安装 Istio CNI 节点智能体#

Istio CNI 节点智能体用于为网格中的 pod 配置流量重定向。 它以 DaemonSet 形式运行在每个节点上，并拥有提升后的权限。 Istio CNI 节点智能体可用于两种 Istio 数据平面模式。

对于 sidecar 数据平面模式，Istio CNI 节点智能体是可选的。 它取消了在网格中每个 pod 内运行具有特权的 init container 的要求， 改为在每个 Kubernetes 节点上运行一个具有特权的单一节点智能体 pod。

在 ambient 数据平面模式中，Istio CNI 节点智能体是必需的。

本文重点介绍如何将 Istio CNI 节点智能体作为 sidecar 数据平面模式中的可选部分来使用。

#前提条件

#必须使用 Istio CNI 的环境

• 华为云 CCE
• 安全约束较高的环境。（例如，禁止在业务工作负载中使用 NET_ADMIN 和 NET_RAW 权限的环境）

#可以使用 Istio CNI 的环境

• 任何启用了 CNI 支持的 Kubernetes 集群

#不能使用 Istio CNI 的环境

• 已禁用 Kubernetes CNI 支持的集群（仅限 KIND 等开发环境）

#安装 Istio CNI 节点智能体

首先，照常安装 service mesh。安装完成后，暂时不要添加任何服务（即，不要注入 Sidecar）。然后按照以下步骤安装和配置 Istio CNI。

#使用 ServiceMesh Istio CNI 组件安装

在大多数环境中，可以使用以下命令安装一个启用了 istioCni 组件的基础 Istio 集群：

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        namespace: kube-system

#其他配置

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        namespace: kube-system
        # 高级配置
        values:
          logLevel: info
          cniBinDir: ""
          cniConfDir: /etc/cni/net.d
          cniConfFileName: ""
          cniNetnsDir:
          excludeNamespaces:
            - istio-system
            - kube-system
          chained: true
          provider: default

#验证

# 如果 Istio CNI 智能体安装在其他命名空间，请调整 -nkube-system 部分：
kubectl -nkube-system get po -lk8s-app=istio-cni-node

#处理 init container 注入

默认情况下，Istio 使用 webhook 注入 istio-init container，以实现透明流量拦截。 要使用 Istio CNI 替代 istio-init container，需要按如下方式调整 ServiceMesh 资源：

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  istioConfig:
    cni:
      enabled: true
      provider: default

#使用与验证

安装并配置完成后，像平常一样使用 service 注入流程，无需进行任何额外更改。

在安装并正确配置 Istio CNI 组件后，pod 将发生以下变化：

• istio-init container 将不再存在（透明流量拦截将由 Istio CNI 节点智能体处理）。
• 取而代之的是，Istio 会注入一个名为 istio-validation 的 container，用于检查透明流量拦截的 iptables 规则是否已成功设置。

#竞争条件与缓解

Istio CNI DaemonSet 会在每个节点上安装 CNI 网络插件。然而，从 DaemonSet pod 被调度到节点上，到 CNI 插件完成安装并可供使用之间，存在一个时间间隙。 在这段时间内，应用 pod 有可能启动，而 kubelet 并不知道 Istio CNI 插件。 结果就是应用 pod 启动时没有 Istio 流量重定向，并绕过了 Istio sidecar。

为了缓解应用 pod 与 Istio CNI DaemonSet 之间的竞争条件，istio-validation init container 会作为 sidecar 注入的一部分被添加进来；它会检测流量重定向是否已正确建立，并在未正确建立时阻止 pod 启动。 CNI DaemonSet 会检测并处理任何处于这种状态的 pod；pod 的处理方式取决于下面描述的配置。 此缓解机制默认启用，可通过将 cni.values.repair.enabled 设置为 false 来关闭。

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        values:
          repair:
            enabled: true
            repairPods: true
            deletePods: false
            labelPods: false

#另请参阅

Istio CNI 插件故障排查