Service Mesh

流程

1. 登陆到 OpenShift Container Platform Web 控制台。

2. 如果您还没有网格服务，或者您从头开始，请为您的应用程序创建一个项目。它必须与安装 Service Mesh control plane 的项目不同。

   1. 浏览至 Home → Project。
   2. 在 Name 字段中输入一个名称。
   3. 点 Create。
3. 导航到 Operators → Installed Operators。
4. 点 Project 菜单，从列表中选择部署 ServiceMeshControlPlane 资源的项目，如 istio-system。
5. 点 Red Hat OpenShift Service Mesh Operator。
6. 点 Istio Service Mesh Member Roll 选项卡。
7. 点 Create ServiceMeshMemberRoll
8. 单击 Members，然后在 Value 字段中输入项目名称。您可以添加多个项目，但每个项目只能属于一个 ServiceMeshMemberRoll 资源。
9. 点 Create。

流程

1. 登录 OpenShift Container Platform CLI。

   $ oc login --username=<NAMEOFUSER> https://<HOSTNAME>:6443

2. 如果您还没有网格服务，或者您从头开始，请为您的应用程序创建一个项目。它必须与安装 Service Mesh control plane 的项目不同。

   $ oc new-project <your-project>

3. 要添加项目作为成员，请修改以下示例 YAML:您可以添加多个项目，但每个项目只能属于一个 ServiceMeshMemberRoll 资源。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

   servicemeshmemberroll-default.yaml 示例

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system
   spec:
     members:
       # a list of projects joined into the service mesh
       - your-project-name
       - another-project-name

4. 运行以下命令，在 istio-system 命名空间中上传并创建 ServiceMeshMemberRoll 资源。

   $ oc create -n istio-system -f servicemeshmemberroll-default.yaml

5. 运行以下命令，以验证 ServiceMeshMemberRoll 是否已成功创建。

   $ oc get smmr -n istio-system default

   当 STATUS 列为 Configured 时，安装成功完成。

流程

1. 登陆到 OpenShift Container Platform Web 控制台。
2. 导航到 Operators → Installed Operators。
3. 点 Project 菜单，从列表中选择部署 ServiceMeshControlPlane 资源的项目，如 istio-system。
4. 点 Red Hat OpenShift Service Mesh Operator。
5. 点 Istio Service Mesh Member Roll 选项卡。
6. 点 default 链接。
7. 点 YAML 标签。
8. 修改 YAML 以添加或删除作为成员的项目。您可以添加多个项目，但每个项目只能属于一个 ServiceMeshMemberRoll 资源。
9. 点 Save。
10. 点 Reload。

流程

1. 登录 OpenShift Container Platform CLI。

2. 编辑 ServiceMeshMemberRoll 资源。

   $ oc edit smmr -n <controlplane-namespace>

3. 修改 YAML 以添加或删除作为成员的项目。您可以添加多个项目，但每个项目只能属于一个 ServiceMeshMemberRoll 资源。

   servicemeshmemberroll-default.yaml 示例

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system #control plane project
   spec:
     members:
       # a list of projects joined into the service mesh
       - your-project-name
       - another-project-name

流程

1. 以具有 cluster-admin 权限的用户身份登录到 OpenShift Container Platform web 控制台。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。
2. 点 Home → Projects。
3. 点击 Create Project。

4. 在 Project Name 中输入 bookinfo，输入 Display Name 及 Description，然后点 Create。

   • 或者，也可以通过 CLI 运行这个命令来创建 bookinfo 项目。

     $ oc new-project bookinfo

5. 点 Operators → Installed Operators。
6. 点 Project 菜单，使用 Service Mesh control plane 命名空间。在这个示例中，使用 istio-system。
7. 点 Red Hat OpenShift Service Mesh Operator。

8. 点 Istio Service Mesh Member Roll 选项卡。

   1. 如果您已经创建了 Istio Service Mesh Member Roll，请名称，然后点击 YAML 标签来打开 YAML 编辑器。
   2. 如果您还没有创建 ServiceMeshMemberRoll，点 Create ServiceMeshMemberRoll。
9. 单击 Members，然后在 Value 字段中输入项目名称。

