#安装主集群-远程集群多网络网格

#创建用于定义要安装的 Istio 版本的 ISTIO_VERSION 环境变量

export ISTIO_VERSION=1.30.4

#在 East 集群上安装 IstioCNI

运行以下命令，在 East 集群上安装 IstioCNI 资源：

kubectl --context "${CTX_CLUSTER1}" create namespace istio-cni
cat <<EOF | kubectl --context "${CTX_CLUSTER1}" apply -f -
apiVersion: sailoperator.io/v1
kind: IstioCNI
metadata:
  name: default
spec:
  version: v${ISTIO_VERSION}
  namespace: istio-cni
  values:
    cni:
      cniConfDir: /etc/cni/multus/net.d
      excludeNamespaces:
        - istio-cni
        - kube-system
EOF

#在 East 集群上安装 Istio

1. 运行以下命令，在 East 集群上创建 Istio 资源：

   将以下 Istio 资源保存到 istio-external.yaml：

   istio-external.yaml

   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v${ISTIO_VERSION}
     namespace: istio-system
     values:
       global:
         meshID: mesh1
         multiCluster:
           clusterName: cluster1
         network: network1
         externalIstiod: true
         proxy:
           seccompProfile:
             type: RuntimeDefault
   1. 这使得安装在 East 集群上的控制平面能够作为其他远程集群的外部控制平面。
   2. 将 spec.values.global.proxy.seccompProfile.type 设置为 RuntimeDefault，可以使注入的 sidecar 满足 Restricted Pod Security Admission 配置文件的要求。由于此控制平面还会注入远程 West 集群中的工作负载，因此此设置适用于两个集群。有关更多信息，请参阅 Pod Security Admission。

   使用 kubectl 应用 Istio 资源：

   envsubst < istio-external.yaml | kubectl --context "${CTX_CLUSTER1}" apply -f -

2. 运行以下命令，等待控制平面返回“Ready”状态条件：

   kubectl --context "${CTX_CLUSTER1}" wait --for condition=Ready istio/default --timeout=3m

3. 运行以下命令，在 East 集群上创建东西向网关：

   WARNING

   对于运行 4.11 之前 Linux kernel 版本的节点（例如 CentOS 7），必须在安装网关前完成额外配置。

   kubectl --context "${CTX_CLUSTER1}" apply -f https://raw.githubusercontent.com/alauda-mesh/sail-operator/release-2.2/docs/deployment-models/resources/east-west-gateway-net1.yaml
   可选：将东西向网关部署到 Infra Nodes（点击展开）

   运行以下命令修补网关部署：

   kubectl --context "${CTX_CLUSTER1}" patch deployment istio-eastwestgateway -n istio-system \
     --type='merge' \
     --patch '{
       "spec": {
         "template": {
           "spec": {
             "nodeSelector": {
               "node-role.kubernetes.io/infra": ""
             },
             "tolerations": [
               {
                 "effect": "NoSchedule",
                 "key": "node-role.kubernetes.io/infra",
                 "value": "reserved",
                 "operator": "Equal"
               }
             ]
           }
         }
       }
     }'

4. 运行以下命令，通过网关暴露控制平面，使 West 集群中的服务可以访问该控制平面：

   kubectl --context "${CTX_CLUSTER1}" apply -n istio-system -f https://raw.githubusercontent.com/alauda-mesh/sail-operator/release-2.2/docs/deployment-models/resources/expose-istiod.yaml

5. 运行以下命令，通过网关暴露应用服务：

   kubectl --context "${CTX_CLUSTER1}" apply -n istio-system -f https://raw.githubusercontent.com/alauda-mesh/sail-operator/release-2.2/docs/deployment-models/resources/expose-services.yaml

