入门

如果您想从 Gateway API 开始使用 Istio, 请参阅后续入门说明而不是以下内容。

本指南帮您快速评估 Istio。 如果您已经熟悉 Istio,或对安装其他配置类型或高级部署模型感兴趣, 请参阅我们应该采用哪种 Istio 安装方法? 的 FAQ 页面。

完成下面步骤需要您有一个 cluster, 且运行着兼容版本的 Kubernetes (1.22, 1.23, 1.24, 1.25)。 您可以使用任何支持的平台,例如: Minikube特定平台安装说明章节中指定的其他平台。

请按照以下步骤开始使用 Istio:

  1. 下载并安装 Istio
  2. 部署示例应用程序
  3. 对外开放应用程序
  4. 查看仪表板

下载 Istio

  1. 转到 Istio 发布 页面,下载针对您操作系统的安装文件, 或用自动化工具下载并提取最新版本(Linux 或 macOS):

    1. $ curl -L https://istio.io/downloadIstio | sh -

    上面的命令下载最新版本(用数值表示)的 Istio。 您可以给命令行传递变量,用来下载指定的、不同处理器体系的版本。 例如,要为 x86_64 架构下载 Istio 1.16.0,请运行:

    1. $ curl -L https://istio.io/downloadIstio | ISTIO_VERSION=1.16.0 TARGET_ARCH=x86_64 sh -
  2. 转到 Istio 包目录。例如,如果包是 istio-1.16.0

    1. $ cd istio-1.16.0

    安装目录包含:

    • samples/ 目录下的示例应用程序
    • bin/ 目录下的 istioctl 客户端二进制文件。
  3. istioctl 客户端添加到路径(Linux 或 macOS):

    1. $ export PATH=$PWD/bin:$PATH

安装 Istio

  1. 对于本次安装,我们采用 demo 配置组合。 选择它是因为它包含了一组专为测试准备的功能集合,另外还有用于生产或性能测试的配置组合。

    如果您的平台有供应商提供的配置组合,比如 Openshift,则在下面命令中替换掉 demo 配置项。更多细节请参阅平台说明

    1. $ istioctl install --set profile=demo -y
    2. Istio core installed
    3. Istiod installed
    4. Egress gateways installed
    5. Ingress gateways installed
    6. Installation complete
  2. 给命名空间添加标签,指示 Istio 在部署应用的时候,自动注入 Envoy 边车代理:

    1. $ kubectl label namespace default istio-injection=enabled
    2. namespace/default labeled

部署示例应用

  1. 部署 Bookinfo 示例应用

    Zip

    1. $ kubectl apply -f @samples/bookinfo/platform/kube/bookinfo.yaml@
    2. service/details created
    3. serviceaccount/bookinfo-details created
    4. deployment.apps/details-v1 created
    5. service/ratings created
    6. serviceaccount/bookinfo-ratings created
    7. deployment.apps/ratings-v1 created
    8. service/reviews created
    9. serviceaccount/bookinfo-reviews created
    10. deployment.apps/reviews-v1 created
    11. deployment.apps/reviews-v2 created
    12. deployment.apps/reviews-v3 created
    13. service/productpage created
    14. serviceaccount/bookinfo-productpage created
    15. deployment.apps/productpage-v1 created
  2. 应用很快会启动起来。当每个 Pod 准备就绪时,Istio 边车将伴随应用一起部署。

    1. $ kubectl get services
    2. NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
    3. details ClusterIP 10.0.0.212 <none> 9080/TCP 29s
    4. kubernetes ClusterIP 10.0.0.1 <none> 443/TCP 25m
    5. productpage ClusterIP 10.0.0.57 <none> 9080/TCP 28s
    6. ratings ClusterIP 10.0.0.33 <none> 9080/TCP 29s
    7. reviews ClusterIP 10.0.0.28 <none> 9080/TCP 29s

