更新 ambient 模式组件

本页介绍如何在 ambient 模式下更新 Istio 控制平面、Istio CNI 插件和 ZTunnel 代理。这三个组件都使用 InPlace 更新策略，并且必须严格按照此顺序更新。控制平面更新后，Waypoint proxy 会自动滚动更新；相关验证步骤请参见 Updating waypoint proxies。

使用特定版本安装 ambient 模式

你可以在 ambient 模式下显式指定版本来安装 Istio 控制平面、Istio CNI 插件和 ZTunnel 代理，这样后续就可以执行更新操作。

NOTE

本节的目的是让你能够从一个已知的起始版本开始完成更新流程。如果集群已经在 ambient 模式下运行 Istio，则可跳过本节。安装步骤与 Installing Istio ambient mode 相同，只是每个资源都将 spec.version 固定为较早的版本。

操作步骤

创建 istio-cni、istio-system 和 ztunnel 命名空间，并分别添加 istio-discovery=enabled 标签，以便控制平面能够发现它们：

kubectl create namespace istio-cni
kubectl create namespace istio-system
kubectl create namespace ztunnel
kubectl label namespace istio-cni istio-system ztunnel istio-discovery=enabled

使用起始版本创建 IstioCNI 资源：

cat <<EOF | kubectl apply -f -
apiVersion: sailoperator.io/v1
kind: IstioCNI
metadata:
  name: default
spec:
  version: v1.28.3
  namespace: istio-cni
  profile: ambient
  values:
    cni:
      cniConfDir: /etc/cni/multus/net.d
      excludeNamespaces:
        - istio-cni
        - kube-system
      ambient:
        reconcileIptablesOnStartup: true
EOF

固定 spec.version 定义了更新操作开始时的版本。
reconcileIptablesOnStartup 选项使 CNI agent 在重新启动时能够检测并修复已运行的 ambient pod 中不兼容的 iptables 规则——这正是升级时会出现的情况。

等待 Istio CNI pod 变为就绪：

kubectl wait --for=condition=Ready istiocnis/default --timeout=3m

使用相同的起始版本创建 Istio 资源：

cat <<EOF | kubectl apply -f -
apiVersion: sailoperator.io/v1
kind: Istio
metadata:
  name: default
spec:
  version: v1.28.3
  namespace: istio-system
  profile: ambient
  updateStrategy:
    type: InPlace
  values:
    pilot:
      trustedZtunnelNamespace: ztunnel
    meshConfig:
      discoverySelectors:
        - matchLabels:
            istio-discovery: enabled
EOF

InPlace 是默认策略，因此此字段是可选的；这里显示它是为了显式说明策略。ambient 模式不支持其他策略。

等待 Istio 控制平面变为就绪：

kubectl wait --for=condition=Ready istios/default --timeout=3m

使用相同的起始版本创建 ZTunnel 资源：
cat <<EOF | kubectl apply -f - apiVersion: sailoperator.io/v1 kind: ZTunnel metadata: name: default spec: version: v1.28.3 namespace: ztunnel EOF
1. 与安装指南不同，此示例设置了 spec.version，以便下面的 ZTunnel 更新步骤有一个较早的版本可供切换。

等待 ZTunnel pod 变为就绪：

kubectl wait --for=condition=Ready ztunnel/default --timeout=3m

在集群中设置应用工作负载。例如，你可以将 Bookinfo 示例应用部署到 bookinfo 命名空间。以下步骤是 Deploying the Bookinfo application in ambient mode 的简化版本。

a. 创建 bookinfo 命名空间，并添加 istio-discovery=enabled 标签，以便控制平面能够发现它：

kubectl create namespace bookinfo
kubectl label namespace bookinfo istio-discovery=enabled

b. 部署 Bookinfo 应用：

kubectl apply -n bookinfo -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.28/samples/bookinfo/platform/kube/bookinfo.yaml

c. 部署 Bookinfo 应用的按版本服务：

kubectl apply -n bookinfo -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.28/samples/bookinfo/platform/kube/bookinfo-versions.yaml