#在 West 集群上安装 IstioCNI

运行以下命令，在 West 集群上安装 IstioCNI 资源：

kubectl --context "${CTX_CLUSTER2}" create namespace istio-cni
cat <<EOF | kubectl --context "${CTX_CLUSTER2}" apply -f -
apiVersion: sailoperator.io/v1
kind: IstioCNI
metadata:
  name: default
spec:
  version: v${ISTIO_VERSION}
  namespace: istio-cni
  values:
    cni:
      cniConfDir: /etc/cni/multus/net.d
      excludeNamespaces:
        - istio-cni
        - kube-system
EOF

#在 West 集群上安装 Istio

1. 运行以下命令，保存运行在 East 集群中的东西向网关的 IP 地址：

   export DISCOVERY_ADDRESS=$(kubectl --context="${CTX_CLUSTER1}" \
      -n istio-system get svc istio-eastwestgateway \
      -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   echo "DISCOVERY_ADDRESS=${DISCOVERY_ADDRESS}"

2. 运行以下命令，在 West 集群上创建 Istio 资源：

   cat <<EOF | kubectl --context "${CTX_CLUSTER2}" apply -f -
   apiVersion: sailoperator.io/v1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v${ISTIO_VERSION}
     namespace: istio-system
     profile: remote
     values:
       istiodRemote:
         injectionPath: /inject/cluster/cluster2/net/network2
       global:
         remotePilotAddress: ${DISCOVERY_ADDRESS}
   EOF

3. 运行以下命令，为 West 集群中的 istio-system 命名空间添加注释，使其由 East 集群中的控制平面管理：

   kubectl --context="${CTX_CLUSTER2}" annotate namespace istio-system topology.istio.io/controlPlaneClusters=cluster1

4. 运行以下命令，在 East 集群上安装远程 secret，为访问 West 集群上的 API server 提供权限：

   istioctl create-remote-secret \
     --context="${CTX_CLUSTER2}" \
     --name=cluster2 | \
     kubectl --context="${CTX_CLUSTER1}" apply -f -

5. 运行以下命令，等待 Istio 资源返回“Ready”状态条件：

   kubectl --context "${CTX_CLUSTER2}" wait --for condition=Ready istio/default --timeout=3m

6. 运行以下命令，在 West 集群上创建东西向网关：

   WARNING

   对于运行 4.11 之前 Linux kernel 版本的节点（例如 CentOS 7），必须在安装网关前完成额外配置。

   kubectl --context "${CTX_CLUSTER2}" apply -f https://raw.githubusercontent.com/alauda-mesh/sail-operator/release-2.2/docs/deployment-models/resources/east-west-gateway-net2.yaml
   可选：将东西向网关部署到 Infra Nodes（点击展开）

   运行以下命令修补网关部署：

   kubectl --context "${CTX_CLUSTER2}" patch deployment istio-eastwestgateway -n istio-system \
     --type='merge' \
     --patch '{
       "spec": {
         "template": {
           "spec": {
             "nodeSelector": {
               "node-role.kubernetes.io/infra": ""
             },
             "tolerations": [
               {
                 "effect": "NoSchedule",
                 "key": "node-role.kubernetes.io/infra",
                 "value": "reserved",
                 "operator": "Equal"
               }
             ]
           }
         }
       }
     }'
   NOTE

   由于 West 集群使用远程配置文件安装，因此在 East 集群上暴露应用服务会同时在两个集群的东西向网关上暴露这些服务。

#首先，在 East 集群上部署所需的示例应用。

此集群将托管 helloworld 服务的 v1 版本。

1. 在 East 集群上为这些应用创建专用命名空间。

   kubectl --context="${CTX_CLUSTER1}" create namespace sample
   kubectl --context="${CTX_CLUSTER1}" label namespace sample pod-security.kubernetes.io/enforce=restricted --overwrite

2. 应用所需标签，为 sample 命名空间启用 Istio sidecar 自动注入。

   kubectl --context="${CTX_CLUSTER1}" label namespace sample istio-injection=enabled

