1.18. 连接服务网格

1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform Web 控制台。
2. 导航到 Operators Installed Operators。
3. 点 Project 菜单，选择安装 Service Mesh control plane 的项目。例如： red-mesh-system。
4. 点 Red Hat OpenShift Service Mesh Operator。
5. 在 Istio Service Mesh Control Plane 选项卡中，点击 ServiceMeshControlPlane 的名称，如 red-mesh。
6. 在 Create ServiceMeshControlPlane Details 页中，点 YAML 修改您的配置。
7. 修改 ServiceMeshControlPlane 以添加联合入口和出口网关，并指定信任域。
8. 点 Save。

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 编辑 ServiceMeshControlPlane 文件，添加联合入口和出口网关，并指定信任域。

4. 运行以下命令编辑 Service Mesh control plane，其中 red-mesh-system 是系统命名空间，red-mesh 是 ServiceMeshControlPlane 对象的名称：

   $ oc edit -n red-mesh-system smcp red-mesh

5. 输入以下命令，其中 red-mesh-system 是系统命名空间，以查看 Service Mesh control plane 安装的状态。

   $ oc get smcp -n red-mesh-system

   当 READY 列指出所有组件都已就绪时，安装成功完成。

   NAME       READY   STATUS            PROFILES      VERSION   AGE
   red-mesh   10/10   ComponentsReady   ["default"]   2.1.0     4m25s

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 根据以下示例为您要联合的两个网格创建一个 ServiceMeshPeer 文件。

   red-mesh 到 green-mesh 的 ServiceMeshPeer 资源示例

   kind: ServiceMeshPeer
   apiVersion: federation.maistra.io/v1
   metadata:
     name: green-mesh
     namespace: red-mesh-system
   spec:
     remote:
       addresses:
       - ingress-red-mesh.green-mesh-system.apps.domain.com
     gateways:
       ingress:
         name: ingress-green-mesh
       egress:
         name: egress-green-mesh
     security:
       trustDomain: green-mesh.local
       clientID: green-mesh.local/ns/green-mesh-system/sa/egress-red-mesh-service-account
       certificateChain:
         kind: ConfigMap
         name: green-mesh-ca-root-cert

4. 运行以下命令来部署资源，其中 red-mesh-system 是系统命名空间，servicemeshpeer.yaml 包含您编辑的文件的完整路径：

   $ oc create -n red-mesh-system -f servicemeshpeer.yaml

5. 要确认在红色网格和绿色网格间建立了连接，请在 red-mesh-system命名空间中检查 green-mesh ServiceMeshPeer 的状态：

   $ oc -n red-mesh-system get servicemeshpeer green-mesh -o yaml

   red-mesh 和 green-mesh 之间的 ServiceMeshPeer 连接示例

   status:
     discoveryStatus:
       active:
       - pod: istiod-red-mesh-b65457658-9wq5j
         remotes:
         - connected: true
           lastConnected: "2021-10-05T13:02:25Z"
           lastFullSync: "2021-10-05T13:02:25Z"
           source: 10.128.2.149
         watch:
           connected: true
           lastConnected: "2021-10-05T13:02:55Z"
           lastDisconnectStatus: 503 Service Unavailable
           lastFullSync: "2021-10-05T13:05:43Z"

   status.discoveryStatus.active.remotes 字段显示 peer mesh 中的 istiod（在本例中为绿色网格）连接到当前网格中的 istiod（本例中为红色网格）。

   status.discoveryStatus.active.watch 字段显示当前网格中的 istiod 连接到对等网格中的 istiod。

   如果在 green-mesh-system 中检查名为 red-mesh 的 servicemeshpeer，您会从绿色网格的角度找到有关同一两个连接的信息。

   当两个网格之间没有建立连接时，ServiceMeshPeshPeer 状态在 status.discoveryStatus.inactive 字段中显示此状态。

   有关连接尝试失败的更多信息，请检查 Istiod 日志，访问日志处理对等网络中的出口流量，以及处理对等网格中当前网格的入口流量的 ingress 网关。

   例如，如果红色网格无法连接到绿色网格，请检查以下日志：

   • red-mesh-system 中的 Istiod-red-mesh
   • red-mesh-system 中的 egress-green-mesh
   • green-mesh-system 中的 ingress-red-mesh

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 red-mesh-system。

   $ oc project red-mesh-system

3. 根据以下示例创建 ExportedServiceSet 文件，其中 red-mesh 将服务导出到 green-mesh。

   从 red-mesh 到 green-mesh 的 ExportedServiceSet 资源示例

   apiVersion: federation.maistra.io/v1
   kind: ExportedServiceSet
   metadata:
     name: green-mesh
     namespace: red-mesh-system
   spec:
     exportRules:
     - type: NameSelector
       nameSelector:
         namespace: red-mesh-info
         name: ratings
         alias:
           namespace: info
           name: red-ratings
     - type: NameSelector
       nameSelector:
         namespace: red-mesh-info
         name: reviews

