Istio是以空格服務(wù)平臺(tái)，可以提供遠(yuǎn)程管理服務(wù)，可以對(duì)您設(shè)計(jì)的云平臺(tái)管理，可以查看連接，了解當(dāng)前服務(wù)器的運(yùn)行方式，可以查看保護(hù)，對(duì)您的網(wǎng)絡(luò)服務(wù)維護(hù)，支持控制，在遠(yuǎn)程對(duì)云平臺(tái)以及分布式的存儲(chǔ)服務(wù)器控制，通過(guò)將Istio部署到你的開(kāi)發(fā)平臺(tái)，可以實(shí)現(xiàn)更好的服務(wù)網(wǎng)站配置方式，讓您更好開(kāi)發(fā)云平臺(tái)，也讓您知道平臺(tái)的流量，對(duì)于開(kāi)發(fā)分布式微服務(wù)架構(gòu)是非常有幫助的！

軟件功能

　　連接

　　智能控制服務(wù)之間的流量和 API 調(diào)用，進(jìn)行一系列測(cè)試，并通過(guò)紅/黑部署逐步升級(jí)。

　　保護(hù)

　　通過(guò)托管身份驗(yàn)證、授權(quán)和服務(wù)之間通信加密自動(dòng)保護(hù)您的服務(wù)。

　　控制

　　應(yīng)用策略并確保其執(zhí)行使得資源在消費(fèi)者之間公平分配。

　　觀測(cè)

　　通過(guò)豐富的自動(dòng)跟蹤、監(jiān)控和記錄所有服務(wù)，了解正在發(fā)生的情況。

軟件特色

　　HTTP、gRPC、WebSocket 和 TCP 流量的自動(dòng)負(fù)載均衡。

　　通過(guò)豐富的路由規(guī)則、重試、故障轉(zhuǎn)移和故障注入，可以對(duì)流量行為進(jìn)行細(xì)粒度控制。

　　可插入的策略層和配置 API，支持訪問(wèn)控制、速率限制和配額。

　　對(duì)出入集群入口和出口中所有流量的自動(dòng)度量指標(biāo)、日志記錄和跟蹤。

　　通過(guò)強(qiáng)大的基于身份的驗(yàn)證和授權(quán)，在集群中實(shí)現(xiàn)安全的服務(wù)間通信。

安裝方法

　　Istio 多集群設(shè)置

　　介紹 Istio 多集群的安裝過(guò)程。

　　先決條件

　　兩個(gè)或更多的 1.7.3 以上版本 的 Kubernetes 集群。

　　在 一個(gè) Kubernetes 上部署 Istio 控制平面 的能力。

　　RFC 1918、VPN 或者其他更高級(jí)的網(wǎng)絡(luò)技術(shù)，需完成下列要求：

　　各集群的 Pod CIDR 范圍和 Service CIDR 范圍必須是唯一的，不允許相互重疊。

　　每個(gè)集群中的所有的 Pod CIDR 需要能夠互相路由。

　　所有的 Kubernetes 控制平面 API Server 互相可路由。

　　Helm 2.7.2 或者更新的版本。Tiller 可選。

　　目前只有手工注入 Sidecar 方式經(jīng)過(guò)了多集群驗(yàn)證。

　　注意事項(xiàng)和已知問(wèn)題

　　0.8 版本在多集群模式下的的所有的注意事項(xiàng)和已知問(wèn)題都在 Issue 中進(jìn)行跟蹤。

　　概要

　　在 Kubernetes 控制平面上運(yùn)行遠(yuǎn)程配置，連接到 同一個(gè) Istio 控制平面。（主控）Istio 在連接了一個(gè)或多個(gè) Kubernetes 集群之后，Envoy 就能和這個(gè) Istio 控制平面進(jìn)行通信，并生成一個(gè)跨越多個(gè) Kubernetes 集群的網(wǎng)格網(wǎng)絡(luò)。

　　在遠(yuǎn)程集群上創(chuàng)建 Service account，并生成 kubeconfig 文件

　　Istio 控制平面需要訪問(wèn)網(wǎng)格中的所有集群，來(lái)完成服務(wù)發(fā)現(xiàn)的目的。下面描述了如何在遠(yuǎn)程集群中創(chuàng)建一個(gè) Service account，并賦予它必要的 RBAC 權(quán)限；后面還會(huì)使用這個(gè) Service account 的憑據(jù)為遠(yuǎn)程集群生成一個(gè) kubeconfig 文件，這樣就可以訪問(wèn)遠(yuǎn)程集群了。