10. 点 Create 保存更新的 Service Mesh Member Roll。

    1. 或者，将以下示例保存到 YAML 文件中。

       Bookinfo ServiceMeshMemberRoll 示例 servicemeshmemberroll-default.yaml

       apiVersion: maistra.io/v1
       kind: ServiceMeshMemberRoll
       metadata:
         name: default
       spec:
         members:
         - bookinfo

    2. 运行以下命令上传该文件，并在 istio-system 命名空间中创建 ServiceMeshMemberRoll 资源。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

       $ oc create -n istio-system -f servicemeshmemberroll-default.yaml

11. 运行以下命令，以验证 ServiceMeshMemberRoll 是否已成功创建。

    $ oc get smmr -n istio-system -o wide

    当 STATUS 列为 Configured 时，安装成功完成。

    NAME      READY   STATUS       AGE   MEMBERS
    default   1/1     Configured   70s   ["bookinfo"]

12. 在 CLI 中，通过应用 bookinfo.yaml 文件在 `bookinfo` 项目中部署 Bookinfo：

    $ oc apply -n bookinfo -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/platform/kube/bookinfo.yaml

    您应该看到类似如下的输出：

    service/details created
    serviceaccount/bookinfo-details created
    deployment.apps/details-v1 created
    service/ratings created
    serviceaccount/bookinfo-ratings created
    deployment.apps/ratings-v1 created
    service/reviews created
    serviceaccount/bookinfo-reviews created
    deployment.apps/reviews-v1 created
    deployment.apps/reviews-v2 created
    deployment.apps/reviews-v3 created
    service/productpage created
    serviceaccount/bookinfo-productpage created
    deployment.apps/productpage-v1 created

13. 通过应用 bookinfo-gateway.yaml 文件创建入站网关 ：

    $ oc apply -n bookinfo -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/bookinfo-gateway.yaml

    您应该看到类似如下的输出：

    gateway.networking.istio.io/bookinfo-gateway created
    virtualservice.networking.istio.io/bookinfo created

14. 设置 GATEWAY_URL 参数的值：

    $ export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

流程

1. 要添加目的地规则，请运行以下命令之一：

   • 如果没有启用 mutual TLS：

     $ oc apply -n bookinfo -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all.yaml

   • 如果启用了 nutual TLS：

     $ oc apply -n bookinfo -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/destination-rule-all-mtls.yaml

     您应该看到类似如下的输出：

     destinationrule.networking.istio.io/productpage created
     destinationrule.networking.istio.io/reviews created
     destinationrule.networking.istio.io/ratings created
     destinationrule.networking.istio.io/details created

通过 CLI 的步骤

1. 登录 OpenShift Container Platform CLI。

2. 验证所有 pod 是否都与此命令就绪：

   $ oc get pods -n bookinfo

   所有容器集的状态都应为 Running。您应该看到类似如下的输出：

   NAME                              READY   STATUS    RESTARTS   AGE
   details-v1-55b869668-jh7hb        2/2     Running   0          12m
   productpage-v1-6fc77ff794-nsl8r   2/2     Running   0          12m
   ratings-v1-7d7d8d8b56-55scn       2/2     Running   0          12m
   reviews-v1-868597db96-bdxgq       2/2     Running   0          12m
   reviews-v2-5b64f47978-cvssp       2/2     Running   0          12m
   reviews-v3-6dfd49b55b-vcwpf       2/2     Running   0          12m

3. 运行以下命令来检索产品页面的 URL:

   echo "http://$GATEWAY_URL/productpage"

4. 在网页浏览器中复制并粘贴输出以验证是否已部署了 Bookinfo 产品页面。

来自 Kiali web 控制台的步骤

1. 获取 Kiali web 控制台的地址。

   1. 以具有 cluster-admin 权限的用户身份登录 OpenShift Container Platform web 控制台。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。
   2. 进入 Networking → Routes。

   3. 在 Routes 页面中，从 Namespace 菜单中选择 Service Mesh control plane 项目，如 istio-system。

      Location 列显示每个路由的链接地址。

   4. 点 Kiali 的 Location 列中的链接。
   5. 单击 Log In With OpenShift。Kiali Overview 屏幕显示每个项目命名空间的标题。
2. 在 Kiali 中，点 Graph。
3. 从 Namespace 列表中选择 bookinfo，从 Graph Type 列表中选择 App graph。