3. 部署 helloworld 应用组件。

   a. 首先，建立 helloworld 服务端点。

   kubectl --context="${CTX_CLUSTER1}" apply \
     -l service=helloworld -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/helloworld/helloworld.yaml

   b. 然后，部署 helloworld 应用的 v1 实例。

   kubectl --context="${CTX_CLUSTER1}" apply \
     -l version=v1 -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/helloworld/helloworld.yaml

4. 部署 sleep 应用，用作发送测试请求的客户端。

   kubectl --context="${CTX_CLUSTER1}" apply \
     -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/sleep/sleep.yaml

5. 暂停操作，直到 helloworld-v1 部署完全可用且就绪。

   kubectl --context="${CTX_CLUSTER1}" wait --for condition=available -n sample deployment/helloworld-v1

6. 同样，等待 sleep 部署报告 Ready 状态。

   kubectl --context="${CTX_CLUSTER1}" wait --for condition=available -n sample deployment/sleep

#在 West 集群上重复上述设置。

此集群将托管 helloworld 服务的 v2 版本。

1. 在 West 集群上创建 sample 命名空间。

   kubectl --context="${CTX_CLUSTER2}" create namespace sample
   kubectl --context="${CTX_CLUSTER2}" label namespace sample pod-security.kubernetes.io/enforce=restricted --overwrite

2. 同样为此命名空间启用 Istio sidecar 注入。

   kubectl --context="${CTX_CLUSTER2}" label namespace sample istio-injection=enabled

3. 部署 helloworld 应用组件。

   a. 在 West 集群上创建通用的 helloworld 服务端点。

   kubectl --context="${CTX_CLUSTER2}" apply \
     -l service=helloworld -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/helloworld/helloworld.yaml

   b. 部署 helloworld 应用的 v2 实例。

   kubectl --context="${CTX_CLUSTER2}" apply \
     -l version=v2 -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/helloworld/helloworld.yaml

4. 在 West 集群上部署客户端 sleep 应用。

   kubectl --context="${CTX_CLUSTER2}" apply \
     -n sample \
     -f https://raw.githubusercontent.com/alauda-mesh/istio/refs/heads/istio-1.30/samples/sleep/sleep.yaml

5. 等待 helloworld-v2 部署完全可用。

   kubectl --context="${CTX_CLUSTER2}" wait --for condition=available -n sample deployment/helloworld-v2 --timeout=3m

6. 最后，确保 West 集群上的 sleep 部署已就绪。

   kubectl --context="${CTX_CLUSTER2}" wait --for condition=available -n sample deployment/sleep --timeout=3m

#验证集群间的流量

在两个集群上部署并运行应用后，下一步是发送请求，并确认流量是否在整个服务网格中正确进行负载均衡。

1. 从 East 集群中的一个 Pod 向 helloworld 服务发送一系列 10 个请求。

   for i in {0..9}; do \
     kubectl --context="${CTX_CLUSTER1}" exec -n sample deploy/sleep -c sleep -- curl -sS helloworld.sample:5000/hello; \
   done

   预期结果是收到来自 helloworld-v1（East）和 helloworld-v2（West）的混合响应，这表明服务网格正在跨集群边界路由请求。

   示例输出

   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz
   Hello version: v2, instance: helloworld-v2-645cb7fc46-lnbb7
   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz
   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz
   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz
   Hello version: v2, instance: helloworld-v2-645cb7fc46-lnbb7
   Hello version: v2, instance: helloworld-v2-645cb7fc46-lnbb7
   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz
   Hello version: v2, instance: helloworld-v2-645cb7fc46-lnbb7
   Hello version: v1, instance: helloworld-v1-644474db4b-7cwhz

2. 在 West 集群上执行相同的测试。

   for i in {0..9}; do \
     kubectl --context="${CTX_CLUSTER2}" exec -n sample deploy/sleep -c sleep -- curl -sS helloworld.sample:5000/hello; \
   done

   同样，你应该能观察到来自该服务 v1 和 v2 的响应，这确认了无论请求来自哪个集群，primary-remote 负载均衡都能正常工作。