#安装 Istio ambient mode

你可以使用 Alauda Service Mesh Operator 2.1.1 或更高版本，在 Alauda Container Platform 上以 ambient mode 部署 Istio。

#前提条件

• 必须安装 Alauda Container Platform Multi-Network（以前称为 Alauda Container Platform Networking for Multus）插件。
• kube-ovn 必须为 v4.1.5 或更高版本，并且必须使用 overlay 网络。Ambient mode 不适用于 kube-ovn underlay 网络；请参阅 Ambient mode 不适用于 kube-ovn underlay 网络。
• 集群版本与计划部署的 Istio 版本相匹配：Istio 1.30 支持 Kubernetes 1.32 至 1.36，Istio 1.28 支持 Kubernetes 1.30 至 1.34。
• 已安装 Alauda Service Mesh Operator 2.1.1 或更高版本。
• 集群管理员使用 cluster-admin 角色建立了活动的 ACP CLI (kubectl) 会话。
• 已在本地安装 istioctl，以便运行这些说明中的命令。

#操作步骤

#安装 Istio Container Network Interface (CNI)

1. 创建 istio-cni 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace istio-cni
   kubectl label namespace istio-cni istio-discovery=enabled

2. 创建名为 istio-cni.yaml 的 IstioCNI 资源：

   apiVersion: sailoperator.io/v1
   kind: IstioCNI
   metadata:
     name: default
   spec:
     version: v1.30.4
     namespace: istio-cni
     profile: ambient
     values:
       cni:
         cniConfDir: /etc/cni/multus/net.d
         excludeNamespaces:
           - istio-cni
           - kube-system
   1. 必须将 profile 字段设置为 ambient。
   NOTE

   • 请勿将承载 ambient 工作负载的命名空间添加到 values.cni.excludeNamespaces。从 Istio 1.30 开始，Istio CNI 智能体会遵循此列表，并将被排除命名空间中的已加入工作负载从网格中移除。
   • 默认情况下，ambient 工作负载会启用 DNS 捕获。Istio CNI 会在启动时协调已加入工作负载的 Pod 内重定向规则，因此无需重启这些工作负载。

3. 应用 IstioCNI CR：

   kubectl apply -f istio-cni.yaml

4. 等待 IstioCNI Pod 就绪：

   kubectl wait --for=condition=Ready istiocnis/default --timeout=3m

#安装 Istio 控制平面

1. 创建 istio-system 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace istio-system
   kubectl label namespace istio-system istio-discovery=enabled

2. 创建名为 istio.yaml 的 Istio 资源：

   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v1.30.4
     namespace: istio-system
     profile: ambient
     values:
       pilot:
         trustedZtunnelNamespace: ztunnel
       meshConfig:
         discoverySelectors:
           - matchLabels:
               istio-discovery: enabled
   1. 必须将 profile 字段设置为 ambient。
   2. 必须将 .spec.values.pilot.trustedZtunnelNamespace 配置为与 ZTunnel 资源将要安装到的命名空间一致。
   3. discoverySelectors 配置可确保控制平面仅监视带有 istio-discovery=enabled 标签的命名空间，从而降低配置开销，并支持多个 service mesh 在同一集群上共存。详情请参阅 Ambient mode 中的发现选择器。

3. 应用 Istio 自定义资源 (CR)：

   kubectl apply -f istio.yaml

4. 等待 Istio 控制平面就绪：

   kubectl wait --for=condition=Ready istios/default --timeout=3m

#安装 ZTunnel 代理

1. 创建 ztunnel 命名空间，并添加标签 istio-discovery=enabled：

   kubectl create namespace ztunnel
   kubectl label namespace ztunnel istio-discovery=enabled
   NOTE

   ZTunnel 资源的命名空间名称必须与 Istio 配置中的 trustedZtunnelNamespace 参数一致。

2. 创建名为 ztunnel.yaml 的 ZTunnel 资源：

   apiVersion: sailoperator.io/v1
   kind: ZTunnel
   metadata:
     name: default
   spec:
     version: v1.30.4
     namespace: ztunnel
     values:
       ztunnel:
         resources:
           requests:
             cpu: 200m
             memory: 512Mi
           limits:
             cpu: 2000m
             memory: 1024Mi

3. 应用 ZTunnel CR：

   kubectl apply -f ztunnel.yaml

4. 等待 ZTunnel Pod 就绪：

   kubectl wait --for=condition=Ready ztunnel/default --timeout=3m