4. 从 Display 菜单中选择 Display idle nodes。

   这将显示定义的节点，但尚未收到或发送请求。它可以确认应用已正确定义，但未报告任何请求流量。

   
   • 使用 Duration 菜单增加时间段，以帮助确保捕获旧的流量。
   • 使用 Refresh Rate 菜单刷新流量频率或更小，或者根本不刷新流量。
5. 点 Services、Workloads 或 Istio Config 查看 bookinfo 组件列表视图，并确认它们是否正常运行。

流程

1. 切换到包含 ServiceMeshControlPlane 资源的项目。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

   $ oc project istio-system

2. 检查 v2 ServiceMeshControlPlane 资源配置以验证其是否有效。

   1. 运行以下命令，将您的 ServiceMeshControlPlane 资源视为 v2 资源。

      $ oc get smcp -o yaml

      提示

      备份 Service Mesh control plane 配置。

3. 更新 .spec.version 字段并应用配置。

   例如：

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: basic
   spec:
     version: v2.2

   另外，您可以使用 Web 控制台编辑 Service Mesh control plane，而不是使用命令行。在 OpenShift Container Platform Web 控制台中，点 Project 并选择您刚才输入的项目名称。

   1. 点 Operators → Installed Operators。
   2. 查找 ServiceMeshControlPlane 实例。
   3. 选择 YAML view 并更新 YAML 文件的文本，如上例中所示。
   4. 点击 Save。

流程

1. 以 cluster-admin 用户身份登录 OpenShift Container Platform CLI。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。

2. 在 CLI 中运行这个命令，在 openshift-operators 项目中创建名为 smcp-templates 的 ConfigMap，并将 <profiles-directory> 替换成本地磁盘上的 ServiceMeshControlPlane 文件的位置：

   $ oc create configmap --from-file=<profiles-directory> smcp-templates -n openshift-operators

3. 您可以使用 ServiceMeshControlPlane 中的 profile 参数指定一个或多个模板。

     apiVersion: maistra.io/v2
     kind: ServiceMeshControlPlane
     metadata:
       name: basic
     spec:
       profiles:
       - default

流程

1. 登录到 web 控制台。
2. 点 Project 菜单，选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 点 Operators → Installed Operators。
4. 点 Provided APIs 下的 Service Mesh Control Plane。
5. 点 ServiceMeshControlPlane 资源的名称，例如 basic。
6. 在 Details 页面中，单击 Data Plane Security 的 Security 部分中的切换。

1. 本地保存 Maistra repo 中的示例证书,，将 <path> 替换为证书的路径。

2. 创建名为 cacert 的 secret，其中包含输入文件 ca-cert.pem、ca-key.pem、root-cert.pem 和 cert-chain.pem。

   $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. 在 ServiceMeshControlPlane 资源中将 spec.security.dataPlane.mtls 设置为 true，并配置 certificateAuthority 字段，如下例所示。默认 rootCADir 是 /etc/cacerts。如果在默认位置挂载了密钥和证书，则不需要设置 privateKey。Service Mesh 从 secret-mount 文件中读取证书和密钥。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. 创建/更改/取消设置 cacert secret 后，Service Mesh control plane istiod 和 gateway pod 必须重启，以便更改生效。使用以下命令重启 pod：

   $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

   Operator 会在 pod 被删除后自动重新创建。

5. 重启 bookinfo 应用程序 pod，以便 sidecar 代理会获取 secret 的更改。使用以下命令重启 pod：

   $ oc -n bookinfo delete pods --all

   您应该看到类似如下的输出：

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. 使用以下命令验证 pod 是否已创建并就绪：

   $ oc get pods -n bookinfo

1. 要从 bookinfo 工作负载中提取证书，请使用以下命令：

   $ sleep 60
   $ oc -n bookinfo exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' bookinfo-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

   运行此命令后，您的工作目录中应当有三个文件： proxy-cert-1.pem、proxy-cert-2.pem 和 proxy-cert-3.pem。

2. 验证 root 证书是否与管理员指定证书相同。将 <path> 替换为证书的路径。

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   在终端窗口中运行以下语法：

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   通过在终端窗口中运行以下命令来比较证书。

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

   您应看到以下结果：Files /tmp/root-cert.crt.txt and /tmp/pod-root-cert.crt.txt are identical

3. 验证 CA 证书是否与管理员指定证书相同。将 <path> 替换为证书的路径。

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   在终端窗口中运行以下语法：

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   通过在终端窗口中运行以下命令来比较证书。

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

   您应看到以下结果：Files /tmp/ca-cert.crt.txt and /tmp/pod-cert-chain-ca.crt.txt are identical.

