云原生与容器--Service Mesh (Istio) 入门实战

系列导读本篇将深入讲解 Service Mesh 与 Istio 的核心概念与实战应用。文章目录一、Service Mesh 概述1.1 什么是 Service Mesh1.2 为什么需要 Service Mesh1.3 Sidecar 模式二、Istio 架构2.1 核心组件2.2 安装部署2.3 启用 Sidecar 注入三、流量管理3.1 VirtualService3.2 DestinationRule3.3 Gateway四、安全策略4.1 mTLS 配置4.2 授权策略五、可观测性5.1 指标监控5.2 分布式追踪5.3 Kiali 可视化总结一、Service Mesh 概述1.1 什么是 Service Mesh┌─────────────────────────────────────────────────────────────┐ │ Service Mesh 定义 │ ├─────────────────────────────────────────────────────────────┤ │ 服务网格是处理服务间通信的基础设施层 │ │ - 流量管理路由、负载均衡、故障注入 │ │ - 安全mTLS、认证、授权 │ │ - 可观测性指标、日志、追踪 │ └─────────────────────────────────────────────────────────────┘1.2 为什么需要 Service Mesh问题传统方案Service Mesh服务发现硬编码自动发现负载均衡客户端实现Sidecar 代理熔断降级代码侵入配置实现链路追踪手动埋点自动注入安全通信自行实现mTLS1.3 Sidecar 模式┌─────────────────────────────────────────────────────────────┐ │ Pod │ │ ┌─────────────┐ ┌─────────────┐ │ │ │ Application │◄──►│ Envoy │ │ │ │ Container │ │ (Sidecar) │ │ │ └─────────────┘ └─────────────┘ │ │ │ │ │ ▼ │ │ ┌─────────────┐ │ │ │ Istiod │ │ │ │ (Control │ │ │ │ Plane) │ │ │ └─────────────┘ │ └─────────────────────────────────────────────────────────────┘二、Istio 架构2.1 核心组件组件说明Envoy数据平面代理Istiod控制平面Citadel证书管理Galley配置验证2.2 安装部署# 下载 Istiocurl-Lhttps://istio.io/downloadIstio|sh-# 安装 istioctlexportPATH$PWD/bin:$PATH# 安装 Istioistioctlinstall--setprofiledemo-y# 验证安装kubectl get pods-nistio-system2.3 启用 Sidecar 注入# 标记命名空间kubectl label namespace default istio-injectionenabled# 部署应用kubectl apply-fdeployment.yaml三、流量管理3.1 VirtualService# 路由规则apiVersion:networking.istio.io/v1alpha3kind:VirtualServicemetadata:name:order-servicespec:hosts:-order-servicehttp:-match:-headers:version:exact:v2route:-destination:host:order-servicesubset:v2-route:-destination:host:order-servicesubset:v1weight:90-destination:host:order-servicesubset:v2weight:103.2 DestinationRule# 目标规则apiVersion:networking.istio.io/v1alpha3kind:DestinationRulemetadata:name:order-servicespec:host:order-servicesubsets:-name:v1labels:version:v1-name:v2labels:version:v2trafficPolicy:connectionPool:tcp:maxConnections:100http:h2UpgradePolicy:UPGRADEoutlierDetection:consecutive5xxErrors:3interval:30sbaseEjectionTime:30s3.3 Gateway# 网关配置apiVersion:networking.istio.io/v1alpha3kind:Gatewaymetadata:name:app-gatewayspec:selector:istio:ingressgatewayservers:-port:number:80name:httpprotocol:HTTPhosts:-*.example.com四、安全策略4.1 mTLS 配置# PeerAuthenticationapiVersion:security.istio.io/v1beta1kind:PeerAuthenticationmetadata:name:defaultnamespace:istio-systemspec:mtls:mode:STRICT4.2 授权策略# AuthorizationPolicyapiVersion:security.istio.io/v1beta1kind:AuthorizationPolicymetadata:name:order-authnamespace:defaultspec:selector:matchLabels:app:order-servicerules:-from:-source:principals:[cluster.local/ns/default/sa/frontend]to:-operation:methods:[GET,POST]paths:[/api/orders/*]五、可观测性5.1 指标监控# Prometheus 配置apiVersion:telemetry.istio.io/v1alpha1kind:Telemetrymetadata:name:defaultspec:metrics:-providers:-name:prometheus5.2 分布式追踪# 启用追踪apiVersion:telemetry.istio.io/v1alpha1kind:Telemetrymetadata:name:tracingspec:tracing:-providers:-name:jaegerrandomSamplingPercentage:1005.3 Kiali 可视化# 安装 Kialikubectl apply-fhttps://raw.githubusercontent.com/istio/istio/master/samples/addons/kiali.yaml# 访问 Kialiistioctl dashboard kiali总结✅Service Mesh 概述定义、作用、Sidecar 模式✅Istio 架构Envoy、Istiod✅流量管理VirtualService、DestinationRule✅安全策略mTLS、授权策略✅可观测性指标、追踪、可视化下篇预告CI/CD 流水线设计实践作者刘~浪地球系列云原生与容器三更新时间2026-04-15