1. 云图网首页
  2. 技术专区
  3. 编程笔记

《Istio官方文档》Kubernetes-安装Istio Sidecar

• 编程笔记

安装Istio Sidecar

注：以下要求Istio 0.5.0或更高版本。有关版本0.4.0或更高版本，请参阅https://archive.istio.io/v0.4/docs/setup/kubernetes/sidecar-injection。

注意：在以前的版本中，Kubernetes初始化程序功能已用于自动代理注入。这是一个可以更改/删除的alpha功能，并且在Kubernetes中默认不启用。从Istio 0.5.0发布开始，自动代理注入使用Kubernetes突变webhooks。这个Kubernetes功能是用来测试且默认情况下在Kubernetes 1.9及以上会获得到。在0.5.0中已经删除了对代理注入的alpha初始值设定机制的支持。无法升级到Kubernetes 1.9的用户应使用手动注入。

Pod规格要求

为了成为服务网格的一部分，kubernetes集群中的每个容器必须满足以下要求：

注入

手动注入可以修改控制器配置，例如部署。这是通过修改pod模板规范来完成的，这样所有用于该部署的pod都是用注入的sidecar创建的。添加/更新/删除sidecar需要修改整个部署。

在创建时间点自动注入。控制器资源未修改。可以通过手动删除pods或通过部署滚动更新系统地选择更新sidecars。

手动和自动注入使用相同的模板化配置。自动注入从istio-system命名空间中的istio-inject ConfigMap 加载配置。手动注入可以从本地文件或ConfigMap中加载。

注入配置的两种变型提供了默认的安装：istio-sidecar-injector-configmap-release.yaml和istio-sidecar-injector-configmap-debug.yaml。注入配置映射包括默认的注入策略和sidecar注入模板。调试版本包括调试代理映像以及用于调试sidecar代理的附加日志记录和核心转储功能。

手动sidecar注射

使用内置的默认模板，并从istio ConfigMap中动态获取网格配置。其他参数覆盖可通过标志（请参阅istioctl kube-inject –help）。

kubectl apply -f <(~istioctl kube-inject -f samples/sleep/sleep.yaml)

kube-inject也可以在不访问正在运行的Kubernetes集群的情况下运行。创建注入和网格配置图的本地副本。

kubectl create -f install/kubernetes/istio-sidecar-injector-configmap-release.yaml /
    --dry-run /
    -o=jsonpath='{.data.config}' > inject-config.yaml

kubectl -n istio-system get configmap istio -o=jsonpath='{.data.mesh}' > mesh-config.yaml

Run kube-inject`在输入文件上。

istioctl kube-inject /
    --injectConfigFile inject-config.yaml /
    --meshConfigFile mesh-config.yaml /
    --filename samples/sleep/sleep.yaml /
    --output sleep-injected.yaml

部署注入的YAML文件。

kubectl apply -f sleep-injected.yaml

确认sidecar已经注入到部署中。

kubectl get deployment sleep -o wide

NAME      DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE       CONTAINERS          IMAGES                             SELECTOR
sleep     1         1         1            1           2h        sleep,istio-proxy   tutum/curl,unknown/proxy:unknown   app=sleep

自动sidecar注入

有关webhook准入控制器的概述，请参阅validatingadmissionwebhook-alpha-in-18-beta-in-19。

先决条件

Kubernetes 1.9集群需要启用admissionregistration.k8s.io/v1beta1。

kubectl api-versions | grep admissionregistration.k8s.io/v1beta1
admissionregistration.k8s.io/v1beta1

GKE

1.9.1适用于具有alpha群集的非白名单早期访问用户（请参阅https://cloud.google.com/kubernetes-engine/release-notes#january-16-2018）。

gcloud container clusters create <cluster-name> /
    --enable-kubernetes-alpha 
    --cluster-version=1.9.1-gke.0 
    --zone=<zone>
    --project <project-name>

gcloud container clusters get-credentials <cluster-name> /
    --zone <zone> /
    --project <project-name>

kubectl create clusterrolebinding cluster-admin-binding /
    --clusterrole=cluster-admin /
    --user=$(gcloud config get-value core/account)

minikube

TODO（https://github.com/istio/istio.github.io/issues/885）

IBM云容器服务

TODO（https://github.com/istio/istio.github.io/issues/887）

AWS与Kops

TODO（https://github.com/istio/istio.github.io/issues/886）

安装Webhook

安装基地Istio。

kubectl apply -f install/kubernetes/istio.yaml

Webhooks需要一个签名的证书/密钥对。使用install/kubernetes/webhook-create-signed-cert.sh来产生由Kubernetes’ CA签名的证书/密钥对，生成的证书/密钥文件作为Kubernetes 私密存储，以便sidecar注入器webhook使用。

注意：Kubernetes CA批准需要创建和批准CSR的权限。请参阅https://kubernetes.io/docs/tasks/tls/managing-tls-in-a-cluster并install/kubernetes/webhook-create-signed-cert.sh获取更多信息。

./install/kubernetes/webhook-create-signed-cert.sh /
    --service istio-sidecar-injector /
    --namespace istio-system /
    --secret sidecar-injector-certs

安装sidecar注入配置图。

kubectl apply -f install/kubernetes/istio-sidecar-injector-configmap-release.yaml

在webhook中设置caBundle安装YAML的Kubernetes API服务器用来调用webhook。

cat install/kubernetes/istio-sidecar-injector.yaml | /
     ./install/kubernetes/webhook-patch-ca-bundle.sh > /
     install/kubernetes/istio-sidecar-injector-with-ca-bundle.yaml

安装sidecar注入webhook。

kubectl apply -f install/kubernetes/istio-sidecar-injector-with-ca-bundle.yaml

sidecar注入webhook现在应该运行。

kubectl -n istio-system get deployment -listio=sidecar-injector

NAME                     DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE
istio-sidecar-injector   1         1         1            1           1d

