验，具体来说， ASM 增强了多协议支持以及动态扩展能力，提供精细化服务治理，完善零信任安全体系，并持续提升性能及大规模集群支持能力，降低在生产环境落地服务网格的门槛。商业版适用于有多语言互通，服务精细治理需求，在生产环境大规模使用服务网格的场景。
以下内容摘自2022 CSDI 技术峰会演讲内容。作者： 王夕宁 阿里云服务网格负责人 回顾什么是服务网格技术以Istio为代表的Service Mesh技术已经存在四五年的时间了，阿里云也是第一批支持Service Mesh云服务的厂商。在Service Mesh技术中， 通过把服务治理的能力进行Sidecar化，实现与应用程序本身的解耦。这些若干个Sidecar代理就形成了一个网状的数据平
### 背景 在未启用慢启动预热能力时， 每当新目标Pod加入时，请求方都会向该Pod发送一定比例的流量， 不支持新 Pod 的渐进式流量增加。这对于需要一些预热时间来提供全部负载的服务可能是不可取的，并且可能会导致请求超时、数据丢失和用户体验恶化。 作为一个实际示例，上述问题体现在基于 JVM 的 Web 应用程序中，这些应用程序使用水平 pod 自动缩放。当服务刚启动时，它会被大量请求淹没
这个能力来源于我们的实际客户的诉求。 这些客户使用场景就是希望在服务网格技术之上运行KServe来实现AI服务。KServe平滑运行于服务网格之上, 实现模型服务的蓝/绿和金丝雀部署、修订版本之间的流量分配等能力。支持自动伸缩的Serverless推理工作负载部署、支持高可扩展性、基于并发的智能负载路由等能力。
Serverless和Service Mesh是两种流行的云原生技术，客户正在探索如何从中创造价值。 随着我们与客户深入研究这些解决方案，问题经常出现在这两种流行技术之间的交集以及它们如何相互补充上。我们能否利用 Service Mesh 来保护、观察和公开我们的 Knative 无服务器应用程序？本文试图解释如何在一个托管的服务网格技术平台上支持基于Knative的Serverless容器, 以及基于流量模式的自动扩缩能力。
为了更好地满足企业日益加深的大规模使用服务网格产品、服务多语言互通、服务精细治理等需求，2022 年 4 月 1 日起，阿里云服务网格产品 ASM 正式发布商业化版本，为企业在生产环境下大规模落地服务网格能力提供性能、安全、高可用、高可靠等服务保障。阿里云内部很早就开始调研并实践 ServiceMesh 技术，通过总结业务场景落地经验，持续驱动技术发展，积累一系列服务网格核心技术，并将其沉淀成为业
作者： 王夕宁, 奇方 微服务提供了诸多价值，包括可伸缩性、敏捷性、独立扩展、业务逻辑隔离、独立生命周期管理和更容易的分布式开发。然而，这些分布众多的微服务也会增加安全的挑战, 每个微服务都是一个被攻击的目标。Kubernetes为托管和编排您的微服务提供了一个出色的平台。但是，默认情况下，微服务之间的所有交互都不安全。它们通过纯文本HTTP进行通信，但这不足以满足安全要求。
阿里云服务网格ASM（https://www.aliyun.com/product/servicemesh）成为重要的云原生零信任体系落地载体之一, 将身份验证和授权从应用程序代码卸载到服务网格, 开箱即用、动态可配、更新策略更加容易且立即生效。在使用Kubernetes Network Policy实现三层网络安全控制之上, 服务网格ASM提供了包括对等身份和请求身份认证能力、Istio 授权策略以及更为精细化管理的基于OPA(Open Policy Agent)的策略控制能力。阿里云服务网格ASM提供的这些零信任安全能力, 帮助用户实现上述这些安全目标。