4. 从 root 证书到工作负载证书验证证书链。将 <path> 替换为证书的路径。

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

   您应看到以下结果：./proxy-cert-1.pem: OK

1. 删除 secret cacert。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

   $ oc delete secret cacerts -n istio-system

2. 在 ServiceMeshControlPlane 资源中使用自签名 root 证书重新部署 Service Mesh。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true

流程

1. 创建网关以接受流量。

   1. 创建 YAML 文件，并将以下 YAML 复制到其中：

      网关 gateway.yaml 示例

      apiVersion: networking.istio.io/v1alpha3
      kind: Gateway
      metadata:
        name: bookinfo-gateway
      spec:
        selector:
          istio: ingressgateway
        servers:
        - port:
            number: 80
            name: http
            protocol: HTTP
          hosts:
          - "*"

   2. 应用 YAML 文件。

      $ oc apply -f gateway.yaml

2. 创建 VirtualService 对象来重写主机标头。

   1. 创建 YAML 文件，并将以下 YAML 复制到其中：

      虚拟服务示例

      apiVersion: networking.istio.io/v1alpha3
      kind: VirtualService
      metadata:
        name: bookinfo
      spec:
        hosts:
        - "*"
        gateways:
        - bookinfo-gateway
        http:
        - match:
          - uri:
              exact: /productpage
          - uri:
              prefix: /static
          - uri:
              exact: /login
          - uri:
              exact: /logout
          - uri:
              prefix: /api/v1/products
          route:
          - destination:
              host: productpage
              port:
                number: 9080

   2. 应用 YAML 文件。

      $ oc apply -f vs.yaml

3. 测试网关和 VirtualService 已正确设置。

   1. 设置网关 URL。

      export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

   2. 设置端口号。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

      export TARGET_PORT=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.port.targetPort}')

   3. 测试已明确公开的页面。

      curl -s -I "$GATEWAY_URL/productpage"

      预期的结果为 200。

流程

1. 使用以下示例创建 YAML 文件，根据用户连接到应用程序的不同版本将请求路由到 Bookinfo 示例应用程序服务的不同版本。

   VirtualService.yaml 示例

   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: reviews
   spec:
     hosts:
     - reviews
     http:
     - match:
       - headers:
           end-user:
             exact: jason
       route:
       - destination:
           host: reviews
           subset: v2
     - route:
       - destination:
           host: reviews
           subset: v3

2. 运行以下命令以应用 VirtualService.yaml，其中 VirtualService.yaml 是文件的路径。

   $ oc apply -f <VirtualService.yaml>

流程

1. 在 OpenShift Container Platform web 控制台中，点击 Operators → Installed Operators。
2. 从 Project 菜单中选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 点 Red Hat OpenShift Service Mesh Operator。在 Istio Service Mesh Control Plane 栏中，点 ServiceMeshControlPlane 的名称，如 basic-install。
4. 在 Create ServiceMeshControlPlane Details 页中，点 YAML 修改您的配置。

5. 将 ServiceMeshControlPlane 字段 spec.security.manageNetworkPolicy 设置为 false，如下例所示。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
         manageNetworkPolicy: false

6. 点击 Save。

流程

1. 应用虚拟服务。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/virtual-service-all-v1.yaml

2. 要验证是否应用了虚拟服务，请使用以下命令显示定义的路由：

   $ oc get virtualservices -o yaml

   该命令返回一个 kind: VirtualService 资源，采用 YAML 格式。

流程

1. 设置 GATEWAY_URL 参数的值。您可以在以后使用这个变量查找 Bookinfo 产品页面的 URL。在本例中，istio-system 是 control plane 项目的名称。

   export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

2. 运行以下命令，以检索产品页面的 URL:

   echo "http://$GATEWAY_URL/productpage"

3. 在浏览器中打开 Bookinfo 网站。

流程

1. 运行以下命令在 Bookinfo 示例应用程序中启用基于用户的路由。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.2/samples/bookinfo/networking/virtual-service-reviews-test-v2.yaml

