6.4.3. 将 Service Mesh 与 OpenShift Serverless 集成

流程

1. 将您要与 Service Mesh 集成的命名空间作为成员添加到 ServiceMeshMemberRoll 对象中：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system
   spec:
     members: 1
       - knative-serving
       - <namespace>

   1

   要与 Service Mesh 集成的命名空间列表。

   重要

   此命名空间列表必须包含 knative-serving 命名空间。

2. 应用 ServiceMeshMemberRoll 资源：

   $ oc apply -f <filename>

3. 创建必要的网关，以便 Service Mesh 可以接受流量：

   使用 HTTP 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-ingress-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs> 1
   ---
   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
    name: knative-local-gateway
    namespace: knative-serving
   spec:
    selector:
      istio: ingressgateway
    servers:
      - port:
          number: 8081
          name: http
          protocol: HTTP 2
        hosts:
          - "*"
   ---
   apiVersion: v1
   kind: Service
   metadata:
    name: knative-local-gateway
    namespace: istio-system
    labels:
      experimental.istio.io/disable-gateway-port-translation: "true"
   spec:
    type: ClusterIP
    selector:
      istio: ingressgateway
    ports:
      - name: http2
        port: 80
        targetPort: 8081

   1

   添加包含通配符证书的 secret 名称。

   2

   knative-local-gateway 提供 HTTP 流量。使用 HTTP 表示来自 Service Mesh 外部的流量不会加密，但使用内部主机名，如 example.default.svc.cluster.local。您可以通过创建另一个通配符证书和使用不同的 protocol spec 的额外网关来为这个路径设置加密。

   使用 HTTPS 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-local-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs>

4. 应用 Gateway 资源：

   $ oc apply -f <filename>

5. 通过创建以下 KnativeServing 自定义资源定义 (CRD) 来安装 Knative Serving，该定义还启用了 Istio 集成：

   apiVersion: operator.knative.dev/v1alpha1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
   spec:
     ingress:
       istio:
         enabled: true 1
     deployments: 2
     - name: activator
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: autoscaler
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1

   启用 Istio 集成。

   2

   为 Knative Serving data plane pod 启用 sidecar 注入。

6. 应用 KnativeServing 资源：

   $ oc apply -f <filename>

7. 创建一个启用了 sidecar 注入并使用 pass-through 路由的 Knative Service：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: <service_name>
     namespace: <namespace> 1
     annotations:
       serving.knative.openshift.io/enablePassthrough: "true" 2
   spec:
     template:
       metadata:
         annotations:
           sidecar.istio.io/inject: "true" 3
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
       spec:
         containers:
         - image: <image_url>

   1

   作为 Service Mesh member roll 一部分的命名空间。

   2

   指示 Knative Serving 生成 OpenShift Container Platform 直通启用路由，以便您已生成的证书直接通过 ingress 网关提供。

   3

   将 Service Mesh sidecar 注入 Knative 服务 pod。

8. 应用 Service 资源：

   $ oc apply -f <filename>