4.2. 安装 cert-manager

步骤

1. 运行以下命令，将 Jetstack chart 仓库添加到本地 Helm 仓库中：

   $ helm repo add jetstack https://charts.jetstack.io --force-update

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来安装 istio-csr chart：

   $ helm upgrade cert-manager-istio-csr jetstack/cert-manager-istio-csr \
       --install \
       --namespace cert-manager \
       --wait \
       --set "app.tls.rootCAFile=/var/run/secrets/istio-csr/ca.pem" \
       --set "volumeMounts[0].name=root-ca" \
       --set "volumeMounts[0].mountPath=/var/run/secrets/istio-csr" \
       --set "volumes[0].name=root-ca" \
       --set "volumes[0].secret.secretName=istio-root-ca" \
       --set "app.istio.namespace=istio-system"

   Copy to Clipboard Toggle word wrap

步骤

1. 指定 istio-csr 部署的所有 Istio 修订版本。请参阅"istio-csr 部署"。

2. 运行以下命令，将 Jetstack chart 添加到本地 Helm 仓库中：

   $ helm repo add jetstack https://charts.jetstack.io --force-update

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用您的修订名称安装 istio-csr chart：

   $ helm upgrade cert-manager-istio-csr jetstack/cert-manager-istio-csr \
       --install \
       --namespace cert-manager \
       --wait \
       --set "app.tls.rootCAFile=/var/run/secrets/istio-csr/ca.pem" \
       --set "volumeMounts[0].name=root-ca" \
       --set "volumeMounts[0].mountPath=/var/run/secrets/istio-csr" \
       --set "volumes[0].name=root-ca" \
       --set "volumes[0].secret.secretName=istio-root-ca" \
       --set "app.istio.namespace=istio-system" \
       --set "app.istio.revisions={default-v1-24-3}"

   Copy to Clipboard Toggle word wrap
   注意

   修订名称采用以下格式 < istio-name>-v<major_version>-<minor_version>-<patch_version>。例如： default-v1-24-3。

步骤

1. 创建 Istio 对象，如下例所示：

   istio.yaml 对象示例

   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v1.24.3
     namespace: istio-system
     values:
       global:
         caAddress: cert-manager-istio-csr.cert-manager.svc:443
       pilot:
         env:
           ENABLE_CA_SERVER: "false"

   Copy to Clipboard Toggle word wrap

   注意

   如果您安装了带有基于修订的更新策略的 CSR 代理，则需要在 Istio 对象 YAML 中添加以下内容：

   kind: Istio
   metadata:
     name: default
   spec:
     updateStrategy:
       type: RevisionBased

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建 Istio 资源：

   $ oc apply -f istio.yaml

   Copy to Clipboard Toggle word wrap

3. 运行以下命令等待 Istio 对象就绪：

   $ oc wait --for=condition=Ready istios/default -n istio-system

   Copy to Clipboard Toggle word wrap

步骤

1. 运行以下命令来创建 示例 命名空间：

   $ oc new-project sample

   Copy to Clipboard Toggle word wrap

2. 运行以下命令查找活跃的 Istio 修订版本：

   $ oc get istios default -o jsonpath='{.status.activeRevisionName}'

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，将活跃修订版本的注入标签添加到 示例 命名空间中：

   $ oc label namespace sample istio.io/rev=<your-active-revision-name> --overwrite=true

   Copy to Clipboard Toggle word wrap

4. 运行以下命令来部署示例 httpbin 服务：

   $ oc apply -n sample -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/httpbin/httpbin.yaml

   Copy to Clipboard Toggle word wrap

5. 运行以下命令来部署示例 sleep 应用程序：

   $ oc apply -n sample -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/sleep/sleep.yaml

   Copy to Clipboard Toggle word wrap

6. 运行以下命令等待两个应用程序就绪：

   $ oc rollout status -n sample deployment httpbin sleep

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，验证 sleep 应用程序是否可以访问 httpbin 服务：

   $ oc exec "$(oc get pod -l app=sleep -n sample \
        -o jsonpath={.items..metadata.name})" -c sleep -n sample -- \
        curl http://httpbin.sample:8000/ip -s -o /dev/null \
        -w "%{http_code}\n"

   Copy to Clipboard Toggle word wrap

   成功输出示例

   200

   Copy to Clipboard Toggle word wrap

8. 运行以下命令输出 httpbin 服务的工作负载证书并验证输出：

   $ istioctl proxy-config secret -n sample $(oc get pods -n sample -o jsonpath='{.items..metadata.name}' --selector app=httpbin) -o json | jq -r '.dynamicActiveSecrets[0].secret.tlsCertificate.certificateChain.inlineBytes' | base64 --decode | openssl x509 -text -noout

   Copy to Clipboard Toggle word wrap

   输出示例

   ...
   Issuer: O = cert-manager + O = cluster.local, CN = istio-ca
   ...
   X509v3 Subject Alternative Name:
     URI:spiffe://cluster.local/ns/sample/sa/httpbin

   Copy to Clipboard Toggle word wrap