安装istio

• 在线安装：https://istio.io/latest/docs/setup/getting-started/#download
• 或者直接在这里下载：https://github.com/istio/istio/releases/tag/1.20.2

$ curl -L https://istio.io/downloadIstio | ISTIO_VERSION=1.20.2 TARGET_ARCH=x86_64 sh -
$ cd istio-1.20.2
$ export PATH=$PWD/bin:$PATH

$ istioctl install --set profile=demo -y
✔ Istio core installed
✔ Istiod installed
✔ Egress gateways installed
✔ Ingress gateways installed
✔ Installation complete

卸载

istioctl x uninstall --purge

开启pod自动注入sidecar

$ kubectl label namespace default istio-injection=enabled --overwrite 

[root@elasticsearch02 istio]#  kubectl get namespace -L istio-injection
NAME                          STATUS   AGE     ISTIO-INJECTION
apisix                        Active   7d22h
bigdata                       Active   343d
cattle-impersonation-system   Active   674d
cattle-pipeline               Active   356d
cattle-prometheus             Active   568d
cattle-prometheus-p-whn4g     Active   568d
cattle-system                 Active   2y1d
default                       Active   2y1d    enabled

k8s和istio中的组件对比

查看istio的组件

查看pod 。

kubectl get pods -n istio-system
NAME                                   READY   STATUS    RESTARTS   AGE
istio-egressgateway-67b78cc94c-rm8t5   1/1     Running   0          7m41s
istio-ingressgateway-7d57fd4b-kn8nh    1/1     Running   0          7m41s
istiod-5ddd75f545-kc4lm                1/1     Running   0          8m36s

查看服务 。

kubectl get svc -n istio-system
NAME                   TYPE           CLUSTER-IP      EXTERNAL-IP   PORT(S)                                                                      AGE
istio-egressgateway    ClusterIP      10.43.208.79    <none>        80/TCP,443/TCP                                                               4d17h
istio-ingressgateway   LoadBalancer   10.43.88.59     <pending>     15021:27218/TCP,80:25359/TCP,443:23532/TCP,31400:13324/TCP,15443:25647/TCP   4d18h
istiod                 ClusterIP      10.43.130.158   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP       

istio-ingressgateway 是 Istio 提供的一个组件，它作为 Kubernetes 集群的入口，接收从集群外部来的流量，并根据 Istio 的路由规则将流量转发到集群内部的服务.

在 Kubernetes 中，istio-ingressgateway 通常被部署为一个 LoadBalancer 类型的 Service。如果你的 Kubernetes 集群运行在支持自动创建负载均衡器的云平台上（如 AWS、GCP、Azure 等），那么当你部署 istio-ingressgateway 时，云平台会自动为它创建一个外部的 L4 层负载均衡器，并将该负载均衡器的 IP 地址或者域名设置到 Service 的 status.loadBalancer.ingress 字段.

然而，如果你的 Kubernetes 集群运行在不支持自动创建负载均衡器的环境中（如裸金属服务器、某些私有云环境等），那么 istio-ingressgateway 的状态就会一直是 Pending，因为 Kubernetes 无法为它创建外部的负载均衡器。这种情况下，你需要手动配置一个方式（如使用 NodePort、HostNetwork 或者使用外部的负载均衡器软件）来让外部流量能够访问到 istio-ingressgateway.

总的来说，istio-ingressgateway 的作用是接收并转发从集群外部来的流量。如果它的状态一直是 Pending，那么可能是因为你的环境不支持自动创建负载均衡器，你需要手动配置一个访问方式.

安装后组件的说明

k8s pod,istio service 在Kubernetes集群中安装 Istio 后，会创建一个名为 istio-system 的命名空间，并在其中部署一些核心的 Istio 组件。这些组件包括:

1. istio-egressgateway：Istio出口网关（Egress Gateway）负责管理服务对外部服务的访问，允许服务在网格之外访问外部服务。它可以配置和执行流量控制、安全策略、路由等功能，以便管理服务对外部服务的通信.

2. istio-ingressgateway：Istio入口网关（Ingress Gateway）用于接收来自外部流量并将其引导到网格内部的服务。它充当了整个服务网格的入口点，可以执行流量路由、负载均衡、TLS终止等功能.

3. istiod：istiod 是 Istio 服务网格的核心组件，负责实现服务发现、流量管理、安全性和遥测等功能。istiod 运行着Pilot、Mixer 和 Citadel 等子组件，它们共同协作来提供服务网格的各种功能.

