2.14. 管理服务网格中的流量

流程

1. 为 Istio ingress 网关设置唯一标签。需要此设置以确保网关可以选择工作负载。这个示例使用 ingressgateway 作为网关的名称。

   apiVersion: v1
   kind: Service
   metadata:
     name: istio-ingressgateway
     namespace: istio-ingress
   spec:
     type: ClusterIP
     selector:
       istio: ingressgateway
     ports:
     - name: http2
       port: 80
       targetPort: 8080
     - name: https
       port: 443
       targetPort: 8443
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: istio-ingressgateway
     namespace: istio-ingress
   spec:
     selector:
       matchLabels:
         istio: ingressgateway
     template:
       metadata:
         annotations:
           inject.istio.io/templates: gateway
         labels:
           istio: ingressgateway
           sidecar.istio.io/inject: "true" 1
       spec:
         containers:
         - name: istio-proxy
           image: auto 2

   1

   通过将 sidecar.istio.io/inject 字段设置为 "true" 来启用网关注入。

   2

   将 image 字段设置为 auto，以便镜像在每次 pod 启动时自动更新。

2. 设置角色以允许读取 TLS 的凭据。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: istio-ingressgateway-sds
     namespace: istio-ingress
   rules:
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["get", "watch", "list"]
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: istio-ingressgateway-sds
     namespace: istio-ingress
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: istio-ingressgateway-sds
   subjects:
   - kind: ServiceAccount
     name: default

3. 从集群外部授予新网关的访问权限，在将 spec.security.manageNetworkPolicy 设置为 true 时是必需的。

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: gatewayingress
     namespace: istio-ingress
   spec:
     podSelector:
       matchLabels:
         istio: ingressgateway
     ingress:
       - {}
     policyTypes:
     - Ingress

4. 入口流量增加时自动缩放 pod。这个示例将最小副本设置为 2，最大副本设置为 5。它还会在利用率达到 80% 时创建另一个副本。

   apiVersion: autoscaling/v2
   kind: HorizontalPodAutoscaler
   metadata:
     labels:
       istio: ingressgateway
       release: istio
     name: ingressgatewayhpa
     namespace: istio-ingress
   spec:
     maxReplicas: 5
     metrics:
     - resource:
         name: cpu
         target:
           averageUtilization: 80
           type: Utilization
       type: Resource
     minReplicas: 2
     scaleTargetRef:
       apiVersion: apps/v1
       kind: Deployment
       name: istio-ingressgateway

5. 指定节点上必须运行的最小 pod 数量。本例确保当 pod 在新节点上重启时有一个副本正在运行。

   apiVersion: policy/v1
   kind: PodDisruptionBudget
   metadata:
     labels:
       istio: ingressgateway
       release: istio
     name: ingressgatewaypdb
     namespace: istio-ingress
   spec:
     minAvailable: 1
     selector:
       matchLabels:
         istio: ingressgateway

流程

1. 创建网关以接受流量。

   1. 创建 YAML 文件，并将以下 YAML 复制到其中：

      网关 gateway.yaml 示例

      apiVersion: networking.istio.io/v1alpha3
      kind: Gateway
      metadata:
        name: info-gateway
      spec:
        selector:
          istio: ingressgateway
        servers:
        - port:
            number: 80
            name: http
            protocol: HTTP
          hosts:
          - "*"

   2. 应用 YAML 文件。

      $ oc apply -f gateway.yaml

2. 创建 VirtualService 对象来重写主机标头。

   1. 创建 YAML 文件，并将以下 YAML 复制到其中：

      虚拟服务示例

      apiVersion: networking.istio.io/v1alpha3
      kind: VirtualService
      metadata:
        name: info
      spec:
        hosts:
        - "*"
        gateways:
        - info-gateway
        http:
        - match:
          - uri:
              exact: /productpage
          - uri:
              prefix: /static
          - uri:
              exact: /login
          - uri:
              exact: /logout
          - uri:
              prefix: /api/v1/products
          route:
          - destination:
              host: productpage
              port:
                number: 9080

   2. 应用 YAML 文件。

      $ oc apply -f vs.yaml

3. 测试网关和 VirtualService 已正确设置。

   1. 设置网关 URL。

      export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

   2. 设置端口号。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

      export TARGET_PORT=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.port.targetPort}')

   3. 测试已明确公开的页面。

      curl -s -I "$GATEWAY_URL/productpage"

      预期的结果为 200。

流程

1. 使用以下示例创建 YAML 文件，根据用户连接到应用程序的不同版本将请求路由到 Bookinfo 示例应用程序服务的不同版本。

   VirtualService.yaml 示例

   apiVersion: networking.istio.io/v1alpha3
   kind: VirtualService
   metadata:
     name: reviews
   spec:
     hosts:
     - reviews
     http:
     - match:
       - headers:
           end-user:
             exact: jason
       route:
       - destination:
           host: reviews
           subset: v2
     - route:
       - destination:
           host: reviews
           subset: v3

2. 运行以下命令以应用 VirtualService.yaml，其中 VirtualService.yaml 是文件的路径。

   $ oc apply -f <VirtualService.yaml>

流程

1. 在 OpenShift Container Platform web 控制台中，点击 Operators Installed Operators。
2. 从 Project 菜单中选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 点 Red Hat OpenShift Service Mesh Operator。在 Istio Service Mesh Control Plane 栏中，点 ServiceMeshControlPlane 的名称，如 basic-install。
4. 在 Create ServiceMeshControlPlane Details 页中，点 YAML 修改您的配置。

5. 将 ServiceMeshControlPlane 字段 spec.security.manageNetworkPolicy 设置为 false，如下例所示。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
         manageNetworkPolicy: false

6. 点 Save。

流程

1. 应用虚拟服务。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.6/samples/info/networking/virtual-service-all-v1.yaml

2. 要验证是否应用了虚拟服务，请使用以下命令显示定义的路由：

   $ oc get virtualservices -o yaml

   该命令返回一个 kind: VirtualService 资源，采用 YAML 格式。

流程

1. 设置 GATEWAY_URL 参数的值。您可以在以后使用这个变量查找 Bookinfo 产品页面的 URL。在本例中，istio-system 是 control plane 项目的名称。

   export GATEWAY_URL=$(oc -n istio-system get route istio-ingressgateway -o jsonpath='{.spec.host}')

2. 运行以下命令，以检索产品页面的 URL:

   echo "http://$GATEWAY_URL/productpage"

3. 在浏览器中打开 Bookinfo 网站。

流程

1. 运行以下命令在 Bookinfo 示例应用程序中启用基于用户的路由。

   $ oc apply -f https://raw.githubusercontent.com/Maistra/istio/maistra-2.6/samples/info/networking/virtual-service-reviews-test-v2.yaml

2. 运行以下命令，以确认创建了该规则。此命令返回 YAML 格式的所有 kind: VirtualService。

   $ oc get virtualservice reviews -o yaml

3. 在 Bookinfo 应用程序的 /productpage 中，以用户 jason 身份在无需密码的情况下进行登录。
4. 刷新浏览器。星级分级会出现在每条评论旁。
5. 以其他用户身份登录（选择任意名称）。刷新浏览器。现在就不会出现星级评分。现在，除 Jason 外，所有用户的流量都会被路由到 review :v1。