Opanuj Architekturę Service Mesh z Istio

1. Wprowadzenie

Odkryj magię architektury service mesh i zobacz, jak wzmacnia twoje rozproszone systemy.

Zanurz się w Istio, supergwiazdę service mesh, i dowiedz się, jak perfekcyjnie orkiestruje twój klaster Kubernetes.

2. Czym jest Service Mesh?

Aplikacje monolityczne ewoluowały w kierunku mniejszych, niezależnych usług. Ten trend zyskał ogromną popularność wraz z chmurą obliczeniową i architekturą mikroserwisów. Narzędzia takie jak Docker i Kubernetes przyspieszyły ten proces.

Mikroserwisy na platformach takich jak Kubernetes oferują wiele korzyści, ale wprowadzają również złożoności. Zarządzanie komunikacją między tymi rozproszonymi usługami wymaga starannego rozważenia odkrywania, trasowania, ponownych prób i przełączania awaryjnego.

Dodatkowe wyzwania obejmują bezpieczeństwo i widoczność.

Te proxy tworzą sieć mesh dla usług, stąd nazwa. Service mesh kontroluje każdy aspekt komunikacji między usługami, umożliwiając mu rozwiązanie ośmiu błędów związanych z rozproszonym przetwarzaniem.

4. Istio Odkryte

Istio, open-source'owy service mesh stworzony przez IBM, Google i Lyft, niewidzialnie wzmacnia rozproszone aplikacje za pomocą zarządzania ruchem, bezpieczeństwa i analiz wydajności.

Elastycznie wdrażany lokalnie, w chmurze, w Kubernetes lub na maszynach wirtualnych, Istio świeci w mikroserwisach na Kubernetes. Choć jest platformowo agnostyczny, jest naturalnie dopasowany do środowisk kontenerowych.

U podstaw, Istio wdraża proxy Envoy jako sidecary obok każdej mikroserwisu:

Ta sieć proxy tworzy płaszczyznę danych Istio, orkiestrującą przez płaszczyznę kontrolną:

Elastyczność Istio błyszczy dzięki bezproblemowej integracji z zewnętrznymi systemami logowania, telemetrii i polityk.

5. Odkrywanie Budulców Istio

Architektura Istio to dynamiczny duet: płaszczyzna danych i płaszczyzna kontrolna. Razem orchestrują magię za możliwościami Istio. Zanurzmy się w kluczowe komponenty napędzające tę wyjątkową platformę.

Przygotuj się na odkrycie złożonych szczegółów kluczowych komponentów Istio.

5.1. Płaszczyzna Danych: Centrum Envoy

Płaszczyzna danych Istio to w zasadzie wzmocniona wersja proxy Envoy. Ten open-source'owy cud radzi sobie z zawirowaniami sieciowymi, uwalniając aplikacje, aby mogły skupić się na swoim podstawowym biznesie. Aplikacje wchodzą w interakcję w sposób płynny, nieświadome złożonej infrastruktury sieciowej.

U podstaw, Envoy to czarodziej sieci działający na warstwach 3 i 4 modelu OSI. Zręcznie zarządza połączeniami za pomocą łańcucha adaptacyjnych filtrów sieciowych. Co więcej, filtr warstwy L7 Envoy umożliwia mu z łatwością obsługiwać ruch HTTP. A to nie wszystko - doskonale radzi sobie z protokołami HTTP/2 i gRPC.

Wiele z wyróżniających cech Istio to w rzeczywistości supermoce odziedziczone po wbudowanych możliwościach Envoy:

• Kontrola ruchu: Envoy dzierży granice kontroli nad ruchem HTTP, gRPC, WebSocket i TCP, kierując nim z precyzją.
• Odporność sieciowa: Wbudowane automatyczne ponowne próby, przełamywanie obwodów i wstrzykiwanie błędów zapewniają nieprzerwaną niezawodność sieci.
• Bezpieczeństwo: Chroń swoją komunikację dzięki solidnym politykom bezpieczeństwa, kontroli dostępu i ograniczeniom przepustowości.

Prawdziwy potencjał Envoy ujawnia się, gdy jest połączony z Istio. Jego rozszerzalność, wspierana przez WebAssembly, to rewolucja w egzekwowaniu polityk i telemetrii. Ponadto, API sandbox Proxy-Wasm Istio otwiera drzwi do jeszcze większych dostosowań Envoy.

5.2. Płaszczyzna Kontrolna: Maestro Istiod

Poznaj istiod, dyrygenta orkiestry płaszczyzny kontrolnej Istio. Ten maestro przekształca wysokopoziomowe zasady trasowania i dyrektywy zarządzania ruchem w konfiguracje przyjazne dla Envoy, płynnie rozdzielając je do sidecarów.