在Kubernetes中使用 Istio，你可以通过以下方式进行操作:

• 部署微服务应用：将你的微服务应用程序部署到Kubernetes集群中，并且通过Istio的流量管理功能实现服务之间的通信、负载均衡和故障恢复等.

• 配置流量控制：利用Istio的流量管理功能，可以对服务之间的流量进行路由、限速、重试策略等灵活的控制.

• 实现安全策略：通过Istio的安全功能，可以在服务之间实现强大的身份验证、安全通信、访问控制等.

• 收集和展示遥测数据：Istio提供了丰富的遥测功能，可以帮助你收集并展示服务之间的流量、延迟、错误等数据，从而进行监控和故障排查.

总之，在Kubernetes中使用 Istio，你可以利用其丰富的功能来实现微服务架构中的流量管理、安全控制、遥测分析等需求，从而更好地管理和运维你的微服务应用程序.

实例体现

要配置 Istio 的流量管理功能，你需要使用 Istio 的资源对象（如 VirtualService、DestinationRule 等）来定义你的流量控制策略。下面是一些基本的步骤和示例，帮助你开始配置 Istio 的流量管理功能:

demo天气例子

apiVersion: v1
kind: Service
metadata:
  name: frontend
  labels:
    app: frontend
    service: frontend
spec:
  ports:
  - port: 3000
    name: http
  selector:
    app: frontend
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: frontend-v1
  labels:
    app: frontend
    version: v1 # 注意，这块对应的是istio配置中的DestinationRule里的label，DestinationRule根据v1找到pod中version为v1的pod
spec:
  selector:
    matchLabels:
      app: frontend
      version: v1
  replicas: 1
  template:
    metadata:
      labels:
        app: frontend
        version: v1
    spec:
      containers:
      - name: frontend
        image: istioweather/frontend:v1
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 3000
---
apiVersion: v1
kind: Service
metadata:
  name: advertisement
  labels:
    app: advertisement
    service: advertisement
spec:
  ports:
  - port: 3003
    name: http
  selector:
    app: advertisement
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: advertisement-v1
  labels:
    app: advertisement
    version: v1
spec:
  selector:
    matchLabels:
      app: advertisement
      version: v1
  replicas: 1
  template:
    metadata:
      labels:
        app: advertisement
        version: v1
    spec:
      containers:
      - name: advertisement
        image: istioweather/advertisement:v1
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 3003
---
apiVersion: v1
kind: Service
metadata:
  name: forecast
  labels:
    app: forecast
    service: forecast
spec:
  ports:
  - port: 3002
    name: http
  selector:
    app: forecast
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: forecast-v1
  labels:
    app: forecast
    version: v1
spec:
  selector:
    matchLabels:
      app: forecast
      version: v1
  replicas: 1
  template:
    metadata:
      labels:
        app: forecast
        version: v1
    spec:
      containers:
      - name: forecast
        image: istioweather/forecast:v1
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 3002
---

部署istio服务

步骤一：创建Gateway

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: weather-gateway
  namespace: istio-system
spec:
  selector:
    istio: ingressgateway # use istio default controller
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*" #对所有域名都生效

步骤一：创建 VirtualService

VirtualService 定义了请求应该如何路由到目标服务。例如，你可以根据请求的路径、主机名等条件将请求路由到不同的服务版本.

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: my-service
spec:
  hosts:
  - "vue.xip.com" #这里配置哪个域名走istio流量控制
  http:
  - route:
    - destination:
        host: frontend
        port:
          number: 8080
        subset: v1

步骤二：创建 DestinationRule

DestinationRule 定义了对特定服务的流量策略，包括负载均衡、TLS设置等.

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: my-service
spec:
  host: frontend
  subsets:
  - name: v1
    labels:
      version: v1 # 转发到pod中标签有version的，并且值为v1的
  - name: v2
    labels:
      version: v2

查看已经创建的gateway,virtualService

kubectl get gateway -n <namespace>
kubectl describe gateway <gateway-name> -n <namespace>

kubectl get virtualservice -n <namespace>
kubectl describe virtualservice <virtualservice-name> -n <namespace>