d. 将该命名空间中的所有工作负载纳入 ambient mesh：

kubectl label namespace bookinfo istio.io/dataplane-mode=ambient

更新组件

前提条件

你已使用 cluster-admin 身份登录 Alauda Container Platform Web 控制台。
你已安装 Alauda Container Platform Networking for Multus 插件，并且 kube-ovn 必须为 v4.1.5 或更高版本。
你已将 Alauda Service Mesh Operator 升级到 2.1.2 或更高版本，并且 Operator 中可用新的目标版本。更多信息，请参见 Understanding Operator updates and channels。
Istio 已部署在 ambient 模式下。在此示例中，Istio、IstioCNI 和 ZTunnel 资源都命名为 default。
你已在本地计算机上安装 istioctl。
应用工作负载已纳入 ambient mesh。在此示例中，Bookinfo 应用运行在 bookinfo 命名空间中；请参见 Deploying the Bookinfo application in ambient mode。

更新 Istio 控制平面

更改 Istio 资源中的版本。例如，要更新到 Istio 1.28.6，请运行以下命令将 spec.version 字段设置为 v1.28.6：
kubectl patch istio default --type='merge' -p '{"spec":{"version":"v1.28.6"}}'
Operator 会将正在运行的控制平面替换为新版本。ZTunnel 和任何 waypoint proxy 会自动重新连接到新的 istiod 实例；应用 pod 会继续运行，无需重启。

等待控制平面变为就绪：

kubectl wait --for=condition=Ready istios/default --timeout=3m

确认控制平面报告的是新版本：

kubectl get istio default

示例输出

NAME      NAMESPACE      PROFILE   REVISIONS   READY   IN USE   ACTIVE REVISION   STATUS    VERSION   AGE
default   istio-system   ambient   1           1       0        default           Healthy   v1.28.6   12m

更新 Istio CNI 插件

仅在控制平面更新完成后再更新 Istio CNI 插件，因为 1.x 版本的 CNI 插件支持 1.x 或 1.x+1 版本的控制平面。

将 IstioCNI 资源的 spec.version 字段设置为与控制平面相同的版本：

kubectl patch istiocni default --type='merge' -p '{"spec":{"version":"v1.28.6"}}'

观察 istio-cni-node DaemonSet 的滚动更新：

kubectl rollout status daemonset/istio-cni-node -n istio-cni

等待 IstioCNI 资源报告就绪：

kubectl wait --for=condition=Ready istiocnis/default --timeout=5m

确认 CNI 插件报告的是新版本：

kubectl get istiocni default

示例输出

NAME      NAMESPACE   PROFILE   READY   STATUS    VERSION   AGE
default   istio-cni   ambient   True    Healthy   v1.28.6   15m

有关 IstioCNI 资源及其更新行为的详细信息，请参见 The Istio CNI update process。

更新 ZTunnel 代理

最后更新 ZTunnel 代理，前提是控制平面和 CNI 插件都已运行新版本。

WARNING

替换 ZTunnel pod 可能会重置该节点上的长连接 TCP 连接。如果你的工作负载持有长连接，请在执行此步骤前查看 The ZTunnel update process，并选择合适的缓解措施。

将 ZTunnel 资源的 spec.version 字段设置为与控制平面相同的版本：

kubectl patch ztunnel default --type='merge' -p '{"spec":{"version":"v1.28.6"}}'

观察 ZTunnel DaemonSet 的滚动更新：
kubectl rollout status daemonset/ztunnel -n ztunnel
NOTE
DaemonSet 会逐个节点替换 ZTunnel pod，以保持 mesh 连接可用，因此在较大的集群中，滚动更新可能需要几分钟。

等待 ZTunnel 资源报告就绪：

kubectl wait --for=condition=Ready ztunnel/default --timeout=10m

确认 ZTunnel 代理报告的是新版本：

kubectl get ztunnel default

示例输出

NAME      NAMESPACE   READY   STATUS    VERSION   AGE
default   ztunnel     True    Healthy   v1.28.6   18m

