你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

适用于 Istio 服务网格加载项部署的 Azure Kubernetes 服务 (AKS) 外部或内部入口

  • 项目

本文介绍如何为适用于 Azure Kubernetes 服务 (AKS) 群集的 Istio 服务网格加载项部署外部或内部入口。

注意

执行 Istio 加载项的次要修订版升级时，将为新的控制平面修订版创建外部/内部网关的另一个部署。

先决条件

本指南假定你按照文档的说明在 AKS 群集上启用 Istio 加载项、部署示例应用程序并设置环境变量。

启用外部入口网关

使用 az aks mesh enable-ingress-gateway 在 AKS 群集上启用可从外部访问的 Istio 入口：

az aks mesh enable-ingress-gateway --resource-group $RESOURCE_GROUP --name $CLUSTER --ingress-gateway-type external

使用 kubectl get svc 检查映射到入口网关的服务：

kubectl get svc aks-istio-ingressgateway-external -n aks-istio-ingress

从输出中观察到服务的外部 IP 地址为可公开访问的 IP 地址：

NAME                                TYPE           CLUSTER-IP    EXTERNAL-IP     PORT(S)                                      AGE
aks-istio-ingressgateway-external   LoadBalancer   10.0.10.249   <EXTERNAL_IP>   15021:30705/TCP,80:32444/TCP,443:31728/TCP   4m21s

默认情况下，启用入口网关后，无法从群集外部访问应用程序。 若要使应用程序可供访问，请使用以下清单将示例部署的入口映射到 Istio 入口网关：

kubectl apply -f - <<EOF
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: bookinfo-gateway-external
spec:
  selector:
    istio: aks-istio-ingressgateway-external
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: bookinfo-vs-external
spec:
  hosts:
  - "*"
  gateways:
  - bookinfo-gateway-external
  http:
  - match:
    - uri:
        exact: /productpage
    - uri:
        prefix: /static
    - uri:
        exact: /login
    - uri:
        exact: /logout
    - uri:
        prefix: /api/v1/products
    route:
    - destination:
        host: productpage
        port:
          number: 9080
EOF

注意

网关对象中使用的选择器指向 istio: aks-istio-ingressgateway-external，可在映射到先前启用的外部入口的服务上找到该标签。

为外部入口主机和端口设置环境变量：

export INGRESS_HOST_EXTERNAL=$(kubectl -n aks-istio-ingress get service aks-istio-ingressgateway-external -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
export INGRESS_PORT_EXTERNAL=$(kubectl -n aks-istio-ingress get service aks-istio-ingressgateway-external -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
export GATEWAY_URL_EXTERNAL=$INGRESS_HOST_EXTERNAL:$INGRESS_PORT_EXTERNAL

检索示例应用程序的外部地址：

echo "http://$GATEWAY_URL_EXTERNAL/productpage"

导航到上一命令输出中的 URL，并确认已显示示例应用程序的产品页。 或者，还可使用 curl 确认示例应用程序可供访问。 例如：

curl -s "http://${GATEWAY_URL_EXTERNAL}/productpage" | grep -o "<title>.*</title>"

确认示例应用程序的产品页可供访问。 预期的输出为：

<title>Simple Bookstore App</title>

启用内部入口网关

使用 az aks mesh enable-ingress-gateway 在 AKS 群集上启用内部 Istio 入口：

az aks mesh enable-ingress-gateway --resource-group $RESOURCE_GROUP --name $CLUSTER --ingress-gateway-type internal

使用 kubectl get svc 检查映射到入口网关的服务：

kubectl get svc aks-istio-ingressgateway-internal -n aks-istio-ingress

从输出中观察到服务的外部 IP 地址不是可公开访问的 IP 地址，而是只能在本地访问：

NAME                                TYPE           CLUSTER-IP    EXTERNAL-IP     PORT(S)                                      AGE
aks-istio-ingressgateway-internal   LoadBalancer   10.0.182.240  <IP>      15021:30764/TCP,80:32186/TCP,443:31713/TCP   87s

启用入口网关后，应用程序不会映射到 Istio 入口网关。 使用以下清单将示例部署的入口映射到 Istio 入口网关：

kubectl apply -f - <<EOF
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: bookinfo-internal-gateway
spec:
  selector:
    istio: aks-istio-ingressgateway-internal
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: bookinfo-vs-internal
spec:
  hosts:
  - "*"
  gateways:
  - bookinfo-internal-gateway
  http:
  - match:
    - uri:
        exact: /productpage
    - uri:
        prefix: /static
    - uri:
        exact: /login
    - uri:
        exact: /logout
    - uri:
        prefix: /api/v1/products
    route:
    - destination:
        host: productpage
        port:
          number: 9080
EOF

注意

网关对象中使用的选择器指向 istio: aks-istio-ingressgateway-internal，可在映射到先前启用的内部入口的服务上找到该标签。

为内部入口主机和端口设置环境变量：

export INGRESS_HOST_INTERNAL=$(kubectl -n aks-istio-ingress get service aks-istio-ingressgateway-internal -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
export INGRESS_PORT_INTERNAL=$(kubectl -n aks-istio-ingress get service aks-istio-ingressgateway-internal -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
export GATEWAY_URL_INTERNAL=$INGRESS_HOST_INTERNAL:$INGRESS_PORT_INTERNAL

检索示例应用程序的地址：

echo "http://$GATEWAY_URL_INTERNAL/productpage"

导航到上一命令输出中的 URL，并确认未显示示例应用程序的产品页。 或者，还可使用 curl 确认示例应用程序不可访问。 例如：

curl -s "http://${GATEWAY_URL_INTERNAL}/productpage" | grep -o "<title>.*</title>"

使用 kubectl exec 确认可从群集的虚拟网络内部访问应用程序：

kubectl exec "$(kubectl get pod -l app=ratings -o jsonpath='{.items[0].metadata.name}')" -c ratings -- curl -sS  "http://$GATEWAY_URL_INTERNAL/productpage"  | grep -o "<title>.*</title>"

确认示例应用程序的产品页可供访问。 预期的输出为：

<title>Simple Bookstore App</title>

删除资源

如果要清理 Istio 服务网格和入口（留下群集），请运行以下命令：

az aks mesh disable --resource-group ${RESOURCE_GROUP} --name ${CLUSTER}

如果要清理根据 Istio 操作指南文档创建的所有资源，请运行以下命令：

az group delete --name ${RESOURCE_GROUP} --yes --no-wait

后续步骤