安装 Istio CNI 节点智能体#

Istio CNI 节点智能体用于为 mesh 中的 Pod 配置流量重定向。 它以 DaemonSet 形式运行，在每个节点上都拥有更高权限。 Istio CNI 节点智能体可用于两种 Istio 数据平面模式。

对于 sidecar 数据平面模式，Istio CNI 节点智能体是可选的。 它取消了在 mesh 中每个 Pod 里运行特权 init 容器的要求， 改为在每个 Kubernetes 节点上运行一个具有特权的节点智能体 Pod。

在 ambient 数据平面模式下，Istio CNI 节点智能体是必需的。

本文重点介绍将 Istio CNI 节点智能体作为 sidecar 数据平面模式的可选组件来使用。

#前提条件

#必须使用 Istio CNI 的环境

• Huawei Cloud CCE
• 安全限制较高的环境。（例如，禁止在业务工作负载中使用 NET_ADMIN 和 NET_RAW 权限的环境）

#可以使用 Istio CNI 的环境

• 任何已启用 CNI 支持的 Kubernetes 集群

#不能使用 Istio CNI 的环境

• 已禁用 Kubernetes CNI 支持的集群（仅限 KIND 等开发环境）

#安装 Istio CNI 节点智能体

首先，按常规方式安装 service mesh。安装完成后，暂时不要添加任何服务（即不要注入 Sidecar）。然后按照以下步骤安装并配置 Istio CNI。

#使用 ServiceMesh Istio CNI 组件安装

在大多数环境中，可以使用以下命令安装启用 istioCni 组件的基础 Istio 集群：

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        namespace: kube-system

#其他配置

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        namespace: kube-system
        # 高级配置
        values:
          logLevel: info
          cniBinDir: ""
          cniConfDir: /etc/cni/net.d
          cniConfFileName: ""
          cniNetnsDir:
          excludeNamespaces:
            - istio-system
            - kube-system
          chained: true
          provider: default

#验证

# 如果 Istio CNI 智能体安装在其他命名空间中，请调整 -nkube-system 部分：
kubectl -nkube-system get po -lk8s-app=istio-cni-node

#处理 init 容器注入

默认情况下，Istio 会使用 webhook 注入 istio-init 容器，以实现透明流量拦截。 要使用 Istio CNI 替代 istio-init 容器，需要按如下方式调整 ServiceMesh 资源：

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  istioConfig:
    cni:
      enabled: true
      provider: default

#使用与验证

安装并配置完成后，使用常规的 service 注入流程即可，无需进行其他更改。

在 Istio CNI 组件安装并正确配置后，Pod 将发生以下变化：

• 不再包含 istio-init 容器（透明流量拦截将由 Istio CNI 节点智能体处理）。
• 取而代之的是，Istio 会注入一个名为 istio-validation 的容器，用于检查透明流量拦截所需的 iptables 规则是否已成功设置。

#竞态条件与缓解

Istio CNI DaemonSet 会在每个节点上安装 CNI 网络插件。然而，在 DaemonSet Pod 调度到节点上与 CNI 插件完成安装并可用之间，存在一个时间间隔。 应用 Pod 可能会在这段时间间隔内启动，而 kubelet 尚不知道 Istio CNI 插件。 其结果是，应用 Pod 启动时没有 Istio 流量重定向，从而绕过 Istio sidecar。

为了缓解应用 Pod 与 Istio CNI DaemonSet 之间的竞态，在 sidecar 注入时会添加一个 istio-validation init 容器， 它会检测流量重定向是否已正确配置，如果未正确配置，则会阻止 Pod 启动。 CNI DaemonSet 会检测并处理任何处于此状态的 Pod；Pod 的处理方式取决于下面描述的配置。 此缓解机制默认启用，可通过将 cni.values.repair.enabled 设置为 false 将其关闭。

apiVersion: asm.alauda.io/v1alpha1
kind: ServiceMesh
spec:
  componentConfig:
    - name: istioCni
      group: istio
      cni:
        values:
          repair:
            enabled: true
            repairPods: true
            deletePods: false
            labelPods: false

#另请参阅

Istio CNI 插件故障排查