1.15. 网关迁移

流程

1. 创建新的入口网关，配置为使用网关注入。

   注意

   此流程从 ServiceMeshControlPlane 资源中定义的默认入口网关部署迁移到网关注入。该流程可以被修改，以便从 SMCP 中配置的额外入口网关迁移。

   带有网关注入的 ingress 网关资源示例

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: istio-ingressgateway-canary
     namespace: istio-system 1
   spec:
     selector:
       matchLabels:
         app: istio-ingressgateway
         istio: ingressgateway
     template:
       metadata:
         annotations:
           inject.istio.io/templates: gateway
         labels: 2
           app: istio-ingressgateway
           istio: ingressgateway
           sidecar.istio.io/inject: "true"
       spec:
         containers:
           - name: istio-proxy
             image: auto
         serviceAccountName: istio-ingressgateway
   ---
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: istio-ingressgateway
     namespace: istio-system
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: secret-reader
     namespace: istio-system
   rules:
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["get", "watch", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: istio-ingressgateway-secret-reader
     namespace: istio-system
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: secret-reader
   subjects:
     - kind: ServiceAccount
       name: istio-ingressgateway
   ---
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy 3
   metadata:
     name: gatewayingress
     namespace: istio-system
   spec:
     podSelector:
       matchLabels:
         istio: ingressgateway
     ingress:
       - {}
     policyTypes:
       - Ingress

   1

   网关注入部署和所有支持资源都应部署到与 SMCP 定义网关相同的命名空间中。

   2

   确保 pod 模板中指定的标签包括与现有 SMCP 定义网关关联的 Service 对象中指定的所有标签选择器。

   3

   从集群外部授予对新网关的访问权限。当 ServiceMeshControlPlane 资源的 spec.security.manageNetworkPolicy 设置为 true 时，都需要这个访问权限，这是默认设置。

2. 验证新网关部署是否已成功处理请求。

   如果在 ServiceMeshControlPlane 资源中配置了访问日志记录，请查看新网关部署的访问日志以确认行为。

3. 缩减旧部署并扩展新部署。

   通过执行以下步骤，逐步将流量从旧网关部署移到新的网关部署：

   1. 运行以下命令，增加新网关部署的副本数：

      $ oc scale -n istio-system deployment/<new_gateway_deployment> --replicas <new_number_of_replicas>

   2. 运行以下命令来减少旧网关部署的副本数量：

      $ oc scale -n istio-system deployment/<old_gateway_deployment> --replicas <new_number_of_replicas>

   3. 重复运行前面的两个命令。每次，增加新网关部署的副本数量，并减少旧网关部署的副本数量。继续重复，直到新网关部署处理到网关 Service 对象的所有流量。

4. 运行以下命令，从网关 Service 对象中删除 app.kubernetes.io/managed-by 标签：

   $ oc label service -n istio-system istio-ingressgateway app.kubernetes.io/managed-by-

   删除标签可防止在 ServiceMeshControlPlane 资源中禁用网关时删除服务。

5. 运行以下命令，从网关 Service 对象中删除 ownerReferences 对象：

   $ oc patch service -n istio-system istio-ingressgateway --type='json' -p='[{"op": "remove", "path": "/metadata/ownerReferences"}]'

   删除此对象可防止删除 ServiceMeshControlPlane 资源时收集服务。

6. 运行以下命令，禁用由 ServiceMeshControlPlane 资源管理的旧网关部署：

   $ oc patch smcp -n istio-system <smcp_name> --type='json' -p='[{"op": "replace", "path": "/spec/gateways/ingress/enabled", "value": false}]'

   注意

   当禁用旧的 ingress 网关 Service 对象时，它不会被删除。您可以将此 Service 对象保存到文件中，并将其与新的网关注入资源一起进行管理。