摘要：?本篇文章是系列中的第一篇，主要講述利用阿里云Kubernetes容器服務，快速搭建一套用于連接、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。

概述

Istio是一個用于連接/管理以及安全化微服務的開放平臺，提供了一種簡單的方式用于創建微服務網絡，并提供負載均衡、服務間認證以及監控等能力，并且關鍵的一點是并不需要修改服務本身就可以實現上述功能。

Istio主要提供以下功能:

• 流量管理： 控制服務之間調用的流量和API調用; 使得調用更可靠，并使網絡在惡劣情況下更加健壯；

• 可觀察性： 獲取服務之間的依賴,以及服務調用的流量走向; 從而提供快速識別問題的能力；

• 策略執行：控制服務的訪問策略,不需要改動服務本身;

• 服務身份和安全：為網格中的服務提供可驗證身份，并提供保護服務流量的能力，使其可以在不同可信度的網絡上流轉；

本篇文章是系列中的第一篇，主要講述利用阿里云Kubernetes容器服務，快速搭建一套用于連接、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。

Istio架構

從架構上看，Istio主要分為2個部分，即:

• 控制面板: 管理代理,用于支持流量路由/運行時執行策略等;

• 數據面板: 由一系列的智能代理(默認為Envoy)構成,用于仲裁和控制服務之間的網絡交互;

Proxy/Envoy

Envoy將作為一個獨立的sidecar與相關微服務部署在同一個Kubernetes的pod上,并提供一系列的屬性給Mixer.Mixer以此作為依據執行策略,并發送到監控系統.

這種sidecar代理模型不需要改變任何服務本身的邏輯,并能增加一系列的功能。

Mixer

Mixer負責在服務網格上執行訪問控制和使用策略，并從Envoy代理和其他服務收集遙測數據。代理提取請求級屬性，發送到Mixer進行評估。

Mixer包括一個靈活的插件模型，使其能夠接入到各種主機環境和基礎設施后端，從這些細節中抽象出Envoy代理和Istio管理的服務。 后續文章會陸續介紹相關內容。

Pilot

Pilot負責收集和驗證配置并將其傳播到各種Istio組件。它從Mixer和Envoy中抽取環境特定的實現細節，為他們提供用戶服務的抽象表示，獨立于底層平臺。此外，流量管理規則（即通用4層規則和7層HTTP/gRPC路由規則）可以在運行時通過Pilot進行編程。

Citadel

提供服務間以及用戶之間的認證,確保不需要修改服務代碼的前提下增強服務之間的安全性。主要包括以下3個組件:

• 身份識別

  • 當Istio運行在Kubernetes時,Auth會使用Kubernetes提供的服務賬號來識別運行服務的主體是誰.

• key管理

  • Auth提供了一個CA自動化生成和管理key和證書.

• 通訊安全

  • 服務間的通訊通過Envoy在客戶端和服務端提供tunnel來保證服務調用的安全.

下面講述一下在阿里云Kubernetes容器服務基礎之上，如何快速搭建一套用于連接、管理以及安全化微服務的開放平臺Istio。

準備Kubernetes環境

阿里云容器服務Kubernetes 1.9.7目前已經上線，可以通過容器服務管理控制臺非常方便地快速創建 Kubernetes 集群。具體過程可以參考創建Kubernetes集群。

體驗通過應用目錄簡便部署

點擊左側的應用目錄，在右側選中ack-istio，如下：

點擊參數, 可以通過修改參數配置進行定制化，如下所示定義了通用參數：

ParameterDescriptionDefaultglobal.hubSpecifies the HUB for most images used by Istioregistry.cn-hangzhou.aliyuncs.com/aliacs-app-catalogglobal.tagSpecifies the TAG for most images used by Istio0.8global.proxy.imageSpecifies the proxy image nameistio-proxyv2global.imagePullPolicySpecifies the image pull policyIfNotPresentglobal.controlPlaneSecurityEnabledSpecifies whether control plane mTLS is enabledfalseglobal.mtls.enabledSpecifies whether mTLS is enabled by default between servicesfalseglobal.mtls.mtlsExcludedServicesList of FQDNs to exclude from mTLS-"kubernetes.default.svc.cluster.local"global.rbacEnabledSpecifies whether to create Istio RBAC rules or nottrueglobal.refreshIntervalSpecifies the mesh discovery refresh interval10sglobal.arch.amd64Specifies the scheduling policy for amd64 architectures2global.arch.s390xSpecifies the scheduling policy for s390x architectures2global.arch.ppc64leSpecifies the scheduling policy for ppc64le architectures2galley.enabledSpecifies whether Galley should be installed for server-side config validation. Requires k8s >= 1.9false

除了上述通用參數之外，還可以針對不同的模塊進行定制，例如是否啟用grafana、prometheus、tracing、weave-scope以及kiali等：

##?addons?configuration#grafana:
??enabled:?true
??replicaCount:?1
??image:?istio-grafana
??service:
????name:?http????type:?ClusterIP
????externalPort:?3000
????internalPort:?3000
....
prometheus:
??enabled:?true
??replicaCount:?1
??image:
????repository:?registry.cn-hangzhou.aliyuncs.com/aliacs-app-catalog/istio-prometheus
????tag:?latest
....
tracing:
??enabled:?true
??jaeger:
????enabled:?true....
weave-scope:
??enabled:?true
??global:????#?global.image:?the?image?that?will?be?used?for?this?release
????image:
??????repository:?weaveworks/scope
??????tag:?"1.9.0"
??????#?global.image.pullPolicy:?must?be?Always,?IfNotPresent,?or?Never
??????pullPolicy:?"IfNotPresent"....
kiali:
??enabled:?true
??replicaCount:?1
??image:
????repository:?registry.cn-hangzhou.aliyuncs.com/aliacs-app-catalog/istio-kiali
????tag:?dev

修改之后，在右側選擇對應的集群、命名空間（建議新建一個namespace，如istio-system），指定發布名稱，然后點擊部署。

幾分鐘之后，一套用于連接、管理以及安全化微服務的開放平臺Istio實例就可以創建出來。

體驗Istio

點擊左側的容器組，在右側可以查看到剛創建的Istio相關容器組信息，如下所示：

點擊左側的服務，在右側可以查看到剛創建的Istio相關服務提供的訪問地址，如下所示：

默認參數配置下，會啟用以下功能模塊：

• 智能路由

• 故障注入

• 流量轉移

• 分布式跟蹤Open Tracing/Jaeger

• 遙測指標數據收集Prometheus

• 遙測指標數據可視化Grafana

• 服務圖Service Graph 與Weave支持

• 服務網格監控Kiali

下一篇文章會通過一個官方示例來講述，在阿里云Kubernetes容器服務基礎之上，如何使用Istio進行微服務開發、管理、保護及監控等。

總結

我們可以利用阿里云Kubernetes容器服務，快速搭建一套用于連接、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。歡迎大家使用阿里云上的容器服務，快速搭建微服務的開放治理平臺Istio，比較簡單地集成到自己項目的微服務開發中。

原文鏈接

本文為云棲社區原創內容，未經允許不得轉載。