Pamiętasz wcześniejszą architekturę Istio z jej indywidualnymi komponentami? Aby uprościć sprawy, te komponenty zostały połączone w zjednoczony istiod. Ale nie obawiaj się, podstawowe funkcje pozostają nietknięte.

U jego rdzenia istiod wykorzystuje ten sam kod i API, co jego poprzednicy. Pilot, na przykład, nadal jest dyrygentem odkrywania usług, tłumacząc szczegóły specyficzne dla platformy na uniwersalny język zrozumiały przez sidecary. Ta elastyczność pozwala Istio harmonizować z różnorodnymi środowiskami, takimi jak Kubernetes i maszyny wirtualne.

Istiod zarządza również bezpieczeństwem, ustanawiając solidną autoryzację między usługami oraz autoryzację użytkowników końcowych za pomocą wbudowanego systemu zarządzania tożsamościami i poświadczeniami. Łatwo egzekwuj granularne polityki bezpieczeństwa na podstawie tożsamości usługi. Co więcej, istiod działa jako zaufany urząd certyfikacji (CA), wydając certyfikaty, aby zabezpieczyć komunikację między usługami za pomocą mutual TLS (MTLS).

6. Jak Działa Istio

Zbadaliśmy typowe funkcje service mesh i rozebraliśmy architekturę oraz kluczowe komponenty Istio. Teraz odkryjmy, jak Istio dostarcza te funkcje za pomocą swoich kluczowych komponentów.

Ponownie odwiedzimy te same kategorie funkcji, które badaliśmy wcześniej.

6.1. Zarządzanie Ruchem

API zarządzania ruchem Istio oferuje precyzyjną kontrolę nad ruchem w sieci mesh. Dostosuj konfiguracje ruchu, korzystając z tych API i definiując zasoby API za pomocą niestandardowych definicji zasobów Kubernetes (CRD). Kluczowe zasoby API do trasowania ruchu to wirtualne usługi i zasady docelowe:

Wirtualna usługa określa, jak żądania są kierowane do usługi w sieci mesh Istio. Składa się z jednej lub więcej zasad trasowania ocenianych sekwencyjnie. Po trasowaniu wirtualnej usługi stosowane są zasady docelowe, aby kontrolować ruch do docelowego celu, na przykład grupując instancje usługi według wersji.

6.2. Bezpieczeństwo

Fundamentem bezpieczeństwa Istio są silne tożsamości dla każdej usługi. Agenci Istio obok każdego proxy Envoy współpracują z istiod, aby automatyzować rotację kluczy i certyfikatów:

Istio obsługuje dwa rodzaje autoryzacji: autoryzację peer i autoryzację żądań. Autoryzacja peer zabezpiecza komunikację między usługami za pomocą rozwiązania mutual TLS Istio. Autoryzacja żądań obsługuje autoryzację użytkowników końcowych poprzez walidację JSON Web Token (JWT) za pomocą dostawcy autoryzacji lub dostawcy OpenID Connect (OIDC).

Istio egzekwuje kontrolę dostępu do usług poprzez stosowanie polityk autoryzacji. Polityki te regulują ruch przychodzący w proxy Envoy, pozwalając na kontrolę dostępu na poziomie sieci mesh, przestrzeni nazw i usług.

6.3. Widoczność

Istio generuje kompleksową telemetrię, w tym metryki, rozproszone ślady i logi dostępu dla całej komunikacji usług w sieci mesh. Ta telemetria obejmuje metryki na poziomie proxy, orientacyjne dla usługi oraz metryki płaszczyzny kontrolnej.

Wcześniej, Mixer był centralnym komponentem w architekturze telemetrii Istio. Jednak Telemetria v2 zastępuje funkcje Miksera wtyczkami proxy Envoy:

Istio tworzy rozproszone ślady za pomocą proxy Envoy i obsługuje różne systemy śledzenia, takie jak Zipkin, Jaeger, Lightstep i Datadog. Częstotliwość generowania śladów można dostosować. Ponadto Istio generuje logi dostępu dla ruchu usług w konfigurowalnych formatach.

7. Zanurz się w Istio

Wystarczająco tła, zobaczmy Istio w akcji! Zainstalujemy Istio na klastrze Kubernetes i użyjemy prostej aplikacji mikroserwisowej, aby pokazać jego moc.

