1. Istio简介
1.1. 概念
Istio 是一个由 Google、IBM 和 Lyft 共同开发的开源服务网格（Service Mesh）项目，旨在简化微服务架构中的服务通信、安全性、可观察性和管理。通过部署 Istio，您可以更好地控制和监视服务之间的流量，并提供强大的安全功能。
Istio提供了以下的关键功能:
- HTTP/1.1，HTTP/2，gRPC和TCP流量的自动区域感知负载平衡和故障切换。
- 通过丰富的路由规则，容错和故障注入，对流行为的细粒度控制。
- 支持访问控制，速率限制和配额的可插拔策略层和配置API。
- 集群内所有流量的自动量度，日志和跟踪，包括集群入口和出口。
- 安全的服务到服务身份验证，在集群中的服务之间具有强大的身份标识。
1.2. 架构
Istio服务网格逻辑上分为数据面板和控制面板：
- 数据面板由一组智能代理（Envoy）组成，代理部署为边车，调解和控制微服务之间所有的网络通信。
- 控制面板负责管理和配置代理来路由流量，以及在运行时执行策略。
下图为istio的架构详细分解图：
这是宏观视图，可以更形象的展示istio两个面板的功能和合作：
2. Istio安装
istio安装可以通过计算巢一方服务进行一键部署安装，安装时会安装观测面板kiali，方便进行微服务间流量观测。
安装地址见链接，安装完成后会出现kiali仪表板的链接。
3. 应用实践
官网提供了Bookinfo的应用用来做Istio的使用示例，这个应用模仿在线书店的一个分类，显示一本书的信息。 页面上会显示一本书的描述，书籍的细节（ISBN、页数等），以及关于这本书的一些评论。
3.1. 部署应用
- 为应用要安装的命名空间打上标签istio-injection=enabled，这个命名空间内部署的pod会自动注入SideCar
kubectl label namespace default istio-injection=enabled
- 执行应用部署对应的yaml文件
kubectl apply -f https://raw.githubusercontent.com/istio/istio/release-1.20/samples/bookinfo/platform/kube/bookinfo.yaml
- 确认服务和pod都已经正常启动，这里面需要注意的是，pod里面应该展示有两个容器
- 确认Bookinfo应用是否正在运行，这里在ratings对应的pod中执行curl命令，可以看到这里访问是使用的serviceName:port，因为在同一个命名空间下，可以简写。
kubectl exec "$(kubectl get pod -l app=ratings -o jsonpath='{.items[0].metadata.name}')" -c ratings -- curl -sS productpage:9080/productpage | grep -o "<title>.*</title>"
3.2. 访问应用
上面部署应用时验证应用是否正常运行时有使用内部pod去访问应用，现在看下怎么从集群外部进行访问。
- 首先要在ack中安装gateway组件，这里提供helm安装的方式
kubectl create namespace istio-ingress helm install istio-ingress istio/gateway -n istio-ingress --wait
- 创建Istio网关，进行流量分发
apiVersion: networking.istio.io/v1alpha3 kind: Gateway metadata: name: bookinfo-gateway spec: selector: istio: ingress # use istio default controller servers: - port: number: 80 name: http protocol: HTTP hosts: - "*" --- apiVersion: networking.istio.io/v1alpha3 kind: VirtualService metadata: name: bookinfo spec: hosts: - "*" gateways: - bookinfo-gateway http: - match: - uri: exact: /productpage - uri: prefix: /static - uri: exact: /login - uri: exact: /logout - uri: prefix: /api/v1/products route: - destination: host: productpage port: number: 9080
- 确定外部访问的ip和端口，这里是通过安装gateway时生成的service istio-ingress来获取。
export INGRESS_HOST=$(kubectl -n istio-ingress get service istio-ingress -o jsonpath='{.status.loadBalancer.ingress[0].ip}') export INGRESS_PORT=$(kubectl -n istio-ingress get service istio-ingress -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
- 通过http://$INGRESS_HOST:$INGRESS_PORT/productpage访问应用
- 通过计算巢服务实例页面的Kiali链接，可以观察微服务间的调用关系，可以看到和官网介绍的一致，reviews的v1版本不会调用ratings应用。
3.3. 请求路由验证
接下来验证下自定义路由的功能，主要针对reviews应用，这个应用有多个版本，可以很容易看出区别。
- 设置目标规则，按版本号进行划分
apiVersion: networking.istio.io/v1alpha3 kind: DestinationRule metadata: name: reviews spec: host: reviews subsets: - name: v1 labels: version: v1 - name: v2 labels: version: v2 - name: v3 labels: version: v3
- 设置服务路由规则，headers里面end-user是jason就路由到v2, 否则路由到v1
apiVersion: networking.istio.io/v1alpha3 kind: VirtualService metadata: name: reviews spec: hosts: - reviews http: - match: - headers: end-user: exact: jason route: - destination: host: reviews subset: v2 - route: - destination: host: reviews subset: v1
- 进行验证，jason登录的情况下为黑色星星评分，无登录情况下无评分。
