istio部署-sidecar注入
参考
1. Sidecar注入
1.1 对工作负载的一些要求
- 支持的工作负载类型:
Job
,DaemonSet
,ReplicaSet
,Pod
,Deployment
等, 对这些工作负载的要求如下:- 要正确命名服务端口:
Service
对象中的Port
部分必须以 "协议名" 为前缀,目前支持的协议名包括http
,http2
,mongo
,redis
与grpc
;- istio 会命名来确定为端口提供什么样的服务,不符合命名规范的端口会被当做 TCP 服务器,其功能支持范围会大幅缩小。
- 工作负载的 Pod 必须有关联的 Service:
- 为满足服务发现的需要,所有 Pod 都必须有关联的服务;
- 官方建议为 Pod 模板加入两个标签:
app
与version
,分别标注应用名称与版本,虽仅是个建议,但 istio 很多默认策略会引用这两个标签,如果没有会引发很多不必要的麻烦。
- 要正确命名服务端口:
1.2 手工注入
# 准备测试用 yaml 文件
cd ~
git clone https://github.com/fleeto/flaskapp.git
cd ~/flaskapp
# istioctl kube-inject 会将 istio 相关容器注入应用,"-o" 参数将注入结果生成 yaml 文件 ,方便观察使用此命令与 "kubectl apply -f" 的区别;
# 新的 yaml 文件中多出了 "Sidecar" 容器, 并且出现了1个初始化容器 (initContainers) "istio-init" ,初始化容器即用来劫持应用通信到 "Sidecar" 容器的工具;
# 可直接 "kubectl apply -f" 生成的 yaml 文件
istioctl kube-inject -f flask.istio.yaml -o flask.istio.injected.yaml
1.3 自动注入
1.3.1 配置自动注入
- istio 的自动注入属性可通过
values.yaml
文件调整。
# istio-1.1.7/install/kubernetes/helm/istio/values.yaml
sidecarInjectorWebhook:
# 开启 "Sidecar" 自动注入特性
enabled: true
replicaCount: 1
image: sidecar_injector
# "true":为所有命名空间开启自动注入功能
# "false":只有标签为 "istio-injection: enabled" 的命名空间开启自动注入功能
# 默认值:"false"
enableNamespacesBydefault: false
...
global:
proxy:
# 启动自动注入功能后,对于指定命名空间内新建 Pod 是否进行自动注入;
# "enabled":命名空间内的 Pod 只要没有被注解为 'sidecar.istio.io/inject: "false"',就会自动完成注入;
# "disabled":需要为 Pod 注解 'sidecar.istio.io/inject: "true"',才会进行注入;
# "sidecar.istio.io/inject" 没有所谓的默认值,未注解时,取决于 "autoInject" 的设置,"enabled" 则注入,"disabled" 则不注入
autoInject: enabled
1.3.2 测试
kubectl create ns auto
kubectl create ns manually
# 为命名空间 auto 注入标签
kubectl label namespaces auto istio-injection=enabled
# 在两个命名空间创建工作负载
cd ~
git clone https://github.com/fleeto/sleep.git
cd ~/sleep
kubectl apply -f sleep.yaml -n auto
kubectl apply -f sleep.yaml -n manually
# 查看命名空间 auto 是否有自动注入
kubectl get pod -n auto
kubectl get pod -n manually
1.3.3 ConfigMap istio-sidecar-injector
1.3.3.1 ConfigMap istio-sidecar-injector
- 不管是手工注入或自动注入,都可以通过编辑
istio-system
命名空间中名为istio-sidecar-injector
的ConfigMap
资源,来影响注入效果;涉及两个标签(与policy
同级): - neverInjectSelector:不管命名空间及策略如何,对符合标签选择器要求的 Pod 都不进行注入;
# 以下两个元素之间是 "或" 关系
neverInjectSelector:
- matchExpressions:
- {key: openshift.io/build.name, operator: Exists}
- matchExpressions:
- {key: openshift.io/deployer-pod--for.name, operator: Exists}
- alwaysInjectSelector:对符合标签选择器要求的 Pod ,不管全局策略如何,都会被注入 Sidecar。
1.3.3.2 修改 istio-sidecar-injector
- istioctl 根据
ConfigMap
获取注入内容,即执行istioctl
的用户必须能够访问安装了 istio 的 Kubernetes 集群中的这个ConfigMap
;# 如果因某些原因不能访问,可以在 "istioctl" 中使用本地的配置文件;
# 采用具备 "ConfigMap" 获取权限的用户身份执行以下命令
kubectl -n istio-system get configmap istio-sidecar-injector -o=jsonpath='{.data.config}' > inject-config.yaml # 可对文件进行修改,并在 "istioctl" 中使用
istioctl kube-inject --injectConfigFile inject-config.yaml
1.3.4 自动注入的优先级
- 自动注入的评估顺序:
Pod 注解(优先级最高,如 Pod 中含注解sidecar.istio.io/inject: "true/false"
,则会被优先处理) --> neverInjectSelector --> alwaysInjectSelector --> 命名空间策略。 - autoInject,命名空间,Pod 注解的关联关系如下表:
命名空间,istio-injection=enabled | autoInject | Pod,sidecar.istio.io/inject | 是否注入 |
---|---|---|---|
是 | enabled | true | 是 |
是 | enabled | false | 否 |
是 | enabled | 未注解 | 是 |
是 | disabled | true | 是 |
是 | disabled | false | 否 |
是 | disabled | 未注解 | 否 |
否 | enabled | true | 否 |
否 | enabled | false | 否 |
否 | enabled | 未注解 | 否 |
否 | disabled | true | 否 |
否 | disabled | false | 否 |
否 | disabled | 未注解 | 否 |
1.3.5 Sidecar 注入故障排查
- 查看
sidecar-injector
Pod 资源日志;kubectl logs -f $(kubectl get pods -n istio-system -l istio=sidecar-injector -o jsonpath='{.items[0].metadata.name}') -n istio-system
- 创建业务 Pod ,查看日志输出;
- 更详细的日志,可以编辑
sidecar-injector
Deployment对象,为其添加args
参数--log_output_level=default:debug
; - 如果在
sidecar-injector
Pod 资源日志还是未找到发生问题的原因,则代表sidecar-injector
没有收到 Pod 创建的通知,也就不会触发自动注入操作,这可能是因为命名空间没有正确设置标签导致的,需要检查命名空间的标签及MutatingWebhookConfiguration
中的配置:# 命名空间默认设置 "istio-injection=anabled" 标签;
# 可以检查其中的 "namespaceSelector" 字段与内容
kubectl edit MutatingWebhookConfiguration istio-sidecar-injector -n istio-system
istio部署-sidecar注入的更多相关文章
- istio的sidecar原理学习
目的 从内嵌到应用的SDK模式转成istio servicemesh,再到最新提出来的proxyless可谓是发展太快了.刚开始我只是围绕着服务注册和发现是怎么转变来展开研究,但是发现这个话题有点大, ...