7.1 Instalacja

Istio instaluje się na różne sposoby, ale najłatwiej jest pobrać i rozpakować najnowszą wersję dla swojego systemu operacyjnego (np. Windows). Wyodrębniony pakiet zawiera klienta istioctl w folderze bin. Użyj istioctl, aby zainstalować Istio na swoim klastrze Kubernetes:

istioctl install --set profile=demo -y

kubectl label namespace default istio-injection=enabled

Używamy tutaj kubectl, zakładając, że masz klaster Kubernetes (np. Minikube) i skonfigurowane CLI Kubernetes kubectl.

7.2 Przykładowa Aplikacja

Wyobraź sobie prostą aplikację do zamawiania online na tę demonstrację. Składa się z trzech mikroserwisów, które współpracują, aby realizować zamówienia:

Nie będziemy zagłębiać się w szczegóły mikroserwisów, ale są łatwe do stworzenia z Spring Boot i REST API. Kluczowe jest, aby stworzyć obrazy Docker dla tych mikroserwisów, aby wdrożyć je w Kubernetes.

7.3 Wdrażanie

Wdrażanie zwinnych obciążeń na klastrach Kubernetes, takich jak Minikube, jest proste. Użyj zasobów Deployment i Service, aby zadeklarować i uzyskać dostęp do obciążenia. Zwykle definiuje się je w pliku YAML:

apiVersion: apps/v1beta1
kind: Deployment
metadata:
  name: order-service
  namespace: default
spec:
  replicas: 1
  template:
    metadata:
      labels:
        app: order-service
        version: v1
    spec:
      containers:
      - name: order-service
        image: kchandrakant/order-service:v1
        resources:
          requests:
            cpu: 0.1
            memory: 200
---
apiVersion: v1
kind: Service
metadata:
  name: order-service
spec:
  ports:
  - port: 80
    targetPort: 80
    protocol: TCP
    name: http
  selector:
    app: order-service

kubectl apply -f booking-service.yaml -f inventory-service.yaml -f shipping-service.yaml

Ponieważ włączyliśmy automatyczne wstrzykiwanie proxy sidecar Envoy dla domyślnej przestrzeni nazw, wszystko jest obsługiwane. Lub ręcznie wstrzykuj proxy sidecar Envoy za pomocą polecenia kube-inject istioctl.

7.4 Dostęp do Aplikacji

Istio głównie obsługuje ruch w sieci mesh. Domyślnie ruch z zewnątrz lub do zewnątrz z sieci mesh jest zablokowany. Istio używa bram, aby zarządzać ruchem przychodzącym i wychodzącym w sieci mesh, dając ci precyzyjną kontrolę nad tym, co wchodzi lub wychodzi. Istio oferuje wstępnie skonfigurowane wdrożenia proxy bram: istio-ingressgateway i istio-egressgateway.

Stwórz Bramę i Wirtualną Usługę dla swojej aplikacji:

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: booking-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
---
apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: booking
spec:
  hosts:
  - "*"
  gateways:
  - booking-gateway
  http:
  - match:
    - uri:
        prefix: /api/v1/booking
    route:
    - destination:
        host: booking-service
        port:
          number: 8080

8 Typowe Zastosowania Istio

Wdrożyliśmy prostą aplikację w Kubernetes z Istio. Odkryjmy potężne funkcje Istio i zobaczmy, jak mogą wzbogacić naszą aplikację.

8.1 Trasowanie Żądań

Wyobraź sobie wdrażanie wielu wersji mikroserwisu, takiego jak usługa wysyłkowa. Chcesz stopniowo wprowadzać nowe funkcje, nie wpływając na wszystkich użytkowników. Trasowanie żądań pozwala na to, kierując część ruchu do najnowszej wersji.

Wykorzystaj zasady trasowania wirtualnej usługi, aby to osiągnąć.

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: shipping-service
spec:
  hosts:
    - shipping-service
  http:
  - route:
    - destination:
        host: shipping-service
        subset: v1
      weight: 90
    - destination:
        host: shipping-service
        subset: v2
      weight: 10
---
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: shipping-service
spec:
  host: shipping-service
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2

Zasady trasowania mogą również filtrować ruch na podstawie nagłówków lub innych atrybutów. Pole docelowe określa docelową usługę dla pasujących żądań.

8.2 Przełamywanie Obwodów

Zapobiegaj awariom kaskadowym dzięki przełącznikom obwodów. Ten wzorzec wykrywa błędy i tymczasowo zatrzymuje ruch do usług, które zawodzą, chroniąc ogólną zdrowotność twojej aplikacji.

Zasady docelowe Istio pozwalają skonfigurować zachowanie przełamywania obwodów dla usług, takich jak usługa magazynowa.