2. 运行以下命令，以确认创建了该规则。此命令返回 YAML 格式的所有 kind: VirtualService。

   $ oc get virtualservice reviews -o yaml

3. 在 Bookinfo 应用程序的 /productpage 中，以用户 jason 身份在无需密码的情况下进行登录。
4. 刷新浏览器。星级分级会出现在每条评论旁。
5. 以其他用户身份登录（选择任意名称）。刷新浏览器。现在就不会出现星级评分。现在，除 Jason 外，所有用户的流量都会被路由到 review :v1。

流程

1. 启动 Kiali 控制台。
2. 单击 Log In With OpenShift。
3. 在 Kiali 控制台中，点 Graph 查看命名空间图。
4. 在 Namespace 菜单中选择应用程序命名空间，例如 bookinfo。

5. 要选择不同的图形布局，请执行以下任一操作：

   • 从图顶部的菜单中选择不同的图形数据分组。

     • 应用程序图
     • 服务图
     • 版本化应用图（默认）
     • 工作负载图

   • 从图形底部的图标中选择不同的图形布局。

     • 布局默认 dagre
     • 布局 1 cose-bilkent
     • 布局 2 cola

流程

1. 启动 Kiali 控制台。

2. 单击 Log In With OpenShift。

   Kiali Overview 页面会显示添加到具有权限的网格中的命名空间。

3. 单击 Workloads。
4. 在 Workloads 页面中，从 Namespace 菜单中选择项目。
5. 如有必要，使用过滤器来查找您要查看的日志的工作负载。单击工作负载名称。例如，单击 ratings-v1。
6. 在 Workload Details 页面中，单击 Logs 选项卡来查看工作负载的日志。

流程

1. 启动 Kiali 控制台。

2. 单击 Log In With OpenShift。

   Kiali Overview 页面会显示添加到具有权限的网格中的命名空间。

3. 单击 Applications、Workloads 或 Services。
4. 在 Applications、Workloads 或 Services 页面上，从 Namespace 菜单中选择项目。
5. 如有必要，使用过滤器来查找您要查看其日志的应用程序、工作负载或服务。单击 Name。
6. 在 Application Detailstail、Workload Details 或 Service Details 页面中，单击 Inbound Metrics 或 Outbound Metrics 选项卡来查看指标。

流程

1. 在 OpenShift Container Platform web 控制台中，点击 Operators → Installed Operators。
2. 点 Project 菜单，选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 点 Red Hat OpenShift Service Mesh Operator。在 Istio Service Mesh Control Plane 列中，点 ServiceMeshControlPlane 资源的名称，例如 basic。

4. 将分布式追踪平台实例的名称添加到 ServiceMeshControlPlane。

   1. 点 YAML 标签。

   2. 将分布式追踪平台实例的名称添加到 ServiceMeshControlPlane 资源中的 spec.addons.jaeger.name 中。在以下示例中，distr-tracing-production 是分布式追踪平台实例的名称。

      分布式追踪配置示例

      spec:
        addons:
          jaeger:
            name: distr-tracing-production

   3. 点击 Save。
5. 点 Reload 来验证 ServiceMeshControlPlane 资源已被正确配置。

流程

1. 在 OpenShift Container Platform web 控制台中，点击 Operators → Installed Operators。
2. 点 Project 菜单并选择安装 control plane 的项目，如 istio-system。
3. 点 Red Hat OpenShift Service Mesh Operator。在 Istio Service Mesh Control Plane 列中，点 ServiceMeshControlPlane 资源的名称，例如 basic。

4. 要调整抽样率，请为 spec.tracing.sampling 设置不同的值。

   1. 点 YAML 标签。

   2. 为 ServiceMeshControlPlane 资源中的 spec.tracing.sampling 设置值。在以下示例中，将它设置为 100。

      Jaeger 抽样示例

      spec:
        tracing:
          sampling: 100

   3. 点击 Save。
5. 点 Reload 来验证 ServiceMeshControlPlane 资源已被正确配置。

1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform Web 控制台。
2. 导航到 Operators → Installed Operators。
3. 点 Project 菜单，选择安装 Service Mesh control plane 的项目。例如： red-mesh-system。
4. 点 Red Hat OpenShift Service Mesh Operator。
5. 在 Istio Service Mesh Control Plane 选项卡中，点击 ServiceMeshControlPlane 的名称，如 red-mesh。
6. 在 Create ServiceMeshControlPlane Details 页中，点 YAML 修改您的配置。
7. 修改 ServiceMeshControlPlane 以添加联合入口和出口网关，并指定信任域。
8. 点击 Save。

