elasticsearch - 是否可以选择Istio mTLS？

Question

我在Kubernetes 1.15.9上运行了Istio 1.4.0。我正在努力实现以下目标，但是我阅读Istio文档的次数越多，我就越会感到困惑。让我以简单的方式讲。

第一件事是，我想为最大服务(如果可能)使用mTLS。

我有一个在9300上公开服务的elasticsearch-master pods 。我有一个在9200和9300上公开服务的elasticsearch-data pods 。当我启用了Istio的默认自动mTLS时，这两个 pods 都可以正常工作，并且ES较健康集群启动。我认为这是因为ES主节点和数据节点通过端口9300进行通信。而且，我也不想从K8S集群外部访问任何这些ES Pod。

现在，我想启动一个在5601上公开服务的Kibana Pod。当我在启用Istio的默认自动mTLS的情况下启动Kibana Pod时，它无法启动。因为它无法连接到9200上的elasticsearch-data服务。我遇到各种SSL错误(可能是由于整个mTLS引起的？)。我不知道是否有可能在启用整个Istio的自动mTLS的情况下建立此连接。另外，我想从K8S集群外部访问此Kibana。

感谢您的帮助。
谢谢。

Ajit

Answer 1

Kibana仅使用http URL。
但是，为了使Elasticsearch主节点与节点相互通信，我必须将9300端口放入Istio的排除列表中。