Alauda Service Mesh
  • 简体中文

    • 创建 Service Mesh

    本文档说明如何创建单集群 service mesh。在开始之前，请确保您已熟悉以下主题：

    • Mesh 部署模型：选择适合您需求的 mesh 部署模型。
    • Mesh 组件说明：了解 mesh 组件的职责，并为 service mesh 准备必要的 CPU 和内存资源。

    如需了解创建多集群 service mesh 的步骤，请参阅 Multi-Cluster Service Mesh 文档。

    目录

    约束和限制前提条件步骤后续步骤Mesh 参数说明全局配置集群维度配置组件配置

    约束和限制

    • 每个集群仅允许存在一个 service mesh。
    • 当集群为 global 集群且平台处于灾备环境（即 global 集群存在主集群和灾备集群）时，global 集群不能部署 service mesh。
    • 当集群为 IPv4/IPv6 双栈网络时，无法部署 service mesh。

    前提条件

    • 已安装 Alauda Service Mesh Essentials Cluster Plugin。

    • 下载与平台架构对应的以下安装包，并使用上架软件包机制将软件包上传到 global 集群和目标集群（请勿手动安装）。

      • Alauda Service Mesh Operator
      • Flagger Operator
      • Alauda Build of Jaeger Operator
      • Alauda Build of OpenTelemetry Operator

    • 确保集群已部署 Prometheus 插件或 VictoriaMetrics 插件。

      注意：当 VictoriaMetrics 采用多集群部署架构时，vmstorage 可以位于与 service mesh 不同的集群中。

    • 确保存在可用的 Elasticsearch。service mesh 可以对接集群的 Elasticsearch 日志插件，也可以对接您自己的 Elasticsearch。

    • 当集群为 OpenShift 集群时，还必须满足以下前提条件：

      • 已创建 istio-system 命名空间。
      • 将 istio-system 命名空间添加到 anyuid SCC（Security Context Constraints）组中。为此，请登录 OpenShift 集群的堡垒机并执行以下命令： 
        oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

    步骤

    1. 在左侧导航栏中，点击 Service Mesh > Mesh。
    2. 点击 Create Service Mesh。
    3. 选择要部署 service mesh 的集群和 Istio 版本。在高级配置中，确保 mesh 架构为单集群，并填写 Elasticsearch 和监控系统的接口参数。您可以选择平台现有系统或外部系统。
      • 如果严格要求高可用，请将 Pod anti-affinity 设置为 mandatory。
      • 组件资源可以使用默认值，但随着 mesh 中服务规模的增长，组件也需要扩容。请及时为 mesh 组件配置告警策略，以便在需要扩容时及时获知。

    更多信息请参见 Mesh 参数说明

    注意：当集群为 OpenShift 集群时，mesh 将默认自动检测并部署 istio-cni 组件。

    后续步骤

    • 启用 Istio CNI，以消除每个 Pod 中对特权 init 容器的需求。
    • 启用 Global Rate Limiting。
    • 使用 Istioctl 工具。
    • 监控 Mesh 组件。

    Mesh 参数说明

    全局配置

    mesh 的全局配置将应用于部署该 mesh 的所有集群。

    参数说明
    Interface with ElasticsearchPlatform：对接平台任意集群上的 Elasticsearch 日志插件。请选择 Elasticsearch 日志插件所在的集群。
    External：对接外部 Elasticsearch 日志插件。用户需要配置以下参数：
    Access Address：Elasticsearch 的访问地址，须以 http:// 或 https:// 开头。
    Authentication Method：访问 Elasticsearch 的认证方式。
    - Basic Auth：输入用户名和密码进行用户身份验证。
    - No Authentication：访问时无需认证。
    Interface with Monitoring SystemPlatform：对接集群中的 Prometheus 插件或 VictoriaMetrics 插件。
    External：对接外部插件提供的 Prometheus 或 VictoriaMetrics。用户需要配置以下参数：
    Data Query Address：监控组件的数据查询地址，须以 http:// 或 https:// 开头。
    Authentication Method：访问监控系统的认证方式。
    - Basic Auth：输入用户名和密码进行用户身份验证。
    - No Authentication：访问时无需认证。
    注意：由于 Prometheus 插件无法汇聚多个集群的监控数据，因此该集群下的 service mesh 无法再添加更多集群来组成多集群 service mesh。

    集群维度配置

    集群维度配置仅适用于所选集群。

    参数说明
    Sidecar ConfigurationResource Quota：集群级别 sidecar 资源配额的默认值。在为特定服务注入 sidecar 时，可根据实际情况修改，但不能超过 sidecar 所在命名空间容器配额（LimitRange）的最大限制。
    Trace ConfigurationSampling Rate：集群级别 sidecar trace 的默认采样率。
    Redis Configuration仅在数据平面使用 Global Rate Limiting 功能时才需要配置。具体配置方法请参见启用 Global Rate Limiting。
    HTTP Retry PolicyRetry Count：集群级别 HTTP 的默认最大重试次数。
    注意：服务路由 Timeout and Retry 策略中的 Retry Count 会覆盖此默认值。

    组件配置

    注意：mesh 组件以 Deployment 的形式部署在集群的特定命名空间中。mesh 成功创建后，您可以在 Components 选项卡中查看组件运行状态，或点击 Component Name 跳转到容器平台上该组件部署所在的命名空间，查看运行中组件 Deployment 的详细信息。

    参数说明
    Pod Anti-AffinityKubernetes 会将组件 Pods 调度到满足 Pod Anti-Affinity 设置的节点上。
    Mandatory：同一组件的 Pod 在同一节点上仅允许运行一个。
    Preferred：同一组件的多个 Pod 允许运行在同一节点上。Kubernetes 会根据调度算法尽量将该组件的 Pods 均匀调度到可用节点上，但不能保证每个节点上都有组件 Pod。
    Instance Count期望运行的组件 Pod 数量，请根据实际业务请求量设置。
    Resource Quota创建该组件的每个容器实例时所需的资源（CPU、内存）请求值（requests），同时也是容器可用资源的限制值（limits）。请根据实际业务量和实例数量合理设置。
    Deployment Node组件部署所在的节点。创建 mesh 时，该组件的 Pods 只能调度到所选节点上。
    ELB用于为 CCE 集群上的 Istio Gateway 提供负载均衡能力的 Huawei Cloud Elastic Load Balancer（ELB）。当所选集群为 CCE 集群时，需要填写 ELB ID 和 ELB Type，以关联为该集群预先准备的 ELB。
    Total Resources在当前配置下，创建该组件所有容器实例所需的资源（CPU、内存）总配额。当组件启用自动伸缩时，将按最大实例数进行计算。