4. 运行以下命令，在 red-mesh-system 命名空间中上传并创建 ExportedServiceSet 资源。

   $ oc create -n <ControlPlaneNamespace> -f <ExportedServiceSet.yaml>

   例如：

   $ oc create -n red-mesh-system -f export-to-green-mesh.yaml

5. 根据需要为联合网格中的每个网格对等创建额外的 ExportedServiceSets。

6. 要验证您从 red-mesh 导出的服务以使用 green-mesh 共享的服务，请运行以下命令：

   $ oc get exportedserviceset <PeerMeshExportedTo> -o yaml

   例如：

   $ oc get exportedserviceset green-mesh -o yaml

7. 运行以下命令来验证红色导出与 green-mesh 共享的服务：

   $ oc get exportedserviceset <PeerMeshExportedTo> -o yaml

   例如：

   $ oc -n red-mesh-system get exportedserviceset green-mesh -o yaml

   从红色网格导出的服务验证与绿色网格共享的示例。

     status:
       exportedServices:
       - exportedName: red-ratings.info.svc.green-mesh-exports.local
         localService:
           hostname: ratings.red-mesh-info.svc.cluster.local
           name: ratings
           namespace: red-mesh-info
       - exportedName: reviews.red-mesh-info.svc.green-mesh-exports.local
         localService:
           hostname: reviews.red-mesh-info.svc.cluster.local
           name: reviews
           namespace: red-mesh-info

   status.exportedServices 数组列出了当前导出的服务（这些服务与 ExportedServiceSet 对象中的导出规则匹配）。数组中的每个条目都指明导出的服务的名称，以及所导出的本地服务的详细信息。

   如果缺少您要导出的服务，请确认 Service 对象存在，其名称或标签与 ExportedServiceSet 对象中定义的 exportRules 匹配，并且 Service 对象的命名空间被配置为使用 ServiceMeshMemberRoll 或 ServiceMeshMember 对象作为服务网格的成员。

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目，如 green-mesh-system。

   $ oc project green-mesh-system

3. 根据以下示例创建一个 ImportedServiceSet 文件，其中 green-mesh 导入之前通过 red-mesh 导出的服务。

   从 red-mesh 到 green-mesh 的 ImportedServiceSet 资源示例

   kind: ImportedServiceSet
   apiVersion: federation.maistra.io/v1
   metadata:
     name: red-mesh
     namespace: green-mesh-system
   spec:
     importRules:
     - type: NameSelector
       importAsLocal: false
       nameSelector:
         namespace: info
         name: red-ratings
         alias:
           namespace: info
           name: ratings

4. 运行以下命令在 green-mesh-system 命名空间中上传并创建 ImportedServiceSet 资源。

   $ oc create -n <ControlPlaneNamespace> -f <ImportedServiceSet.yaml>

   例如：

   $ oc create -n green-mesh-system -f import-from-red-mesh.yaml

5. 根据需要为联邦网格中的每个网格对等创建额外的 ImportedServiceSet 资源。

6. 要验证已导入到 green-mesh 中的服务，请运行以下命令：

   $ oc get importedserviceset <PeerMeshImportedInto> -o yaml

   例如：

   $ oc get importedserviceset green-mesh -o yaml

7. 运行以下命令以验证导入到网格中的服务。

   $ oc get importedserviceset <PeerMeshImportedInto> -o yaml

   使用 importedserviceset/red-mesh' object in the 'green-mesh-system 命名空间中的 status 部分验证从红色网格导出的服务是否已导入到绿色网格中 ：

   $ oc -n green-mesh-system get importedserviceset/red-mesh -o yaml

   status:
     importedServices:
     - exportedName: red-ratings.info.svc.green-mesh-exports.local
       localService:
         hostname: ratings.info.svc.red-mesh-imports.local
         name: ratings
         namespace: info
     - exportedName: reviews.red-mesh-info.svc.green-mesh-exports.local
       localService:
         hostname: ""
         name: ""
         namespace: ""

   在上例中，仅导入 ratings 服务，如 localService 下的填充字段所示。reviews 服务可用于导入，但目前并不导入，因为它与 ImportedServiceSet 对象中的任何 importRules 不匹配。

流程

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI，请输入以下命令：

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 进入到安装 Service Mesh control plane 的项目，请输入以下命令：

   $ oc project <smcp-system>

   例如： green-mesh-system。

   $ oc project green-mesh-system

3. 编辑 ImportedServiceSet 文件，其中 <ImportedServiceSet.yaml> 包含您要编辑的文件的完整路径，请输入以下命令：

   $ oc edit -n <smcp-system> -f <ImportedServiceSet.yaml>

   例如，如果要将从 red-mesh-system 导入到 green-mesh-system 的文件（如前面的 ImportedServiceSet 示例所示）。

   $ oc edit -n green-mesh-system -f import-from-red-mesh.yaml

4. 修改该文件：

   1. 将 spec.importRules.importAsLocal 设置为 true。
   2. 将 spec.locality 设置为 region, zone, 或 subzone。
   3. 保存您的更改。

流程

1. 以具有 cluster-admin 角色的用户身份登录到 OpenShift Container Platform CLI。输入以下命令。然后在提示时输入您的用户名和密码。

   $ oc login --username=<NAMEOFUSER> <API token> https://<HOSTNAME>:6443

2. 切换到安装 Service Mesh control plane 的项目。

   $ oc project <smcp-system>

   例如： green-mesh-system。

   $ oc project green-mesh-system

3. 根据以下示例创建一个 DestinationRule 文件，如果 green-mesh 不可用，则流量应从 us-east 区域中的 green-mesh 路由到 us-west 中的 red-mesh。

   DestinationRule示例

   apiVersion: networking.istio.io/v1beta1
   kind: DestinationRule
   metadata:
     name: default-failover
     namespace: info
   spec:
     host: "ratings.info.svc.cluster.local"
     trafficPolicy:
       loadBalancer:
         localityLbSetting:
           enabled: true
           failover:
             - from: us-east
               to: us-west
       outlierDetection:
         consecutive5xxErrors: 3
         interval: 10s
         baseEjectionTime: 1m

4. 部署 DestinationRule，其中 <DestinationRule> 包含到您的文件的完整路径，请输入以下命令：

   $ oc create -n <application namespace> -f <DestinationRule.yaml>

   例如：

   $ oc create -n info -f green-mesh-us-west-DestinationRule.yaml