google-cloud-platform - 如何在现有 GKE 集群上启用 Istio SDS

Question

我有一个安装了 Istio 插件的现有 GKE 集群，例如:

gcloud beta container clusters create istio-demo \
    --addons=Istio --istio-config=auth=MTLS_PERMISSIVE \
    --cluster-version=[cluster-version] \
    --machine-type=n1-standard-2 \
    --num-nodes=4

我正在关注 this guide安装 cert-manager 以便从 Let's Encrypt 自动提供 TLS 证书。根据指南，Istio 需要启用 SDS，这可以在安装时完成:

helm install istio.io/istio \
       --name istio \
       --namespace istio-system \
       --set gateways.istio-ingressgateway.sds.enabled=true

由于我已经通过 GKE 安装了 Istio，我该如何在现有集群上启用 SDS？或者，是否可以使用 gcloud CLI 在集群创建时启用 SDS？

Answer 1

按设计管理的 Istio 将恢复任何自定义配置并再次禁用 SDS。所以，恕我直言，这是一个无用的场景。您可以按照此 guide 手动启用 SDS ，但请记住，配置只会保持事件状态 2-3 分钟。

目前 GKE 不支持在从头创建集群时启用 SDS。在 GKE 管理的 Istio 上，谷歌希望能够 enable SDS on GKE clusters ，但他们还没有该版本的 ETA。

但是，如果您使用非托管(开源)Istio，SDS 功能在 Istio roadmap 中, 我认为它应该在 1.2 版本中可用，但不能保证。