Надстройка сетки служб на основе Istio для службы Azure Kubernetes

  • Статья

Istio решает проблемы, с которыми сталкиваются разработчики и операторы с архитектурой распределенных или микрослужб. Надстройка сетки службы на основе Istio предоставляет официально поддерживаемую и протестированную интеграцию для Служба Azure Kubernetes (AKS).

Что такое сетка служб?

Современные приложения обычно архитекторируются как распределенные коллекции микрослужб, причем каждая коллекция микрослужб выполняет некоторую дискретную бизнес-функцию. Сетка служб — это выделенный уровень инфраструктуры, который можно добавить в приложения. Она позволяет прозрачно добавлять такие возможности, как наблюдаемость, управление трафиком и безопасность, не добавляя их в собственный код. Сетка терминов службы описывает как тип программного обеспечения, используемого для реализации этого шаблона, так и безопасность или сетевой домен, создаваемый при использовании этого программного обеспечения.

Так как развертывание распределенных служб, таких как в системе на основе Kubernetes, увеличивается размер и сложность, это может стать труднее понять и управлять ими. Может потребоваться реализовать такие возможности, как обнаружение, балансировка нагрузки, восстановление сбоев, метрики и мониторинг. Сетка служб также может решать более сложные операционные требования, такие как A/B-тестирование, канаровые развертывания, ограничение скорости, управление доступом, шифрование и сквозная проверка подлинности.

Обмен данными между службами — это то, что делает распределенное приложение возможным. Маршрутизация этой связи в кластерах приложений становится все более сложной по мере роста числа служб. Istio помогает уменьшить эту сложность при облегчении нагрузки на команды разработчиков.

Что такое Istio?

Istio — это сетка службы с открытым исходным кодом, которая прозрачно распространяется на существующие распределенные приложения. Мощные функции Istio обеспечивают универсальный и более эффективный способ защиты, подключения и мониторинга служб. Istio обеспечивает балансировку нагрузки, проверку подлинности между службами и мониторинг — с небольшими изменениями кода службы. Его мощный уровень управления приносит жизненно важные функции, в том числе:

  • Безопасное взаимодействие между службами в кластере с помощью шифрования TLS, строгой проверки подлинности и авторизации на основе удостоверений.
  • Автоматическая балансировка нагрузки для HTTP, gRPC, WebSocket и TCP-трафика.
  • Точное управление поведением трафика с расширенными правилами маршрутизации, повторными попытками, отработкой отказа и внедрением ошибок.
  • Подключаемый уровень политики и API конфигурации, поддерживающий элементы управления доступом, ограничения скорости и квоты.
  • Автоматические метрики, журналы и трассировки для всего трафика в кластере, включая входящий трафик кластера и исходящий трафик.

Как надстройка отличается от Istio с открытым исходным кодом?

Эта надстройка сетки служб использует и строится на основе Istio с открытым кодом. При настройке надстройки предоставляются следующие дополнительные преимущества:

  • Версии Istio проверяются и проверяются на совместимость с поддерживаемыми версиями Служба Azure Kubernetes.
  • Корпорация Майкрософт обрабатывает масштабирование и настройку плоскости управления Istio
  • Корпорация Майкрософт настраивает масштабирование компонентов AKS, например coredns при включении Istio.
  • Корпорация Майкрософт предоставляет управляемый жизненный цикл (обновления) для компонентов Istio при активации пользователем.
  • Проверенная настройка внешнего и внутреннего входящего трафика.
  • Проверено, чтобы работать с управляемой службой Azure Monitor для Prometheus и Azure Managed Grafana.
  • Официальный поддержка Azure, предоставленный для надстройки.

Ограничения

Надстройка сетки служб на основе Istio для AKS имеет следующие ограничения:

  • Надстройка не работает в кластерах AKS, использующих надстройку Open Service Mesh для AKS.
  • Надстройка не работает в кластерах AKS, на которых уже установлен Istio.
  • Надстройка не поддерживает добавление модулей pod, связанных с виртуальными узлами, которые будут добавлены в сетку.
  • Istio не поддерживает контейнеры Windows Server.
  • Настройка сетки на основе следующих настраиваемых ресурсов заблокирована на данный момент. EnvoyFilter, ProxyConfig, WorkloadEntry, WorkloadGroup, Telemetry, IstioOperator, WasmPlugin
  • API шлюза для шлюза Istio ingress или управления трафиком сетки (ГАММА) в настоящее время еще не поддерживается в надстройке Istio.

Следующие шаги