5、Istio技术详解与部署指南

Istio技术详解与部署指南

1. Istio基础特性

1.1 Citadel的可插拔架构

Citadel具备可插拔架构，允许使用不同的证书颁发机构（CA），避免使用其自身生成和签名的密钥与证书来签署工作负载证书。这种CA的可插拔性带来了诸多好处：
- 与组织的公钥基础设施（PKI）系统集成。
- 确保Istio与非Istio遗留服务之间的通信安全（通过共享相同的信任根）。
- 将CA签名密钥存储在受良好保护的环境中，如HashiCorp Vault、硬件安全模块（HSM）等。

1.2 服务代理

服务网格代理可用于控制入站网络流量、服务间流量以及出站流量。Istio在服务和客户端之间使用代理，这些服务代理通常作为边车（sidecar）部署在Pod中。边车可以在不改变容器的情况下为其添加功能，与服务作为一个增强的单元运行。

Istio的数据平面组件使用了基于C++开发的高性能代理Envoy的扩展版本，来调解服务网格中所有服务的入站和出站流量。Istio利用了Envoy的众多特性，如动态服务发现、负载均衡、TLS终止、HTTP/2和gRPC代理、断路器、健康检查、基于百分比的流量拆分的分阶段推出、故障注入和丰富的指标等。

Envoy作为边车部署在同一Kubernetes Pod中的相关服务旁边，这使得Istio能够提取大量关于流量行为的信号作为属性，用于Mixer执行策略决策，并发送到监控系统以提供整个网格行为的信息。

边车代理模型还允许在现有部署中添加Istio功能，而无需重新设计或重写代码。在Kubernetes中，自动代理注入通过使用Kubernetes API服务器和变异We