　　下面的過(guò)程應(yīng)該在每一個(gè)要加入到服務(wù)網(wǎng)格中的集群上執(zhí)行。這個(gè)過(guò)程需要對(duì)應(yīng)集群的管理員用戶來(lái)完成。

　　1、創(chuàng)建一個(gè)名為 istio-reader 的 ClusterRole，用于 Istio 控制平面（對(duì)集群）的訪問(wèn)：

　　2、為 Istio 控制平面創(chuàng)建一個(gè) ServiceAccount，取名為 istio-multi：

　　3、把前面創(chuàng)建的 ServiceAccount 和 ClusterRole 綁定起來(lái)：

　　4、在創(chuàng)建 kubeconfig 文件之前，首先給 istio-multi 創(chuàng)建環(huán)境變量

　　注意：在很多系統(tǒng)中可以使用 openssl enc -d -base64 -A 來(lái)替代 base64 --decode。

　　5、在工作目錄中為 istio-multi 用戶創(chuàng)建 kubeconfig 文件。

　　完成這些步驟之后，就在當(dāng)前目錄中創(chuàng)建了遠(yuǎn)程集群的 kubeconfig 文件。集群的文件名和原始的 kubeconfig 集群名稱一致。

　　在每個(gè)遠(yuǎn)程集群上安裝 Istio 遠(yuǎn)程組件

　　Istio-remote 組件必須在每個(gè)遠(yuǎn)程集群上分別部署。有兩種安裝方式：使用 Helm 結(jié)合 Tiller，或者用 Helm 配合 kubectl。

　　從 Istio 控制平面設(shè)置 Istio 遠(yuǎn)程組件所需的 Pod IP 環(huán)境變量

　　在進(jìn)行本節(jié)操作之前，請(qǐng)等待 Istio 控制平面完成初始化。 這個(gè)操作必須在 Istio 控制平面所在集群上運(yùn)行，以便于完成對(duì) Pilot、Policy 以及 Pod IP 端點(diǎn)的抓取工作。

如果在每個(gè)遠(yuǎn)程集群上都使用了 Helm + Tiller 的組合，在使用 Helm 把遠(yuǎn)程機(jī)群和 Istio 控制平面連接起來(lái)之前，首先要把環(huán)境變量拷貝到各個(gè) Node 上。

　　使用 Helm + kubectl 把遠(yuǎn)程集群連接到本地

　　1、在遠(yuǎn)程集群上用 Helm template 命令來(lái)指定 Istio 控制平面的服務(wù)端點(diǎn)

　　2、為遠(yuǎn)程 Istio 創(chuàng)建一個(gè) namespace。

　　3、完成遠(yuǎn)程集群到 Istio 控制平面的連接：

使用說(shuō)明

　　架構(gòu)

　　Istio 服務(wù)網(wǎng)格邏輯上分為數(shù)據(jù)平面和控制平面。

　　數(shù)據(jù)平面由一組以 sidecar 方式部署的智能代理（Envoy）組成。這些代理可以調(diào)節(jié)和控制微服務(wù)及 Mixer 之間所有的網(wǎng)絡(luò)通信。

　　控制平面負(fù)責(zé)管理和配置代理來(lái)路由流量。此外控制平面配置 Mixer 以實(shí)施策略和收集遙測(cè)數(shù)據(jù)。

　　Envoy

　　Istio 使用 Envoy 代理的擴(kuò)展版本，Envoy 是以 C++ 開(kāi)發(fā)的高性能代理，用于調(diào)解服務(wù)網(wǎng)格中所有服務(wù)的所有入站和出站流量。Envoy 的許多內(nèi)置功能被 istio 發(fā)揚(yáng)光大，例如：

　　動(dòng)態(tài)服務(wù)發(fā)現(xiàn)

　　負(fù)載均衡

　　TLS 終止

　　HTTP/2 & gRPC 代理

　　熔斷器

　　健康檢查、基于百分比流量拆分的灰度發(fā)布

　　故障注入

　　豐富的度量指標(biāo)

　　Envoy 被部署為 sidecar，和對(duì)應(yīng)服務(wù)在同一個(gè) Kubernetes pod 中。這允許 Istio 將大量關(guān)于流量行為的信號(hào)作為屬性提取出來(lái)，而這些屬性又可以在 Mixer 中用于執(zhí)行策略決策，并發(fā)送給監(jiān)控系統(tǒng)，以提供整個(gè)網(wǎng)格行為的信息。

　　Sidecar 代理模型還可以將 Istio 的功能添加到現(xiàn)有部署中，而無(wú)需重新構(gòu)建或重寫代碼