mongodb - Istio envoy 代理 sidecar 与容器文件系统有什么关系吗？

Question

最近我正在将 Istio 添加到我的 kubernetes 集群中。为部署了 MongoDB statefulset 的命名空间之一启用 istio 时，MongoDB 无法启动。
错误消息是“ key 文件权限太开放”
当我分析发生了什么时， key 文件来自/etc/secrets-volume，它从 kubernetes secret 安装到 statefulset。
文件权限是 440 而不是 400。因此 MongoDB 开始提示“权限太开放”并且 pod 进入 Crashbackloopoff。
当我在该命名空间中禁用 Istio 注入(inject)时，MongoDB 开始正常。
这里发生了什么？ Istio 是否与容器文件系统有关，尤其是默认权限？

Answer 1

Istio Sidecar 注入(inject)并不总是适用于 Istio 文档 guide 中提到的所有类型的容器。 .这些容器应该从 istio sidecar 注入(inject)中排除。
对于使用 StatefulSets 部署的数据库一些容器可能是临时的或用作运算符(operator)，最终可能会陷入崩溃循环或其他有问题的状态。
还有一种替代方法根本不注入(inject) istio 数据库，只需使用 ServiceEntry 将它们添加为外部服务即可。对象。有完整的blog post在 istio 文档中，如何专门使用 MongoDB 做到这一点。该指南有点过时，因此请务必引用当前 documentation page对于 ServiceEntry其中也有使用外部 MongoDB 的示例。
希望能帮助到你。