检查按节点划分的 ZTunnel pod：

kubectl get pods -n ztunnel -o wide

示例输出

NAME            READY   STATUS    RESTARTS   AGE     IP           NODE
ztunnel-2b6pb   1/1     Running   0          2m11s   10.3.0.202   192.168.136.57
ztunnel-2s7m7   1/1     Running   0          2m3s    10.3.0.203   192.168.143.119
ztunnel-95g2q   1/1     Running   0          115s    10.3.0.204   192.168.141.97

验证 ambient 工作负载

当所有组件都运行新版本后，请确认这些工作负载仍然参与 mesh。

检查应用 pod 是否正在运行：

kubectl get pods -n bookinfo

示例输出

NAME                              READY   STATUS    RESTARTS   AGE
details-v1-657cf9fcfb-r75r4       1/1     Running   0          25m
productpage-v1-667466dfd9-k6ddq   1/1     Running   0          25m
ratings-v1-5bdc95577b-s7n8w       1/1     Running   0          25m
reviews-v1-8468d47c78-m7fww       1/1     Running   0          25m
reviews-v2-869977f6f8-jklhm       1/1     Running   0          25m
reviews-v3-7bcdd7dd74-zdc87       1/1     Running   0          25m

确认 ZTunnel 仍然在代理这些工作负载。纳入 ambient mesh 的 pod 会报告 HBONE 协议：

istioctl -n ztunnel ztunnel-config workloads

示例输出

NAMESPACE    POD NAME                        ADDRESS    NODE            WAYPOINT PROTOCOL
bookinfo     details-v1-657cf9fcfb-r75r4     10.3.0.192 192.168.141.97  None     HBONE
bookinfo     productpage-v1-667466dfd9-k6ddq 10.3.0.197 192.168.141.97  None     HBONE
bookinfo     ratings-v1-5bdc95577b-s7n8w     10.3.0.193 192.168.143.119 None     HBONE
bookinfo     reviews-v1-8468d47c78-m7fww     10.3.0.194 192.168.143.119 None     HBONE
bookinfo     reviews-v2-869977f6f8-jklhm     10.3.0.195 192.168.143.119 None     HBONE
bookinfo     reviews-v3-7bcdd7dd74-zdc87     10.3.0.196 192.168.141.97  None     HBONE

通过从另一个 pod 调用服务来测试 mesh 内连通性：

kubectl exec "$(kubectl get pod -l app=ratings -n bookinfo \
  -o jsonpath='{.items[0].metadata.name}')" \
  -c ratings -n bookinfo \
  -- curl -sS productpage:9080/productpage | grep -o "<title>.*</title>"

示例输出

<title>Simple Bookstore App</title>

如果你部署了 waypoint proxy，还需要按照 Updating waypoint proxies 中的说明对其进行额外验证。

从开发环境中移除更新资源

在开发环境中完成更新流程验证后，请移除示例应用和 mesh 组件，以释放资源：

# Remove the Bookinfo namespace from the ambient data plane and delete it
kubectl label namespace bookinfo istio.io/dataplane-mode-
kubectl delete namespace bookinfo
# Remove the mesh components and their namespaces
kubectl delete istio/default istiocni/default ztunnel/default
kubectl delete ns/istio-system ns/istio-cni ns/ztunnel

#更新 ambient 模式组件

#目录

#使用特定版本安装 ambient 模式

#操作步骤

#更新组件

#前提条件

#更新 Istio 控制平面

#更新 Istio CNI 插件

#更新 ZTunnel 代理

#验证 ambient 工作负载

#从开发环境中移除更新资源

更新 ambient 模式组件

目录

使用特定版本安装 ambient 模式

操作步骤

更新组件

前提条件

更新 Istio 控制平面

更新 Istio CNI 插件

更新 ZTunnel 代理

验证 ambient 工作负载

从开发环境中移除更新资源