Alauda Service Mesh
  • 简体中文

    • 创建服务网格

    本文档说明如何创建单集群服务网格。在开始之前，请确保您已熟悉以下主题：

    • 网格部署模型：选择适合您需求的网格部署模型。
    • 网格组件说明：了解网格组件的职责，并为服务网格准备必要的 CPU 和内存资源。

    如需了解如何创建多集群服务网格，请参阅多集群服务网格文档。

    目录

    限制和约束前提条件步骤后续步骤网格参数说明全局配置集群维度配置组件配置

    限制和约束

    • 每个集群仅允许部署一个服务网格。
    • 当集群是 global 集群且平台处于灾备环境时（即 global 拥有主集群和灾备集群），global 集群不能部署服务网格。
    • 当集群为 IPv4/IPv6 双栈网络时，不能部署服务网格。

    前提条件

    • 已安装 Alauda Service Mesh Essentials Cluster Plugin。

    • 下载与平台架构相对应的以下安装包，并使用 Upload Packages 机制将软件包上传到 global 集群和目标集群中（请不要手动安装）。

      • Alauda Service Mesh operator
      • Flagger operator
      • Alauda Build of Jaeger operator
      • Alauda Build of OpenTelemetry operator
      WARNING

      使用 violet push 上传 operator 时，不要添加 --target-catalog-source 参数，请使用 operator 内定义的默认 catalog source。

    • 确保集群已部署 Prometheus 插件或 VictoriaMetrics 插件。

      注意：当 VictoriaMetrics 采用多集群部署架构时，vmstorage 可以与服务网格位于不同的集群中。

    • 确保存在可用的 Elasticsearch。服务网格可以对接集群的 Elasticsearch 日志插件或您自己的 Elasticsearch。

    • 当集群为 OpenShift 集群时，还必须满足以下前提条件：

      • 已创建 istio-system 命名空间。
      • 将 istio-system 命名空间添加到 anyuid SCC（Security Context Constraints）组。为此，请登录到 OpenShift 集群的 bastion host 并执行以下命令： 
        oc adm policy add-scc-to-group anyuid system:serviceaccounts:istio-system

    步骤

    1. 在左侧导航栏中，单击 Service Mesh > Mesh。
    2. 单击 创建服务网格。
    3. 选择要部署服务网格的集群和 Istio 版本。在高级配置中，确保网格架构为单集群，并填写 Elasticsearch 和监控系统的接口参数。您可以选择平台已有的系统或外部系统。
      • 如果对高可用性有严格要求，请将 Pod anti-affinity 设置为 mandatory。
      • 组件资源可以使用默认值，但随着网格中服务规模的增长，组件需要相应扩容。请及时为网格组件配置告警策略，以便在需要扩容时收到通知。

    更多信息请参见 网格参数说明

    注意：当集群为 OpenShift 集群时，网格会默认自动检测并部署 istio-cni 组件。

    后续步骤

    • 启用 Istio CNI，以避免每个 Pod 中都需要特权 init container。
    • 启用全局限流。
    • 使用 Istioctl 工具。
    • 监控网格组件。

    网格参数说明

    全局配置

    网格的全局配置将应用于部署了该网格的所有集群。

    参数说明
    与 Elasticsearch 接口Platform：与平台任意集群上的 Elasticsearch 日志插件对接。请选择 Elasticsearch 日志插件所在的集群。
    External：与外部 Elasticsearch 日志插件对接。用户需要配置以下参数：
    访问地址：Elasticsearch 的访问地址，需以 http:// 或 https:// 开头。
    认证方式：访问 Elasticsearch 的认证方式。
    - Basic Auth：输入用户名和密码进行身份验证。
    - No Authentication：访问时无需认证。
    与监控系统接口Platform：与集群中的 Prometheus 插件或 VictoriaMetrics 插件对接。
    External：与外部插件提供的 Prometheus 或 VictoriaMetrics 对接。用户需要配置以下参数：
    数据查询地址：监控组件的数据查询地址，需以 http:// 或 https:// 开头。
    认证方式：访问监控系统的认证方式。
    - Basic Auth：输入用户名和密码进行身份验证。
    - No Authentication：访问时无需认证。
    注意：由于 Prometheus 插件无法汇聚来自多个集群的监控数据，因此该集群下的服务网格不能再新增其他集群以组成多集群服务网格。

    集群维度配置

    集群维度配置仅适用于所选集群。

    参数说明
    Sidecar 配置资源配额：集群级别 sidecar 资源配额的默认值。在为特定服务注入 sidecar 时，可根据实际情况修改，但不能超过 sidecar 所在命名空间容器配额（LimitRange）的最大限制。
    Trace 配置采样率：集群级别 sidecar trace 的默认采样率。
    Redis 配置仅在数据面使用 全局限流 功能时才需要配置。具体配置方法请参见启用全局限流。
    HTTP 重试策略重试次数：集群级别 HTTP 的默认最大重试次数。
    注意：服务路由 超时和重试 策略中的 重试次数 将覆盖此默认值。

    组件配置

    注意：网格组件以 Deployments 的形式部署在集群的特定命名空间中。成功创建网格后，您可以在 Components 选项卡中查看组件运行状态，或单击 组件名称 跳转到容器平台上该组件部署所在的命名空间，并查看运行中组件的 Deployment 详细信息。

    参数说明
    Pod 反亲和性Kubernetes 会将组件 Pod 调度到符合 Pod 反亲和性 设置的节点上。
    Mandatory：同一组件的 Pod 只允许运行在同一节点上一个。
    Preferred：同一组件的多个 Pod 允许运行在同一节点上。Kubernetes 会根据调度算法尽量将该组件的 Pod 均匀调度到可用节点上，但不能保证每个节点都有组件 Pod。
    实例数组件 Pod 期望运行的数量，请根据实际业务请求量设置。
    资源配额创建该组件的每个容器实例时所需的资源（CPU、内存）请求值（requests），同时也是容器可用资源的限制值（limits）。请根据实际业务量和实例数合理设置。
    部署节点组件部署所在的节点。创建网格时，该组件的 Pod 只能调度到所选节点上。
    ELB华为云弹性负载均衡（ELB），用于为 CCE 集群上的 Istio Gateway 提供负载均衡能力。当所选集群为 CCE 集群时，需要填写 ELB ID 和 ELB Type，以关联预先为集群准备好的 ELB。
    总资源在当前配置下创建该组件所有容器实例所需的总资源（CPU、内存）配额。当组件启用自动扩缩容时，将按最大实例数进行计算。