Istio · kubernetes完整攻略

# Istio簡介 **注意：Istio 1.10于2018年8月1日發布1.0，關于Istio的更多信息請見Istio官方文檔:<https://istio.io>，中文版：<https://istio.io/zh>，本書中的 Service Mesh 章節已不再維護，請轉到 [istio-handbook](https://jimmysong.io/istio-handbook) 中瀏覽。** [Istio](https://istio.io)是由Google、IBM和Lyft開源的微服務管理、保護和監控框架。Istio為希臘語，意思是”起航“。 **TL;DR** 關于Istio中的各個組件和一些關鍵信息請參考下面的mindmap。 ![Istio的mindmap](https://box.kancloud.cn/706197bb8f5f98455dde66cc8769edf5_2282x3142.png) ## 簡介使用istio可以很簡單的創建具有負載均衡、服務間認證、監控等功能的服務網絡，而不需要對服務的代碼進行任何修改。你只需要在部署環境中，例如Kubernetes的pod里注入一個特別的sidecar proxy來增加對istio的支持，用來截獲微服務之間的網絡流量。目前版本的istio只支持kubernetes，未來計劃支持其他其他環境。另外，Istio的前身是IBM開源的[Amalgam8](https://www.amalgam8.io)，追本溯源，我們來看下它的特性。 ### Amalgam8 Amalgam8的網站上說，它是一個**Content-based Routing Fabric for Polyglot Microservices**，簡單、強大且開源。 Amalgam8是一款基于內容和版本的路由布局，用于集成多語言異構體微服務。其control plane API可用于動態編程規則，用于在正在運行的應用程序中跨微服務進行路由和操作請求。以內容/版本感知方式路由請求的能力簡化了DevOps任務，如金絲雀和紅/黑發布，A/B Test和系統地測試彈性微服務。可以使用Amalgam8平臺與受歡迎的容器運行時（如Docker，Kubernetes，Marathon / Mesos）或其他云計算提供商（如IBM Bluemix，Google Cloud Platform或Amazon AWS）。 ## 特性使用istio的進行微服務管理有如下特性： - **流量管理**：控制服務間的流量和API調用流，使調用更可靠，增強不同環境下的網絡魯棒性。 - **可觀測性**：了解服務之間的依賴關系和它們之間的性質和流量，提供快速識別定位問題的能力。 - **策略實施**：通過配置mesh而不是以改變代碼的方式來控制服務之間的訪問策略。 - **服務識別和安全**：提供在mesh里的服務可識別性和安全性保護。未來將支持多種平臺，不論是kubernetes、Mesos、還是云。同時可以集成已有的ACL、日志、監控、配額、審計等。 ## 架構下面是Istio的架構圖。 ![Istio架構圖](https://box.kancloud.cn/61f63cd48123ffef38c4defd8c85e253_1121x816.jpg) Istio架構分為控制平面和數據平面。 - **數據平面**：由一組智能代理（Envoy）作為sidecar部署，協調和控制所有microservices之間的網絡通信。 - **控制平面**：負責管理和配置代理路由流量，以及在運行時執行的政策。 ## Envoy Istio使用Envoy代理的擴展版本，該代理是以C++開發的高性能代理，用于調解service mesh中所有服務的所有入站和出站流量。 Istio利用了Envoy的許多內置功能，例如動態服務發現，負載平衡，TLS終止，HTTP/2＆gRPC代理，斷路器，運行狀況檢查，基于百分比的流量拆分分階段上線，故障注入和豐富指標。 Envoy在kubernetes中作為pod的sidecar來部署。這允許Istio將大量關于流量行為的信號作為屬性提取出來，這些屬性又可以在Mixer中用于執行策略決策，并發送給監控系統以提供有關整個mesh的行為的信息。 Sidecar代理模型還允許你將Istio功能添加到現有部署中，無需重新構建或重寫代碼。更多信息參見[設計目標](https://istio.io/docs/concepts/what-is-istio/goals.html)。 ## Mixer Mixer負責在service mesh上執行訪問控制和使用策略，并收集Envoy代理和其他服務的遙測數據。代理提取請求級屬性，發送到mixer進行評估。有關此屬性提取和策略評估的更多信息，請參見[Mixer配置](https://istio.io/docs/concepts/policy-and-control/mixer-config.html)。混音器包括一個靈活的插件模型，使其能夠與各種主機環境和基礎架構后端進行接口，從這些細節中抽象出Envoy代理和Istio管理的服務。 ## Istio Manager Istio-Manager用作用戶和Istio之間的接口，收集和驗證配置，并將其傳播到各種Istio組件。它從Mixer和Envoy中抽取環境特定的實現細節，為他們提供獨立于底層平臺的用戶服務的抽象表示。此外，流量管理規則（即通用4層規則和七層HTTP/gRPC路由規則）可以在運行時通過Istio-Manager進行編程。 ## Istio-auth Istio-Auth提供強大的服務間和最終用戶認證，使用相互TLS，內置身份和憑據管理。它可用于升級service mesh中的未加密流量，并為運營商提供基于服務身份而不是網絡控制的策略的能力。 Istio的未來版本將增加細粒度的訪問控制和審計，以使用各種訪問控制機制（包括屬性和基于角色的訪問控制以及授權hook）來控制和監控訪問你服務、API或資源的人員。 ## 參考 - [Istio：用于微服務的服務嚙合層](http://www.infoq.com/cn/news/2017/05/istio?utm_source=news_about_opensource&utm_medium=link&utm_campaign=opensource) - [Istio 是什么？](https://istio.io/zh/docs/concepts/what-is-istio/)