6.4. 複数のコントロールプレーンのデプロイ

手順

1. 次のコマンドを実行して、istio-system-1 という最初の Istio コントロールプレーンの namespace を作成します。

   $ oc new-project istio-system-1

2. 次のコマンドを実行して、Istio discoverySelectors フィールドで使用される最初の namespace に次のラベルを追加します。

   $ oc label namespace istio-system-1 istio-discovery=mesh-1

3. 名前を mesh-1、discoverySelector を mesh-1 として、istio-1.yaml という名前の YAML ファイルを作成します。

   設定例

   kind: Istio
   apiVersion: sailoperator.io/v1
   metadata:
     name: mesh-1
   spec:
     namespace: istio-system-1
     values:
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: mesh-1
   # ...

4. 次のコマンドを実行して、最初の Istio リソースを作成します。

   $ oc apply -f istio-1.yaml

5. mesh-1 内のワークロードがメッシュ間の復号化されたトラフィックと自由に通信することを制限するには、PeerAuthentication リソースをデプロイして、mesh-1 データプレーン内で相互 TLS (mTLS) トラフィックを適用します。peer-auth-1.yaml などの設定ファイルを使用して、istio-system-1 namespace に PeerAuthentication リソースを適用します。

   $ oc apply -f peer-auth-1.yaml

   設定例

   apiVersion: security.istio.io/v1
   kind: PeerAuthentication
   metadata:
     name: "mesh-1-peerauth"
     namespace: "istio-system-1"
   spec:
     mtls:
       mode: STRICT

手順

1. 次のコマンドを実行して、istio-system-2 という 2 番目の Istio コントロールプレーンの namespace を作成します。

   $ oc new-project istio-system-2

2. 次のコマンドを実行して、Istio discoverySelectors フィールドで使用される 2 番目の namespace に次のラベルを追加します。

   $ oc label namespace istio-system-2 istio-discovery=mesh-2

3. istio-2.yaml という名前の YAML ファイルを作成します。

   設定例

   kind: Istio
   apiVersion: sailoperator.io/v1
   metadata:
     name: mesh-2
   spec:
     namespace: istio-system-2
     values:
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: mesh-2
   # ...

4. 次のコマンドを実行して、2 番目の Istio リソースを作成します。

   $ oc apply -f istio-2.yaml

5. 次のコマンドを実行して、istio-system-2 namespace 内のワークロードのポリシーをデプロイし、相互 TLS トラフィック peer-auth-2.yaml のみを受け入れます。

   $ oc apply -f peer-auth-2.yaml

   設定例

   apiVersion: security.istio.io/v1
   kind: PeerAuthentication
   metadata:
     name: "mesh-2-peerauth"
     namespace: "istio-system-2"
   spec:
     mtls:
       mode: STRICT

1. 次のコマンドを実行して、ワークロードが istio-system-1 のコントロールプレーンに割り当てられていることを確認します。

   $ oc get pods -n istio-system-1

   出力例

   NAME                            READY   STATUS    RESTARTS   AGE
   istiod-mesh-1-b69646b6f-kxrwk   1/1     Running   0          4m14s

2. 次のコマンドを実行して、ワークロードが istio-system-2 のコントロールプレーンに割り当てられていることを確認します。

   $ oc get pods -n istio-system-2

   出力例

   NAME                            READY   STATUS    RESTARTS   AGE
   istiod-mesh-2-8666fdfc6-mqp45   1/1     Running   0          118s