查看部署后的gateway和virutalservice

gateway 。

[root@elasticsearch02 istio]# kubectl describe gateway weather-gateway  -n istio-system
Name:         weather-gateway
Namespace:    istio-system
Labels:       <none>
Annotations:  kubectl.kubernetes.io/last-applied-configuration:
                {"apiVersion":"networking.istio.io/v1alpha3","kind":"Gateway","metadata":{"annotations":{},"name":"weather-gateway","namespace":"istio-sys...
API Version:  networking.istio.io/v1beta1
Kind:         Gateway
Metadata:
  Creation Timestamp:  2024-01-24T03:08:34Z
  Generation:          4
  Managed Fields:
    API Version:  networking.istio.io/v1alpha3
    Fields Type:  FieldsV1
    fieldsV1:
      f:metadata:
        f:annotations:
          .:
          f:kubectl.kubernetes.io/last-applied-configuration:
      f:spec:
        .:
        f:selector:
          .:
          f:istio:
        f:servers:
    Manager:         kubectl
    Operation:       Update
    Time:            2024-01-24T03:08:34Z
  Resource Version:  190297478
  UID:               4e92bf14-dda0-468a-8c9f-00b3297b121e
Spec:
  Selector:
    Istio:  ingressgateway
  Servers:
    Hosts:
      *
    Port:
      Name:      http
      Number:    80
      Protocol:  HTTP
Events:          <none>

virtualservice 。

[root@elasticsearch02 istio]# kubectl describe virtualservice frontend-route -n ic-test
Name:         frontend-route
Namespace:    ic-test
Labels:       <none>
Annotations:  kubectl.kubernetes.io/last-applied-configuration:
                {"apiVersion":"networking.istio.io/v1alpha3","kind":"VirtualService","metadata":{"annotations":{},"name":"frontend-route","namespace":"ic-...
API Version:  networking.istio.io/v1beta1
Kind:         VirtualService
Metadata:
  Creation Timestamp:  2024-01-24T03:08:55Z
  Generation:          6
  Managed Fields:
    API Version:  networking.istio.io/v1alpha3
    Fields Type:  FieldsV1
    fieldsV1:
      f:metadata:
        f:annotations:
          .:
          f:kubectl.kubernetes.io/last-applied-configuration:
      f:spec:
        .:
        f:gateways:
        f:hosts:
        f:http:
    Manager:         kubectl
    Operation:       Update
    Time:            2024-01-24T03:08:55Z
  Resource Version:  190328684
  UID:               94c655d1-c48a-45b6-8f90-e0bf214702eb
Spec:
  Gateways:
    istio-system/weather-gateway
  Hosts:
    vue.xip.com
  Http:
    Match:
      Port:  80
    Route:
      Destination:
        Host:  frontend
        Port:
          Number:  3000
        Subset:    v1
Events:            <none>

在ingress中可视化体现，多个域名都通过istio ingress去管理入口流量

自动sidecar注入配置

要在 Istio 中开启自动的 sidecar 注入，你可以通过以下步骤来实现:

1. 安装 Istio：首先需要安装 Istio 到你的 Kubernetes 集群中。你可以使用 istioctl 或者 Helm 来进行安装，具体安装步骤可以参考 Istio 官方文档.

2. 开启自动 sidecar 注入：在安装 Istio 时，你可以选择开启自动 sidecar 注入功能。在 Istio 1.5 版本后，默认情况下自动 sidecar 注入功能是开启的，但在一些特定情况下可能需要手动确认是否已经开启.

3. 确认命名空间标签：确保你要启用自动 sidecar 注入的命名空间已经添加了 Istio 的注入标签。你可以通过以下命令来查看:

   kubectl get namespace your-namespace -o=jsonpath='{.metadata.labels}'
   

   如果没有 istio-injection 标签，你可以使用以下命令来为命名空间添加标签:

   kubectl label namespace your-namespace istio-injection=enabled
   

4. 部署新的 Pod：一旦确认自动 sidecar 注入功能已经开启，并且命名空间已经添加了 Istio 的注入标签，当你部署新的 Pod 时，Istio 将会自动为其注入 sidecar 容器.

