1.14. Service Mesh でのトラフィックの管理

手順

1. Istio Ingress ゲートウェイに一意のラベルを設定します。この設定は、ゲートウェイがワークロードを選択できるようにするために必要です。この例では、ゲートウェイの名前として ingressgateway を使用しています。

   apiVersion: v1
   kind: Service
   metadata:
     name: istio-ingressgateway
     namespace: istio-ingress
   spec:
     type: ClusterIP
     selector:
       istio: ingressgateway
     ports:
     - name: http
       port: 80
       targetPort: 8080
     - name: https
       port: 443
       targetPort: 8443
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: istio-ingressgateway
     namespace: istio-ingress
   spec:
     selector:
       matchLabels:
         istio: ingressgateway
     template:
       metadata:
         annotations:
           inject.istio.io/templates: gateway
         labels:
           istio: ingressgateway
           sidecar.istio.io/inject: "true" 1
       spec:
         containers:
         - name: istio-proxy
           image: auto 2

   1

   sidecar.istio.io/inject フィールドを "true" に設定して、ゲートウェイの注入を有効にします。

   2

   Pod が起動するたびにイメージが自動的に更新されるように、image フィールドを auto に設定します。

2. TLS の認証情報の読み取りを許可するロールを設定します。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: istio-ingressgateway-sds
     namespace: istio-ingress
   rules:
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["get", "watch", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: istio-ingressgateway-sds
     namespace: istio-ingress
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: istio-ingressgateway-sds
   subjects:
   - kind: ServiceAccount
     name: default

3. spec.security.manageNetworkPolicy が true に設定されている場合は常に必要となる、クラスターの外部からの新しいゲートウェイへのアクセスを許可します。

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: gatewayingress
     namespace: istio-ingress
   spec:
     podSelector:
       matchLabels:
         istio: ingressgateway
     ingress:
       - {}
     policyTypes:
     - Ingress

4. イングレストラフィックが増加すると、Pod を自動的にスケーリングします。この例では、最小レプリカ数を 2 に、最大レプリカ数を 5 に設定します。また、使用率が 80% に達すると、別のレプリカが作成されます。

   apiVersion: autoscaling/v2
   kind: HorizontalPodAutoscaler
   metadata:
     labels:
       istio: ingressgateway
       release: istio
     name: ingressgatewayhpa
     namespace: istio-ingress
   spec:
     maxReplicas: 5
     metrics:
     - resource:
         name: cpu
         target:
           averageUtilization: 80
           type: Utilization
       type: Resource
     minReplicas: 2
     scaleTargetRef:
       apiVersion: apps/v1
       kind: Deployment
       name: istio-ingressgateway

5. ノードで実行する必要がある Pod の最小数を指定します。この例では、Pod が新しいノードで再起動した場合に、1 つのレプリカが実行していることを確認します。

   apiVersion: policy/v1
   kind: PodDisruptionBudget
   metadata:
     labels:
       istio: ingressgateway
       release: istio
     name: ingressgatewaypdb
     namespace: istio-ingress
   spec:
     minAvailable: 1
     selector:
       matchLabels:
         istio: ingressgateway

手順

1. トラフィックを受け入れるゲートウェイを作成します。

   1. YAML ファイルを作成し、以下の YAML をこれにコピーします。

      ゲートウェイの例 (gateway.yaml)

      apiVersion: networking.istio.io/v1alpha3
      kind: Gateway
      metadata:
        name: info-gateway
      spec:
        selector:
          istio: ingressgateway
        servers:
        - port:
            number: 80
            name: http
            protocol: HTTP
          hosts:
          - "*"