- Istio Sidecar注入原理
概念 简单来说,Sidecar 注入会将额外容器的配置添加到 Pod 模板中.这里特指将Envoy容器注应用所在Pod中. Istio 服务网格目前所需的容器有: istio-init 用于设置 ip ...
- 1.深入Istio:Sidecar自动注入如何实现的?
转载请声明出处哦~,本篇文章发布于luozhiyun的博客:https://www.luozhiyun.com 本文使用的Istio源码是 release 1.5. 这篇文章打算讲一下sidecar, ...
- istio部署-helm
参考 istio/istio istio/Kubernetes Customizable Install with Helm Istio安装参数介绍 1. Istio Chart 目录结构 PATH: ...
- istio部署
Istio的部署介绍 目录 Istio的部署介绍 部署模型 集群模式 单集群 多集群 网络模型 单网络 多网络 控制面模型 身份和信任模型 网格中的信任 网格之间的信任 网格模型 单网格 多网格 租户 ...
- istio部署-快速入门
参考 istio/istio Quick Start Evaluation Install fleeto/sleep fleeto/flaskapp 本文为 istio 快速入门部署,一般用于演示环境 ...
- [Istioc]Istio部署sock-shop时rabbitmq出现CrashLoopBackOff
因Istio官网自带的bookinfo服务依赖关系较少,因此想部署sock-shop进行进一步的实验. kubectl apply -f <(istioctl kube-inject -f so ...
- istio部署-istio jaeger & kiali
参考 fleeto/sleep fleeto/flaskapp jaegertracing/jaeger kiali kiali/kiali kiali/kiali-ui kiali/kiali/ta ...
- istio部署问题Q&A
端口绑定无权限 创建Gateway,提示绑定端口无权限. 2020-12-27T12:25:30.974288Z warning envoy config gRPC config for type.g ...
随机推荐
- XML配置报错
警告: Exception encountered during context initialization - cancelling refresh attempt: org.springfram ...
- 初学JavaScript正则表达式(三)
正则表达式由两种基本的字符类型组成 原义文本字符 //a abc 1 元字符 元字符是有特使含义的非字母字符 * 匹配前面的子表达式零次或多次 + 匹配前面的子表达式一次或多次 ? 匹配前面的子表达式 ...
- Bootstrap分页查询
前台方法: function show() { $('#reportTable').bootstrapTable({ method: 'get', url: "@Url.Action(&qu ...
- MODBUS协议入门(转载)
http://blog.sina.com.cn/s/blog_65ba9a5e0101df1g.html
- ubuntu18.04下安装无线网卡驱动心得
联想Lenovo的笔记本,装完系统wifi显示找不到适配器. lspci | grep Wireless 显示无线网卡类型为博通的BCM43162. 网上一查,果然有问题. apt install f ...
- Flink101-快速示例
验证本文需要具备Docker及Docker-composer,作者使用的环境为Mac + Docker Docker启动Flink集群 首先下载Flink的镜像docker pull flink,我下 ...
- FFmpeg 常用API
一.通用API 1.1 av_register_all() 初始化 libavformat 和注册所有的复用器.解复用器和协议处理器.如果不调用这个函数,可以调用下面的三个函数来选择支持的格式. 注册 ...
- golang基础之初识
golang 简介 很久以前,有一个IT公司,这公司有个传统,允许员工拥有20%自由时间来开发实验性项目.在2007的某一天,公司的几个大牛,正在用c++开发一些比较繁琐但是核心的工作,主要包括庞大的 ...
- Luogu P3577 [POI2014]TUR-Tourism
Luogu P3577 [POI2014]TUR-Tourism 题目链接 题目大意:给出一张\(n\)个点,\(m\)条边的无向图,保证任意两点之间没有点数超过\(10\)的简单路径.选择第\(i\ ...
- 海边拾贝-G-若干有用的文章(乱序,经常更新)
若干有用的文章,乱序版本.会经常性修改. 若干Python模块的介绍不错 https://www.cnblogs.com/sui776265233/category/1239819.html ...