    1. $ kubectl get pods
    2. NAME READY STATUS RESTARTS AGE
    3. details-v1-558b8b4b76-2llld 2/2 Running 0 2m41s
    4. productpage-v1-6987489c74-lpkgl 2/2 Running 0 2m40s
    5. ratings-v1-7dc98c7588-vzftc 2/2 Running 0 2m41s
    6. reviews-v1-7f99cc4496-gdxfn 2/2 Running 0 2m41s
    7. reviews-v2-7d79d5bd5d-8zzqd 2/2 Running 0 2m41s
    8. reviews-v3-7dbcdcbc56-m8dph 2/2 Running 0 2m41s

    在执行下一步之前,重新运行上面的命令直到所有的 Pod 达到此状态:就绪状态(READY)的值为 2/2、状态(STATUS)的值为 Running。 基于您平台的不同,这个操作过程可能会花费几分钟的时间。

  3. 确认上面的操作都正确之后,运行下面命令,通过检查返回的页面标题来验证应用是否已在集群中运行,并已提供网页服务:

    1. $ kubectl exec "$(kubectl get pod -l app=ratings -o jsonpath='{.items[0].metadata.name}')" -c ratings -- curl -sS productpage:9080/productpage | grep -o "<title>.*</title>"
    2. <title>Simple Bookstore App</title>

对外开放应用程序

此时,BookInfo 应用已经部署,但还不能被外界访问。 要开放访问,您需要创建 Istio 入站网关(Ingress Gateway), 它会在网格边缘把一个路径映射到路由。

  1. 把应用关联到 Istio 网关:

    Zip

    1. $ kubectl apply -f @samples/bookinfo/networking/bookinfo-gateway.yaml@
    2. gateway.networking.istio.io/bookinfo-gateway created
    3. virtualservice.networking.istio.io/bookinfo created
  2. 确保配置文件没有问题:

    1. $ istioctl analyze
    2. No validation issues found when analyzing namespace: default.

确定入站 IP 和端口

按照说明,为访问网关设置两个变量:INGRESS_HOSTINGRESS_PORT。 使用标签页,切换到您选用平台的说明:

在新的终端窗口中运行此命令以启动一个 Minikube 隧道,将流量发送到 Istio Ingress Gateway。 这将为 service/istio-ingressgateway 提供一个外部负载均衡器 EXTERNAL-IP

  1. $ minikube tunnel

设置入站主机和端口:

  1. $ export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
  2. $ export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
  3. $ export SECURE_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="https")].port}')

确保 IP 地址和端口被成功地赋值给了每一个环境变量:

  1. $ echo "$INGRESS_HOST"
  2. 127.0.0.1
  1. $ echo "$INGRESS_PORT"
  2. 80
  1. $ echo "$SECURE_INGRESS_PORT"
  2. 443

执行下面命令以判断您的 Kubernetes 集群环境是否支持外部负载均衡:

  1. $ kubectl get svc istio-ingressgateway -n istio-system
  2. NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
  3. istio-ingressgateway LoadBalancer 172.21.109.129 130.211.10.121 80:31380/TCP,443:31390/TCP,31400:31400/TCP 17h

设置 EXTERNAL-IP 的值之后, 您的环境就有了一个外部的负载均衡器,可以将其用作入站网关。 但如果 EXTERNAL-IP 的值为 <none> (或者一直是 <pending> 状态), 则您的环境则没有提供可作为入站流量网关的外部负载均衡器。 在这个情况下,您还可以用服务(Service)的节点端口访问网关。

依据您的环境,选择相应的说明:

如果您确定您的环境中确实存在外部的负载均衡,请参照下面的说明。

设置入站 IP 地址和端口:

  1. $ export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
  2. $ export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
  3. $ export SECURE_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="https")].port}')

在某些环境中,负载均衡器可能使用主机名访问,而不是 IP 地址。 在这种情况下,入站流量网关的 EXTERNAL-IP 值不是 IP 地址,而是一个主机名, 那上面设置 INGRESS_HOST 环境变量的操作会失败。 使用下面命令纠正 INGRESS_HOST 的值。

  1. $ export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')

按照下面说明:如果您的环境中没有外部负载均衡器,那就选择一个节点端口来代替。

设置入站的端口:

  1. $ export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].nodePort}')
  2. $ export SECURE_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="https")].nodePort}')

GKE:

  1. $ export INGRESS_HOST=worker-node-address

您需要创建防火墙规则,以允许 TCP 流量发送到 ingressgateway 服务地端口。 运行下面的命令,以允许 HTTP 端口或 HTTPS 端口的流量,或两者的流量都允许。

