kubernetes - Istio:sidecar EnvoyFilter workloadSelector 未过滤

Question

我遇到了一个问题，即两个具有不同 workloadSelectors 的 EnvoyFilters 本应应用于不同的 Pod 工作负载，但却同时应用于两个工作负载。

更具体地说，我使用的是 Istio 1.4.9，我在两个不同的命名空间中有两个相同部署工作负载的实例，每个工作负载都有一个 sidecar。每个部署都应用了不同的标签。

kubectl get po --show-labels --all-namespaces -l app=myapp,namespace
NAMESPACE   NAME                    ...truncated...  LABELS
first       myapp-58489c8fcd-kch9f  ...truncated...  app=myapp,namespace=first ...truncated...
second      myapp-6f58dd65dd-tdjm7  ...truncated...  app=myapp,namespace=second ...truncated...

我想将不同的 Lua EnvoyFilter 实例附加到每个命名空间中的每个工作负载，因此每个都有自己的过滤器。因此，例如，第一个 namespace 的过滤器如下所示。第二个类似但具有不同的 workloadSelector

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name:  first-myapp-filter
  ...truncated...
spec:
  workloadSelector:
    labels:
      app: myapp
      namespace: first

但是，我看到给定的工作负载正在处理两个 envoyfilters，而不是仅处理与选择器匹配的过滤器。当我使用 istioctl 查看第一个命名空间中 pod 上的监听器时，它附加了两个过滤器。

"httpFilters": [
  {"name": "envoy.lua", "config": {"inlineCode": "function ...truncated... end\n" }},
  {"name": "envoy.lua", "config": {"inlineCode": "function ...truncated... end\n" }}

选择器似乎没有按我预期的方式工作。关于如何调试的任何想法？

Answer 1

我唯一能想到的是你在 config root namespace 中定义了你的 EnvoyFilter并且它忽略了 workloadSelector。

如果您看到 docs :

NOTE 3: *_To apply an EnvoyFilter resource to all workloads (sidecars and gateways) in the system, define the resource in the config root namespace, without a workloadSelector.

尝试创建 2 个 EnvoyFilter，每个命名空间都存在您的工作负载并删除原始 EnvoyFilter。所以像这样:

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name:  first-myapp-filter
  namespace: first
spec:
  workloadSelector:
    labels:
      app: myapp
      namespace: first
...

和

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name:  second-myapp-filter
  namespace: second
spec:
  workloadSelector:
    labels:
      app: myapp
      namespace: second
...

注意:您可能还想尝试不同的标签。例如，app: myapp1, app: myapp2。