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 编辑 ServiceMeshControlPlane 文件，添加联合入口和出口网关，并指定信任域。

4. 运行以下命令编辑 Service Mesh control plane，其中 red-mesh-system 是系统命名空间，red-mesh 是 ServiceMeshControlPlane 对象的名称：

   $ oc edit -n red-mesh-system smcp red-mesh

5. 输入以下命令，其中 red-mesh-system 是系统命名空间，以查看 Service Mesh control plane 安装的状态。

   $ oc get smcp -n red-mesh-system

   当 READY 列指出所有组件都已就绪时，安装成功完成。

   NAME       READY   STATUS            PROFILES      VERSION   AGE
   red-mesh   10/10   ComponentsReady   ["default"]   2.1.0     4m25s

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 根据以下示例为您要联合的两个网格创建一个 ServiceMeshPeer 文件。

   red-mesh 到 green-mesh 的 ServiceMeshPeer 资源示例

   kind: ServiceMeshPeer
   apiVersion: federation.maistra.io/v1
   metadata:
     name: green-mesh
     namespace: red-mesh-system
   spec:
     remote:
       addresses:
       - ingress-red-mesh.green-mesh-system.apps.domain.com
     gateways:
       ingress:
         name: ingress-green-mesh
       egress:
         name: egress-green-mesh
     security:
       trustDomain: green-mesh.local
       clientID: green-mesh.local/ns/green-mesh-system/sa/egress-red-mesh-service-account
       certificateChain:
         kind: ConfigMap
         name: green-mesh-ca-root-cert

4. 运行以下命令来部署资源，其中 red-mesh-system 是系统命名空间，servicemeshpeer.yaml 包含您编辑的文件的完整路径：

   $ oc create -n red-mesh-system -f servicemeshpeer.yaml

5. 要确认在红色网格和绿色网格间建立了连接，请在 red-mesh-system命名空间中检查 green-mesh ServiceMeshPeer 的状态：

   $ oc -n red-mesh-system get servicemeshpeer green-mesh -o yaml

   red-mesh 和 green-mesh 之间的 ServiceMeshPeer 连接示例

   status:
     discoveryStatus:
       active:
       - pod: istiod-red-mesh-b65457658-9wq5j
         remotes:
         - connected: true
           lastConnected: "2021-10-05T13:02:25Z"
           lastFullSync: "2021-10-05T13:02:25Z"
           source: 10.128.2.149
         watch:
           connected: true
           lastConnected: "2021-10-05T13:02:55Z"
           lastDisconnectStatus: 503 Service Unavailable
           lastFullSync: "2021-10-05T13:05:43Z"

   status.discoveryStatus.active.remotes 字段显示 peer mesh 中的 istiod（在本例中为绿色网格）连接到当前网格中的 istiod（本例中为红色网格）。

   status.discoveryStatus.active.watch 字段显示当前网格中的 istiod 连接到对等网格中的 istiod。

   如果在 green-mesh-system 中检查名为 red-mesh 的 servicemeshpeer，您会从绿色网格的角度找到有关同一两个连接的信息。

   当两个网格之间没有建立连接时，ServiceMeshPeshPeer 状态在 status.discoveryStatus.inactive 字段中显示此状态。

   有关连接尝试失败的更多信息，请检查 Istiod 日志，访问日志处理对等网络中的出口流量，以及处理对等网格中当前网格的入口流量的 ingress 网关。

   例如，如果红色网格无法连接到绿色网格，请检查以下日志：

   • red-mesh-system 中的 Istiod-red-mesh
   • red-mesh-system 中的 egress-green-mesh
   • green-mesh-system 中的 ingress-red-mesh

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 根据以下示例创建 ExportedServiceSet 文件，其中 red-mesh 将服务导出到 green-mesh。

   从 red-mesh 到 green-mesh 的 ExportedServiceSet 资源示例

   apiVersion: federation.maistra.io/v1
   kind: ExportedServiceSet
   metadata:
     name: green-mesh
     namespace: red-mesh-system
   spec:
     exportRules:
     - type: NameSelector
       nameSelector:
         namespace: red-mesh-bookinfo
         name: ratings
         alias:
           namespace: bookinfo
           name: red-ratings
     - type: NameSelector
       nameSelector:
         namespace: red-mesh-bookinfo
         name: reviews