服务网格本质上是存在于服务之间的网络，为微服务带来了弹性,。通过一种轻量级的Sidecar模式负责管理服务之间的流量, 可用于部署具有弹性的微服务。 容错能力是指系统在部分故障期间, 仍然能够继续运行的能力。创建一个可靠的弹性系统会对其中的所有服务提出容错要求。云环境的动态性质要求编写的服务能预见这些失败, 并能优雅地响应意外情况。服务网格在不要求应用程序修改任何代码的情况下为应用程序带来了容错
## 简介 Envoy是一个高性能、可编程的L3 / L4和L7代理，被服务网格ASM作为数据面的代理使用。Envoy的连接和流量处理的核心是网络过滤器(Network Filter)，该过滤器一旦融合进滤器链(Filter Chain)，就可以实现用于访问控制、数据或协议转换、数据增强、审计等高级功能。通过添加新的过滤器Filter，可以用来扩展Envoy的已有功能集。当前有两种方法可以添加新
本文摘自于由阿里云高级技术专家王夕宁撰写的《Istio 服务网格技术解析与实践》一书，讲述了如何使用 Istio 进行多集群部署管理来阐述服务网格对多云环境、多集群即混合部署的支持能力。
本文摘自于由阿里云高级技术专家王夕宁撰写的《Istio 服务网格技术解析与实践》一书，在展望服务网格未来的同时，讲述了如何使用 Istio 进行多集群部署管理，来阐述服务网格对多云环境、多集群即混合部署的支持能力。
本文摘自于由阿里云高级技术专家王夕宁撰写的《Istio 服务网格技术解析与实践》一书，文章从基础概念入手，介绍了什么是服务网格及 Istio，针对 2020 服务网格的三大发展趋势，体系化、全方位地介绍了 Istio 服务网格的相关知识。
通过服务网格 ASM，可以将一个应用的服务组件部署在同 VPC 的多个集群上。本文以 Bookinfo 应用为例，介绍如何将该应用部署到包含两个集群的 ASM 实例。
服务网格ASM集成了阿里云链路追踪服务，为分布式应用的开发者提供了完整的调用链路还原、调用请求量统计、链路拓扑、应用依赖分析等能力，可以帮助开发者快速分析和诊断分布式应用架构下的性能瓶颈，提升开发诊断效率。
作为由CNCF托管的一个孵化项目，开放策略代理（OPA）是一个策略引擎，可用于为您的应用程序实现细粒度的访问控制。服务网格ASM集成了开放策略代理OPA，可用于为您的应用程序实现细粒度的访问控制。
前面的系列文档中介绍了如何创建服务网格ASM实例，并介绍了如何将一个应用示例部署到 ASM 实例中，本文在此基础上介绍如何在ASM中支持自定义外部授权。
前面的系列文档中介绍了如何创建服务网格ASM实例，并介绍了如何将一个应用示例部署到 ASM 实例中，本文在此基础上介绍如何通过定义EnvoyFilter来添加HTTP请求头，以满足一些场景下的要求，例如使用安全请求头保护应用程序的安全等。
通过管理 Istio 资源定义，可以实现 ASM 服务网格的流量治理、鉴权以及安全保护等能力。本文介绍如何定义虚拟服务和目标规则这两种 Istio 资源。
本文介绍如何将一个应用示例部署到服务网格ASM 实例中的数据面集群中。
发表了文章
2024-05-15
发表了文章
2023-07-28
发表了文章
2023-07-20
发表了文章
2023-05-30
发表了文章
2023-05-30
发表了文章
2023-05-30
发表了文章
2023-05-30
发表了文章
2023-05-11
发表了文章
2023-05-11
发表了文章
2023-05-05
发表了文章
2023-03-19
发表了文章
2023-03-19
发表了文章
2023-03-19
发表了文章
2023-03-19
发表了文章
2023-03-19
发表了文章
2023-03-19
发表了文章
2023-02-28
发表了文章
2022-12-27
发表了文章
2022-12-26
发表了文章
2022-12-25
