6.4. 部署多个 control plane

步骤

1. 运行以下命令，为名为 istio-system-1 的第一个 Istio control plane 创建命名空间：

   $ oc new-project istio-system-1

2. 运行以下命令，在第一个命名空间中添加以下标签，该命名空间与 Istio discoverySelectors 字段一起使用：

   $ oc label namespace istio-system-1 istio-discovery=mesh-1

3. 创建名为 istio-1.yaml 的 YAML 文件，名称为 mesh-1，discoverySelector 为 mesh-1 ：

   配置示例

   kind: Istio
   apiVersion: sailoperator.io/v1
   metadata:
     name: mesh-1
   spec:
     namespace: istio-system-1
     values:
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: mesh-1
   # ...

4. 运行以下命令来创建第一个 Istio 资源：

   $ oc apply -f istio-1.yaml

5. 要限制 mesh-1 中的工作负载与网格之间的解密流量自由通信，请部署 PeerAuthentication 资源来强制实施 mesh-1 数据平面中的 mutual TLS (mTLS)流量。使用配置文件（如 peer-auth-1.yaml ）在 istio-system-1 命名空间中应用 PeerAuthentication 资源：

   $ oc apply -f peer-auth-1.yaml

   配置示例

   apiVersion: security.istio.io/v1
   kind: PeerAuthentication
   metadata:
     name: "mesh-1-peerauth"
     namespace: "istio-system-1"
   spec:
     mtls:
       mode: STRICT

步骤

1. 运行以下命令，为名为 istio-system-2 的第二个 Istio control plane 创建一个命名空间：

   $ oc new-project istio-system-2

2. 运行以下命令，在第二个命名空间中添加以下标签，该命名空间与 Istio discoverySelectors 字段一起使用：

   $ oc label namespace istio-system-2 istio-discovery=mesh-2

3. 创建名为 istio-2.yaml 的 YAML 文件：

   配置示例

   kind: Istio
   apiVersion: sailoperator.io/v1
   metadata:
     name: mesh-2
   spec:
     namespace: istio-system-2
     values:
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: mesh-2
   # ...

4. 运行以下命令来创建第二个 Istio 资源：

   $ oc apply -f istio-2.yaml

5. 运行以下命令，为 istio-system-2 命名空间中的工作负载部署策略，使其只接受 mutual TLS 流量 peer-auth-2.yaml ：

   $ oc apply -f peer-auth-2.yaml

   配置示例

   apiVersion: security.istio.io/v1
   kind: PeerAuthentication
   metadata:
     name: "mesh-2-peerauth"
     namespace: "istio-system-2"
   spec:
     mtls:
       mode: STRICT

1. 运行以下命令，验证工作负载是否已分配给 istio-system-1 中的 control plane：

   $ oc get pods -n istio-system-1

   输出示例

   NAME                            READY   STATUS    RESTARTS   AGE
   istiod-mesh-1-b69646b6f-kxrwk   1/1     Running   0          4m14s

2. 运行以下命令，验证工作负载是否已分配给 istio-system-2 中的 control plane：

   $ oc get pods -n istio-system-2

   输出示例

   NAME                            READY   STATUS    RESTARTS   AGE
   istiod-mesh-2-8666fdfc6-mqp45   1/1     Running   0          118s