NamespaceSelector根据该对象的名称空间是否与选择器匹配来决定是否在对象上运行webhook（请参阅https://kubernetes.io/docs/concepts/overview/working-with-objects/labels/#label-selectors） 。默认的webhook配置使用istio-injection=enabled。

查看显示istio-injection标签的名称空间并验证default名称空间未被标记。

kubectl get namespace -L istio-injection

NAME           STATUS        AGE       ISTIO-INJECTION
default        Active        1h        
istio-system   Active        1h        
kube-public    Active        1h        
kube-system    Active        1h

部署一个应用程序

部署睡眠应用程序。验证部署和Pod都有一个容器。

kubectl apply -f samples/sleep/sleep.yaml
kubectl get deployment -o wide

NAME      DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE       CONTAINERS   IMAGES       SELECTOR
sleep     1         1         1            1           12m       sleep        tutum/curl   app=sleep
kubectl get pod

NAME                     READY     STATUS        RESTARTS   AGE
sleep-776b7bcdcd-7hpnk   1/1       Running       0          4

用istio-injection=enabled标注default名称空间

kubectl label namespace default istio-injection=enabled
kubectl get namespace -L istio-injection

NAME           STATUS    AGE       ISTIO-INJECTION
default        Active    1h        enabled
istio-system   Active    1h        
kube-public    Active    1h        
kube-system    Active    1h

注入发生在创建时间点。杀死运行pod，并验证一个新的pod与注入sidecar创建。原来的pod有1/1的READY容器，而注入sidecar的pod有2/2的READY容器。

kubectl delete pod sleep-776b7bcdcd-7hpnk 
kubectl get pod

NAME                     READY     STATUS        RESTARTS   AGE
sleep-776b7bcdcd-7hpnk   1/1       Terminating   0          1m
sleep-776b7bcdcd-bhn9m   2/2       Running       0          7s

禁用default命名空间的注入，并验证新的pods没有用sidecar来创建。

kubectl label namespace default istio-injection-
kubectl delete pod sleep-776b7bcdcd-bhn9m
kubectl get pod

NAME                     READY     STATUS        RESTARTS   AGE
sleep-776b7bcdcd-bhn9m   2/2       Terminating   0          2m
sleep-776b7bcdcd-gmvnr   1/1       Running       0          2s

了解发生了什么

admissionregistration.k8s.io/v1alpha1#MutatingWebhookConfiguration用来配置何时Kubernetes调用webhook。Istio提供的默认选择pods在名称空间中用标签istio-injection=enabled来配置。这可以通过修改install/kubernetes/istio-sidecar-injector-with-ca-bundle.yaml中的MutatingWebhookConfiguration来改变。

在 istio-system命名空间中将istio-inject ConfigMap配置默认注入政策和sidecar注入模板。

政策

disabled -sidecar注入器默认不会将sidecar注入到pods。将sidecar.istio.io/inject注释值设置为true到pod模板规范以启用注入。

enabled -sidecar注入器默认将sidecar注入到pods。将sidecar.istio.io/inject注释值设置为false到pod模板规范以禁用注入。

模板

sidecar注入模板使用https://golang.org/pkg/text/template，在解析和执行时，解码为包含要注入到pod中的容器和容器列表的以下结构。

   type SidecarInjectionSpec struct {
          InitContainers []v1.Container `yaml:"initContainers"`
          Containers     []v1.Container `yaml:"containers"`
          Volumes        []v1.Volume    `yaml:"volumes"`
    }

该模板在运行时应用于以下数据结构。

type SidecarTemplateData struct {
    ObjectMeta  *metav1.ObjectMeta        
    Spec        *v1.PodSpec               
    ProxyConfig *meshconfig.ProxyConfig  // Defined by https://istio.io/docs/reference/config/service-mesh.html#proxyconfig
    MeshConfig  *meshconfig.MeshConfig   // Defined by https://istio.io/docs/reference/config/service-mesh.html#meshconfig 
}

ObjectMeta 和Spec来自pod。ProxyConfig 和MeshConfig来自istio-system命名空间中的istio ConfigMap 。模板可以使用此数据有条件地定义注入的容器和容量。

例如，以下来自install / kubernetes / istio-sidecar-injector-configmap-release.yaml的模板片段

containers:
- name: istio-proxy
  image: istio.io/proxy:0.5.0
  args:
  - proxy
  - sidecar
  - --configPath
  - {{ .ProxyConfig.ConfigPath }}
  - --binaryPath
  - {{ .ProxyConfig.BinaryPath }}
  - --serviceCluster
  {{ if ne "" (index .ObjectMeta.Labels "app") -}}
  - {{ index .ObjectMeta.Labels "app" }}
  {{ else -}}
  - "istio-proxy"
  {{ end -}}

当应用在sample/sleep/sleep.yaml中由pod模板规范定义的pod上时，需要如下扩展：

containers:
- name: istio-proxy
  image: istio.io/proxy:0.5.0
  args:
  - proxy
  - sidecar
  - --configPath
  - /etc/istio/proxy
  - --binaryPath
  - /usr/local/bin/envoy
  - --serviceCluster
  - sleep

 

卸载webhook

kubectl delete -f install/kubernetes/istio-sidecar-injector-with-ca-bundle.yaml

上面的命令不会从Pod中删除注入的sidecars。滚动更新或简单地删除pods并强制部署来创建它们是必需的。

原创文章，作者：ItWorker，如若转载，请注明出处：https://blog.ytso.com/94285.html

赞 (0)
0
上一篇 2021年8月16日 18:20
下一篇 2021年8月16日

相关推荐

发表回复

登录后才能评论