4. 运行以下命令，在 red-mesh-system 命名空间中上传并创建 ExportedServiceSet 资源。

   $ oc create -n <ControlPlaneNamespace> -f <ExportedServiceSet.yaml>

   例如：

   $ oc create -n red-mesh-system -f export-to-green-mesh.yaml

5. 根据需要为联合网格中的每个网格对等创建额外的 ExportedServiceSets。

6. 要验证您从 red-mesh 导出的服务以使用 green-mesh 共享的服务，请运行以下命令：

   $ oc get exportedserviceset <PeerMeshExportedTo> -o yaml

   例如：

   $ oc get exportedserviceset green-mesh -o yaml

7. 运行以下命令来验证红色导出与 green-mesh 共享的服务：

   $ oc get exportedserviceset <PeerMeshExportedTo> -o yaml

   例如：

   $ oc -n red-mesh-system get exportedserviceset green-mesh -o yaml

   从红色网格导出的服务验证与绿色网格共享的示例。

     status:
       exportedServices:
       - exportedName: red-ratings.bookinfo.svc.green-mesh-exports.local
         localService:
           hostname: ratings.red-mesh-bookinfo.svc.cluster.local
           name: ratings
           namespace: red-mesh-bookinfo
       - exportedName: reviews.red-mesh-bookinfo.svc.green-mesh-exports.local
         localService:
           hostname: reviews.red-mesh-bookinfo.svc.cluster.local
           name: reviews
           namespace: red-mesh-bookinfo

   status.exportedServices 数组列出了当前导出的服务（这些服务与 ExportedServiceSet 对象中的导出规则匹配）。数组中的每个条目都指明导出的服务的名称，以及所导出的本地服务的详细信息。

   如果缺少您要导出的服务，请确认 Service 对象存在，其名称或标签与 ExportedServiceSet 对象中定义的 exportRules 匹配，并且 Service 对象的命名空间被配置为使用 ServiceMeshMemberRoll 或 ServiceMeshMember 对象作为服务网格的成员。

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 green-mesh-system。

   $ oc project green-mesh-system

3. 根据以下示例创建一个 ImportedServiceSet 文件，其中 green-mesh 导入之前通过 red-mesh 导出的服务。

   从 red-mesh 到 green-mesh 的 ImportedServiceSet 资源示例

   kind: ImportedServiceSet
   apiVersion: federation.maistra.io/v1
   metadata:
     name: red-mesh
     namespace: green-mesh-system
   spec:
     importRules:
     - type: NameSelector
       importAsLocal: false
       nameSelector:
         namespace: bookinfo
         name: red-ratings
         alias:
           namespace: bookinfo
           name: ratings

4. 运行以下命令在 green-mesh-system 命名空间中上传并创建 ImportedServiceSet 资源。

   $ oc create -n <ControlPlaneNamespace> -f <ImportedServiceSet.yaml>

   例如：

   $ oc create -n green-mesh-system -f import-from-red-mesh.yaml

5. 根据需要为联邦网格中的每个网格对等创建额外的 ImportedServiceSet 资源。

6. 要验证已导入到 green-mesh 中的服务，请运行以下命令：

   $ oc get importedserviceset <PeerMeshImportedInto> -o yaml

   例如：

   $ oc get importedserviceset green-mesh -o yaml

7. 运行以下命令以验证导入到网格中的服务。

   $ oc get importedserviceset <PeerMeshImportedInto> -o yaml

   使用 importedserviceset/red-mesh' object in the 'green-mesh-system 命名空间中的 status 部分验证从红色网格导出的服务是否已导入到绿色网格中 ：

   $ oc -n green-mesh-system get importedserviceset/red-mesh -o yaml

   status:
     importedServices:
     - exportedName: red-ratings.bookinfo.svc.green-mesh-exports.local
       localService:
         hostname: ratings.bookinfo.svc.red-mesh-imports.local
         name: ratings
         namespace: bookinfo
     - exportedName: reviews.red-mesh-bookinfo.svc.green-mesh-exports.local
       localService:
         hostname: ""
         name: ""
         namespace: ""

   在上例中，仅导入 ratings 服务，如 localService 下的填充字段所示。reviews 服务可用于导入，但目前并不导入，因为它与 ImportedServiceSet 对象中的任何 importRules 不匹配。