  1. $ gcloud compute firewall-rules create allow-gateway-http --allow "tcp:$INGRESS_PORT"
  2. $ gcloud compute firewall-rules create allow-gateway-https --allow "tcp:$SECURE_INGRESS_PORT"

IBM Cloud Kubernetes Service:

  1. $ ibmcloud ks workers --cluster cluster-name-or-id
  2. $ export INGRESS_HOST=public-IP-of-one-of-the-worker-nodes

Docker For Desktop:

  1. $ export INGRESS_HOST=127.0.0.1

其他环境:

  1. $ export INGRESS_HOST=$(kubectl get po -l istio=ingressgateway -n istio-system -o jsonpath='{.items[0].status.hostIP}')
  1. 设置环境变量 GATEWAY_URL

    1. $ export GATEWAY_URL=$INGRESS_HOST:$INGRESS_PORT
  2. 确保 IP 地址和端口均成功地赋值给了环境变量:

    1. $ echo "$GATEWAY_URL"
    2. 192.168.99.100:32194

验证外部访问

用浏览器查看 Bookinfo 应用的产品页面,验证 Bookinfo 已经实现了外部访问。

  1. 运行下面命令,获取 Bookinfo 应用的外部访问地址。

    1. $ echo "http://$GATEWAY_URL/productpage"
  2. 把上面命令的输出地址复制粘贴到浏览器并访问,确认 Bookinfo 应用的产品页面是否可以打开。

查看仪表板

Istio 和几个遥测应用做了集成。 遥测能帮您了解服务网格的结构、展示网络的拓扑结构、分析网格的健康状态。

使用下面说明部署 Kiali 仪表板、 以及 PrometheusGrafana、 还有 Jaeger

  1. 安装 Kiali 和其他插件,等待部署完成。

    1. $ kubectl apply -f samples/addons
    2. $ kubectl rollout status deployment/kiali -n istio-system
    3. Waiting for deployment "kiali" rollout to finish: 0 of 1 updated replicas are available...
    4. deployment "kiali" successfully rolled out

    如果在安装插件时出错,再运行一次命令。有一些和时间相关的问题,再次运行就能解决。

  2. 访问 Kiali 仪表板。

    1. $ istioctl dashboard kiali
  3. 在左侧的导航菜单,选择 Graph ,然后在 Namespace 下拉列表中,选择 default

    要查看追踪数据,必须向服务发送请求。请求的数量取决于 Istio 的采样率。 采样率在安装 Istio 时设置,默认采样速率为 1%。在第一个跟踪可见之前,您需要发送至少 100 个请求。 使用以下命令向 productpage 服务发送 100 个请求:

    1. $ for i in `seq 1 100`; do curl -s -o /dev/null http://$GATEWAY_URL/productpage; done

    Kiali 仪表板展示了网格的概览以及 Bookinfo 示例应用的各个服务之间的关系。 它还提供过滤器来可视化流量的流动。

    Kiali 仪表板

    Kiali 仪表板

后续步骤

恭喜您完成了评估安装!

对于新手来说,这些任务是非常好的资源,可以借助 demo 安装更深入评估 Istio 的特性:

在您为了生产系统定制 Istio 之前,参阅这些资源:

加入 Istio 社区

我们欢迎您加入 Istio 社区, 提出问题,并给我们以反馈。

卸载

删除 Bookinfo 示例应用和配置, 参阅清理 Bookinfo

Istio 卸载程序按照层次结构逐级的从 istio-system 命令空间中删除 RBAC 权限和所有资源。对于不存在的资源报错,可以安全的忽略掉,毕竟它们已经被分层地删除了。

Zip

  1. $ kubectl delete -f @samples/addons@
  2. $ istioctl uninstall -y --purge

命名空间 istio-system 默认情况下并不会被移除。 不需要的时候,使用下面命令移除它:

  1. $ kubectl delete namespace istio-system

指示 Istio 自动注入 Envoy 边车代理的标签默认也不移除。 不需要的时候,使用下面命令移除它。

  1. $ kubectl label namespace default istio-injection-