摘要： 本篇文章是系列中的第一篇，主要講述利用阿里雲Kubernetes容器服務，快速搭建一套用於連線、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。

概述

Istio是一個用於連線/管理以及安全化微服務的開放平臺，提供了一種簡單的方式用於建立微服務網路，並提供負載均衡、服務間認證以及監控等能力，並且關鍵的一點是並不需要修改服務本身就可以實現上述功能。

Istio主要提供以下功能:

• 流量管理： 控制服務之間呼叫的流量和API呼叫; 使得呼叫更可靠，並使網路在惡劣情況下更加健壯；
• 可觀察性： 獲取服務之間的依賴,以及服務呼叫的流量走向; 從而提供快速識別問題的能力；
• 策略執行：控制服務的訪問策略,不需要改動服務本身;
• 服務身份和安全：為網格中的服務提供可驗證身份，並提供保護服務流量的能力，使其可以在不同可信度的網路上流轉；

本篇文章是系列中的第一篇，主要講述利用阿里雲Kubernetes容器服務，快速搭建一套用於連線、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。

Istio架構

從架構上看，Istio主要分為2個部分，即:

• 控制面板: 管理代理,用於支援流量路由/執行時執行策略等;
• 資料面板: 由一系列的智慧代理(預設為Envoy)構成,用於仲裁和控制服務之間的網路互動;

Proxy/Envoy

Envoy將作為一個獨立的sidecar與相關微服務部署在同一個Kubernetes的pod上,並提供一系列的屬性給Mixer.Mixer以此作為依據執行策略,併發送到監控系統.

這種sidecar代理模型不需要改變任何服務本身的邏輯,並能增加一系列的功能。

Mixer

Mixer負責在服務網格上執行訪問控制和使用策略，並從Envoy代理和其他服務收集遙測資料。代理提取請求級屬性，傳送到Mixer進行評估。

Mixer包括一個靈活的外掛模型，使其能夠接入到各種主機環境和基礎設施後端，從這些細節中抽象出Envoy代理和Istio管理的服務。 後續文章會陸續介紹相關內容。

Pilot

Pilot負責收集和驗證配置並將其傳播到各種Istio元件。它從Mixer和Envoy中抽取環境特定的實現細節，為他們提供使用者服務的抽象表示，獨立於底層平臺。此外，流量管理規則（即通用4層規則和7層HTTP/gRPC路由規則）可以在執行時通過Pilot進行程式設計。

Citadel

提供服務間以及使用者之間的認證,確保不需要修改服務程式碼的前提下增強服務之間的安全性。主要包括以下3個元件:

• 身份識別

  • 當Istio執行在Kubernetes時,Auth會使用Kubernetes提供的服務賬號來識別執行服務的主體是誰.

• key管理

  • Auth提供了一個CA自動化生成和管理key和證書.

• 通訊安全

  • 服務間的通訊通過Envoy在客戶端和服務端提供tunnel來保證服務呼叫的安全.

下面講述一下在阿里雲Kubernetes容器服務基礎之上，如何快速搭建一套用於連線、管理以及安全化微服務的開放平臺Istio。

準備Kubernetes環境

阿里雲容器服務Kubernetes 1.9.7目前已經上線，可以通過容器服務管理控制檯非常方便地快速建立 Kubernetes 叢集。具體過程可以參考建立Kubernetes叢集。

體驗通過應用目錄簡便部署

點選左側的應用目錄，在右側選中ack-istio，如下：

點選引數, 可以通過修改引數配置進行定製化，如下所示定義了通用引數：

除了上述通用引數之外，還可以針對不同的模組進行定製，例如是否啟用grafana、prometheus、tracing、weave-scope以及kiali等：

#
# addons configuration
#
grafana:
  enabled: true
  replicaCount: 1
  image: istio-grafana
  service:
    name: http
    type: ClusterIP
    externalPort: 3000
    internalPort: 3000
....
prometheus:
  enabled: true
  replicaCount: 1
  image:
    repository: registry.cn-hangzhou.aliyuncs.com/aliacs-app-catalog/istio-prometheus
    tag: latest
....
tracing:
  enabled: true
  jaeger:
    enabled: true
....
weave-scope:
  enabled: true
  global:
    # global.image: the image that will be used for this release
    image:
      repository: weaveworks/scope
      tag: "1.9.0"
      # global.image.pullPolicy: must be Always, IfNotPresent, or Never
      pullPolicy: "IfNotPresent"
....
kiali:
  enabled: true
  replicaCount: 1
  image:
    repository: registry.cn-hangzhou.aliyuncs.com/aliacs-app-catalog/istio-kiali
    tag: dev

修改之後，在右側選擇對應的叢集、名稱空間（建議新建一個namespace，如istio-system），指定釋出名稱，然後點選部署。

幾分鐘之後，一套用於連線、管理以及安全化微服務的開放平臺Istio例項就可以創建出來。

體驗Istio

點選左側的容器組，在右側可以檢視到剛建立的Istio相關容器組資訊，如下所示：

點選左側的服務，在右側可以檢視到剛建立的Istio相關服務提供的訪問地址，如下所示：

預設引數配置下，會啟用以下功能模組：

• 智慧路由
• 故障注入
• 流量轉移
• 分散式跟蹤Open Tracing/Jaeger
• 遙測指標資料收集Prometheus
• 遙測指標資料視覺化Grafana
• 服務圖Service Graph 與Weave支援
• 服務網格監控Kiali

下一篇文章會通過一個官方示例來講述，在阿里雲Kubernetes容器服務基礎之上，如何使用Istio進行微服務開發、管理、保護及監控等。

總結

我們可以利用阿里雲Kubernetes容器服務，快速搭建一套用於連線、管理以及安全化微服務的開放平臺Istio，為應用引入和配置多個相關服務。歡迎大家使用阿里雲上的容器服務，快速搭建微服務的開放治理平臺Istio，比較簡單地整合到自己專案的微服務開發中。

原文連結