   2. YAML ファイルを適用します。

      $ oc apply -f gateway.yaml

2. VirtualService オブジェクトを作成し、ホストヘッダーを再作成します。

   1. YAML ファイルを作成し、以下の YAML をこれにコピーします。

      仮想サービスの例

      apiVersion: networking.istio.io/v1alpha3
      kind: VirtualService
      metadata:
        name: info
      spec:
        hosts:
        - "*"
        gateways:
        - info-gateway
        http:
        - match:
          - uri:
              exact: /productpage
          - uri:
              prefix: /static
          - uri:
              exact: /login
          - uri:
              exact: /logout
          - uri:
              prefix: /api/v1/products
          route:
          - destination:
              host: productpage
              port:
                number: 9080

   2. YAML ファイルを適用します。

      $ oc apply -f vs.yaml

3. ゲートウェイと VirtualService が正しく設定されていることを確認してください。

   1. ゲートウェイ URL を設定します。

      export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

   2. ポート番号を設定します。この例では、istio-system が Service Mesh コントロールプレーンプロジェクトの名前です。

      export TARGET_PORT=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.port.targetPort}')

   3. 明示的に公開されているページをテストします。

      curl -s -I "$GATEWAY_URL/productpage"

      想定される結果は 200 です。

手順

1. アプリケーションに接続するユーザーに基づき、異なるバージョンの Bookinfo アプリケーションサービスのサンプルに、要求をルーティングする以下の例を使用して、YAML ファイルを作成します。

   VirtualService.yaml の例

   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: reviews
   spec:
     hosts:
     - reviews
     http:
     - match:
       - headers:
           end-user:
             exact: jason
       route:
       - destination:
           host: reviews
           subset: v2
     - route:
       - destination:
           host: reviews
           subset: v3

2. 以下のコマンドを実行して VirtualService.yaml を適用します。VirtualService.yaml はファイルへのパスです。

   $ oc apply -f <VirtualService.yaml>

手順

1. OpenShift Container Platform Web コンソールで、Operators Installed Operators をクリックします。
2. Project メニューから、Service Mesh コントロールプレーンをインストールしたプロジェクト (例: istio-system) を選択します。
3. Red Hat OpenShift Service Mesh Operator をクリックします。Istio Service Mesh Control Plane 列で、ServiceMeshControlPlane の名前 (basic-install など) をクリックします。
4. Create ServiceMeshControlPlane Details ページで、YAML をクリックして設定を変更します。

5. 以下の例のように、ServiceMeshControlPlane フィールド spec.security.manageNetworkPolicy を false に設定します。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
         manageNetworkPolicy: false

6. Save をクリックします。

手順

1. 仮想サービスを適用します。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.3/samples/info/networking/virtual-service-all-v1.yaml

2. 仮想サービスの適用を確認するには、以下のコマンドで定義されたルートを表示します。

   $ oc get virtualservices -o yaml

   このコマンドでは、YAML 形式で kind: VirtualService のリソースを返します。

手順

1. GATEWAY_URL パラメーターの値を設定します。この変数を使用して、Bookinfo 製品ページの URL を後で見つけることができます。この例では、istio-system はコントロールプレーンプロジェクトの名前です。

   export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

2. 以下のコマンドを実行して、製品ページの URL を取得します。

   echo "http://$GATEWAY_URL/productpage"

3. ブラウザーで Bookinfo サイトを開きます。

手順

1. 以下のコマンドを実行して、Bookinfo アプリケーション例でユーザーベースのルーティングを有効にします。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.3/samples/info/networking/virtual-service-reviews-test-v2.yaml

2. 以下のコマンドを実行して、ルールの作成を確認します。このコマンドは、kind: VirtualService のすべてのリソースを YAML 形式で返します。

   $ oc get virtualservice reviews -o yaml

3. Bookinfo アプリケーションの /productpage で、パスワードなしでユーザー jason としてログインします。
4. ブラウザーを更新します。各レビューの横に星評価が表示されます。
5. 別のユーザーとしてログインします (任意の名前を指定します)。ブラウザーを更新します。これで星がなくなりました。Jason 以外のすべてのユーザーのトラフィックが reviews:v1 にルーティングされるようになりました。