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: inventory-service
spec:
  host: inventory-service
  trafficPolicy:
    connectionPool:
      tcp:
        maxConnections: 1
      http:
        http1MaxPendingRequests: 1
        maxRequestsPerConnection: 1
    outlierDetection:
      consecutive5xxErrors: 1
      interval: 1s
      baseEjectionTime: 3m
      maxEjectionPercent: 100

Ograniczając maksymalne połączenia, oczekujące żądania i żądania na połączenie, można skutecznie zarządzać ruchem i zapobiegać przeciążeniom.

8.3 Włączenie Mutual TLS

Mutual TLS zapewnia bezpieczną komunikację między usługami, wymagając, aby obie strony się uwierzytelniły. Istio automatycznie włącza mutual TLS dla usług korzystających ze swoich proxy.

Chociaż Istio egzekwuje mutual TLS między proxied usługami, ruch w czystym tekście nadal może docierać do usług bez proxy. Użyj polityk PeerAuthentication, aby wymusić mutual TLS w całej sieci mesh.

apiVersion: "security.istio.io/v1beta1"
kind: "PeerAuthentication"
metadata:
  name: "default"
  namespace: "istio-system"
spec:
  mtls:
    mode: STRICT

Możesz zastosować mutual TLS na poziomie sieci mesh, przestrzeni nazw lub usługi. Polityki specyficzne dla usług mają pierwszeństwo przed ustawieniami ogólnymi dla przestrzeni nazw.

8.4 Kontrola Dostępu z JWT

JSON Web Tokens (JWT) to standard do bezpiecznego przesyłania informacji o użytkownikach. Są powszechnie używane do autoryzacji i uwierzytelniania.

Polityka autoryzacji Istio pozwala kontrolować dostęp do usług, takich jak usługa rezerwacji, na podstawie roszczeń JWT.

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: require-jwt
  namespace: default
spec:
  selector:
    matchLabels:
      app: booking-service
  action: ALLOW
  rules:
  - from:
    - source:
       requestPrincipals: ["[email protected]/[email protected]"]

Wymagaj ważnych JWT z konkretnymi roszczeniami dla autoryzowanego dostępu. Istio tworzy atrybut requestPrincipal z roszczeniami wydawcy i tematu JWT.

9. Ostateczne Przemyślenia

Istio upraszcza zarządzanie typowymi wyzwaniami w architekturach mikroserwisów. Jednak jego złożoność może zwiększać obciążenie wdrożeń. Jak każde narzędzie, Istio nie jest magicznym rozwiązaniem i wymaga starannego rozważenia.

9.1. Czy Service Mesh Jest Zawsze Konieczny?

Chociaż service meshes oferują korzyści, rozważ te wady:

Service meshes oferują korzyści, ale staranna ocena złożoności twojej aplikacji jest kluczowa. Zważ zalety wobec dodatkowej złożoności.

9.2. Alternatywy Istio

Istio to popularny service mesh wspierany przez liderów branży, ale nie jest jedyną opcją. Oto krótki przegląd Linkerd i Consul.

Linkerd to native Kubernetes, open-source'owy service mesh, który zyskuje popularność. Jest to projekt inkubacyjny CNCF i działa podobnie do Istio, wykorzystując proxy TCP. Mikropojazd Linkerd oparty na Rust to Linkerd-proxy.

Linkerd jest na ogół prostszy niż Istio z powodu swojego skupienia na Kubernetes. Niemniej jednak jego zestaw funkcji jest bliski zestawowi Istio, a jego podstawowa architektura jest podobna. Linkerd składa się z interfejsu użytkownika, płaszczyzny danych i płaszczyzny kontrolnej.

Consul to open-source'owy service mesh od HashiCorp, który integruje się z innymi narzędziami infrastruktury HashiCorp. Płaszczyzna danych Consul obsługuje zarówno modele proxy, jak i natywne integracji. Oferuje wbudowane proxy, ale może także działać z Envoy.

Consul działa poza Kubernetes, obsługując platformy takie jak Nomad. Używa agentów na każdym węźle do kontroli stanu i komunikuje się z serwerami Consul w celu przechowywania danych i replikacji. Oferując standardowe funkcje service mesh, Consul jest bardziej skomplikowany w wdrożeniu i zarządzaniu.

10. Podsumowanie

Ten poradnik badał podstawy architektury service mesh i potężnych możliwości Istio. Zgłębiliśmy podstawową strukturę Istio, komponenty i praktyczne zastosowania. Na koniec powinieneś mieć solidne zrozumienie, jak zainstalować i wykorzystać Istio w typowych scenariuszach.