#安装 Istio ambient 模式

您可以使用 Alauda Service Mesh Operator 2.1.1 或更高版本，在 Alauda Container Platform 上以 ambient 模式部署 Istio。

#前提条件

• 必须安装 Alauda Container Platform Networking for Multus 插件。
• kube-ovn 必须为 v4.1.5 或更高版本，并且必须使用 overlay 网络。ambient 模式不适用于 kube-ovn underlay 网络；请参阅 Ambient 模式不支持 kube-ovn underlay 网络。
• 已安装 Alauda Service Mesh Operator 2.1.1 或更高版本。
• 集群管理员已通过 kubectl 建立活动的 ACP CLI 会话，并具有 cluster-admin 角色。
• 您已在本地安装 istioctl，以便用于运行这些操作步骤。

#操作步骤

#安装 Istio Container Network Interface (CNI)

1. 创建 istio-cni 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace istio-cni
   kubectl label namespace istio-cni istio-discovery=enabled

2. 创建名为 istio-cni.yaml 的 IstioCNI 资源：

   apiVersion: sailoperator.io/v1
   kind: IstioCNI
   metadata:
     name: default
   spec:
     version: v1.28.6
     namespace: istio-cni
     profile: ambient
     values:
       cni:
         cniConfDir: /etc/cni/multus/net.d
         excludeNamespaces:
           - istio-cni
           - kube-system
         ambient:
           reconcileIptablesOnStartup: true
   1. 必须将 profile 字段设置为 ambient。
   2. 将 spec.values.cni.ambient.reconcileIptablesOnStartup 设置为 true。reconcileIptablesOnStartup 选项使 IstioCNI agent 能够在 CNI agent 启动期间检测并修复已运行 ambient pod 中不兼容的 iptables 规则，从而处理升级或规则漂移等场景。

3. 应用 IstioCNI CR：

   kubectl apply -f istio-cni.yaml

4. 等待 IstioCNI pod 就绪：

   kubectl wait --for=condition=Ready istiocnis/default --timeout=3m

#安装 Istio 控制平面

1. 创建 istio-system 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace istio-system
   kubectl label namespace istio-system istio-discovery=enabled

2. 创建名为 istio.yaml 的 Istio 资源：

   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v1.28.6
     namespace: istio-system
     profile: ambient
     values:
       pilot:
         trustedZtunnelNamespace: ztunnel
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: enabled
   1. 必须将 profile 字段设置为 ambient。
   2. 必须将 .spec.values.pilot.trustedZtunnelNamespace 配置为与 ZTunnel 资源将要安装到的命名空间一致。
   3. discoverySelectors 配置确保控制平面仅监控带有 istio-discovery=enabled 标签的命名空间，从而帮助减少配置开销，并支持在同一集群中共存多个服务网格。有关详细信息，请参阅 ambient 模式下的发现选择器。

3. 应用 Istio custom resource (CR)：

   kubectl apply -f istio.yaml

4. 等待 Istio 控制平面就绪：

   kubectl wait --for=condition=Ready istios/default --timeout=3m

#安装 ZTunnel 代理

1. 创建 ztunnel 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace ztunnel
   kubectl label namespace ztunnel istio-discovery=enabled
   NOTE

   ZTunnel 资源的命名空间名称必须与 Istio 配置中的 trustedZtunnelNamespace 参数一致。

2. 创建名为 ztunnel.yaml 的 ZTunnel 资源：

   apiVersion: sailoperator.io/v1
   kind: ZTunnel
   metadata:
     name: default
   spec:
     version: v1.28.6
     namespace: ztunnel
     values:
       ztunnel:
         resources:
           requests:
             cpu: 200m
             memory: 512Mi
           limits:
             cpu: 2000m
             memory: 1024Mi

3. 应用 ZTunnel CR：

   kubectl apply -f ztunnel.yaml

4. 等待 ZTunnel pod 就绪：

   kubectl wait --for=condition=Ready ztunnel/default --timeout=3m