通过以上步骤，你应该能够成功地开启 Istio 中的自动 sidecar 注入功能，并确保所有的服务都能够通过 Envoy 代理进行流量管理和控制.

istio中的对象汇总

在 Istio 中，ServiceEntry、DestinationRule 和 VirtualService 是用来定义和配置流量管理的重要概念。下面简要介绍它们的作用:

1. ServiceEntry:

   • 作用：ServiceEntry 允许你将外部服务引入到 Istio 网格中，或者定义对外部服务的访问策略。
   • 场景：当你需要让 Istio 管理对外部服务的访问时，可以使用 ServiceEntry 将外部服务引入到 Istio 网格中，并对其进行流量控制和安全策略的定义。

2. DestinationRule:

   • 作用：DestinationRule 定义了对特定服务的流量策略，包括负载均衡、TLS设置等。
   • 场景：在 Istio 中，你可以使用 DestinationRule 来定义对服务的流量策略，比如指定不同版本的服务之间的流量比例、超时设置、负载均衡策略等。

3. VirtualService:

   • 作用：VirtualService 定义了请求应该如何路由到目标服务，以及对请求的修改和转发。
   • 场景：通过 VirtualService，你可以定义基于请求的流量路由规则，比如根据请求的路径、主机名等条件将请求路由到不同的服务版本，还可以定义请求的修改和转发。

这些概念一起构成了 Istio 中强大的流量管理功能，使得你能够灵活地定义和控制服务之间的通信和流量行为。通过合理使用这些概念，你可以实现诸如流量控制、故障恢复、A/B 测试、蓝绿部署等高级的流量管理策略.

除了 ServiceEntry、DestinationRule 和 VirtualService，Istio 还有一些其他重要的对象和资源，用于定义和配置服务网格中的各种功能和策略。以下是一些常见的 Istio 对象:

1. Gateway：用于定义 Istio 网格的入口点，允许流量进入网格并将其路由到适当的服务.

2. Sidecar：在 Istio 中，每个部署的应用程序都会有一个称为 sidecar 的边车代理，它负责处理应用程序的所有网络通信，并与 Istio 控制平面进行交互.

3. AuthorizationPolicy：用于定义对服务之间流量的访问控制策略，包括认证、授权和安全策略等.

4. PeerAuthentication：用于定义服务之间的双向 TLS 认证策略，确保服务之间的通信是安全的.

5. RequestAuthentication：用于定义对服务端点的请求认证策略，可以限制来自客户端的请求必须满足特定的认证条件.

6. EnvoyFilter：允许你为 Envoy 代理定义自定义的过滤器和配置，以实现更灵活的流量控制和处理.

7. ServiceRole 和 ServiceRoleBinding：用于定义对服务的角色和权限控制，可以限制哪些服务具有对其他服务的访问权限.

这些对象一起构成了 Istio 的配置模型，通过对这些对象的定义和配置，你可以实现对服务网格中流量管理、安全性、可观察性等方面的精细控制。因此，熟悉并理解这些对象是使用 Istio 进行微服务架构管理的关键.

在istio中，Gateway，DestinationRule和VirtualService三者之间的关系可以用以下文字图示表示:

         +-------------------+
         |      Gateway      |
         +---------+---------+
                   |
                   v
         +---------+---------+
         |  VirtualService  |
         +---------+---------+
                   |
                   v
         +---------+---------+
         |  DestinationRule |
         +-------------------+

在这个示意图中，Gateway负责接收外部流量，并将其转发到内部服务。VirtualService定义了流量的路由规则，指定了如何将接收到的流量发送到不同的目标服务或版本。而DestinationRule定义了服务之间的通信策略，包括负载均衡、故障恢复等。因此，这三者之间存在一定的依赖关系，Gateway接收流量并将其传递给VirtualService，而VirtualService再根据定义的规则将流量分发给后端服务，同时DestinationRule定义了这些后端服务之间的通信策略.

Envoy Sidecar模式

当你将Istio部署到Kubernetes集群中时，它在外部流量转发的过程中起到了以下作用:

1. 流量管理：Istio通过Envoy sidecar代理来管理流量，可以实现流量控制、负载均衡、故障恢复和A/B测试等功能.

2. 安全：Istio提供了服务间的认证、加密通信和访问控制，确保了服务之间的安全通信.

3. 监控：Istio收集并展示了整个服务网格的指标、日志和跟踪数据，帮助你更好地监控和调试服务.

4. 策略执行：Istio可以通过定义网络策略来限制流量，例如路由规则、重试策略、超时设置等.

下面是一个简单的图示，描述了在Kubernetes集群中使用Istio的流量管理过程:

外部流量 -> Ingress -> Istio Ingress Gateway -> Envoy Sidecar -> 后端服务

在这个示意图中，外部流量首先经过Kubernetes的Ingress，然后被Istio Ingress Gateway接管，并通过Envoy sidecar代理进行流量管理，最终到达后端服务.

最后此篇关于k8s~istio的安装与核心组件的文章就讲到这里了,如果你想了解更多关于k8s~istio的安装与核心组件的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。