阿里巴巴硅谷 Istio 专家解读Istio 1.0 发布

最新推荐文章于 2023-04-14 23:45:00 发布
最新推荐文章于 2023-04-14 23:45:00 发布
阅读量522 收藏 1
点赞数 1
分类专栏： 转载

阿里巴巴中间件 

来源：https://blog.csdn.net/j3t9z7h/article/details/81380506

640?wx_fmt=png

Istio 1.0 于北京时间8月1日0点正式发布！虽然比原本官网公布的发布时间晚了9个小时，但这并未影响到Istio在社区的热度。

 

Istio 是 Service Mesh概念的具体实现。2018年被称为 Service Mesh 原年，誉为新一代的微服务架构，有了Service Mesh，像Docker和Kubernetes标准化部署操作一样来标准化我们的应用程序运行时的操作便成为可能。Istio是其中最成熟和被广泛接受的开源项目。它是连接、管理和保护微服务的开放平台。今天发布的1.0 版本是一个重要的里程碑。这意味着Istio的所有核心功能都已经可以落地部署，不再只是演示版了。

 

本文来自阿里巴巴中间件事业部硅谷团队 Istio 技术专家 Andy在 Istio上的实践和对1.0版本的解读，Andy长期关注Service Mesh，在Cloud Foundry，Kubernetes，Envoy上有着丰富的实践和开发经验。

 

从功能上说，1.0版本是对0.8版本的补充和加强。从0.8之前版本到1.0版本，改变的部分从网络，策略和遥测，适配器，到安全等几大模块，都有补充和增强。

 

一、Istio 新功能简介

 

1.0 版本中的新功能大致如下：

 

➤ 网络

  • 使用 Virtual Service 进行 SNI 路由

  • 流式 gRPC 恢复

  • 旧版本（v1alpha1）的网络 API 被移除

  • Istio Ingress 被gateway替代

 

➤  策略和遥测

  • 属性更新

  • 缓存策略检查

  • 遥测缓冲

  • 进程外适配器

  • 客户端遥测

 

➤ Mixer 适配器

  • SignalFX

  • Stackdriver

 

➤ 安全

  • RPC 级授权策略

  • 改进的双向 TLS 认证控制

  • JWT 认证

 

二、几个重要的改变

 

在众多的改变中，下面几点和之前版本相比，有较大的增强和改动，在这里我们展开介绍下：

 

➤  IstioGateway 替代 IstioIngress

在 istio 1.0 之前，Istio Ingress 直接使用 Kubernetes Ingress，因此受到 Kubernetes 的 Ingress 本身只有 L7 的网络控制功能的限制，很多功能无法实现。这些功能包括：

  • L4-L6的LB

  • 对外的mTLS

  • 对SNI（服务器名称指示）的支持

  • 以及其它在Pilot已经实现的对内部网络的功能，比如Traffic splitting,fault injection, mirroring, header match等。

 

为了解决这些问题，Istio 在 1.0 版本提出了 Istio Gateway 的概念，从而摆脱了对 Kubernetes Ingress 的依赖，可以实现更多的功能，例如： L4-L6的LB，对外的mTLS，对SNI（服务器名称指示）的支持等。

 

如果我们希望给一个 Kubernetes 的 guestbook ui Service 做一个 Istio Ingress 的话，在 0.8 版本以前我们需要如下定义一个 Istio Ingress Resourse：

 

 

apiVersion: extensions/v1beta1

 

kind: Ingress

 

metadata:

 

  annotations:

 

    kubernetes.io/ingress.class: istio

 

  name: simple-ingress

 

spec:

 

  rules:

 

    - http:

 

        paths:

 

          - path: /.*

 

            backend:

 

              serviceName: guestbook-ui

 

              servicePort:80

 

这里面是我们对 L7 的策略配置。但是可以看到，基于这种 Ingress 并不能支持 mTLS 等高级功能。现在在 Istio 1.0 版本，我们可以使用新的 Istio Gateway 来完成类似的配置。这种配置会分两部分：

  • L4-L6 的配置在 Gateway 这种资源中；

  • L7 的配置在绑定的 Virtual Services 配置资源中。

 

对于上面同样的例子，Istio Gateway 资源的定义是这样的：

 

apiVersion: networking.istio.io/v1alpha3

 

kind: Gateway

 

metadata:

 

  name: simple-gateway

 

spec:

 

  servers:

 

  - port:

 

      number:80

 

      name: http

 

      protocol: HTTP

 

  - port:

 

      number:443

 

      name: https

 

      protocol: HTTPS

 

    hosts:

 

    - sample.default.example.com

 

    tls:

 

      mode: SIMPLE

 

      serverCertificate: /tmp/tls.crt

 

      privateKey: /tmp/tls.key

 

通过 Gateway 这种资源，我们提供了对mTLS的支持。为了完成对 HTTP path 的匹配和对 Virtual Host 的支持，我们需要定一个新的 VirtualService 资源并且将它和 Gateway 资源绑定。Virtual Services 很像以前的 Virtual Host，它可以允许同一个IP对应不同的域名，所以即使同样的路径也不会产生重复。

 

它的配置和与 Gateway 的绑定如下：

 

 

apiVersion: networking.istio.io/v1alpha3

 

kind: VirtualService

 

metadata:

 

  name: sample

 

spec:

 

  hosts:

 

    - guestbook-ui.default.example.com

 

  gateways:

 

  - simple-gateway 

 

  http:

 

  - match:

 

    - uri:

 

       prefix: /get

 

    route:

 

...

 

➤  Mixer 进程外适配器

 

适配器是让第三方用户来扩展Mixer功能的，比如和自己的 Logging 系统集成。以前的适配器，是与 Mixer 主进程在一起的。这样有些问题，比如如果适配器有用户的认证信息，那么上传的时候所有人都知道了。另外，如何对这些适配器做健康检查（health check）呢? 它们在同一个进程里。

 

新的版本，适配器在 Mixer 主进程之外，用户不但可以决定是否要把适配器上传，而且运行时也可以进行外部健康检查了。

 

不过由于适配器 和 Mixer 主进程不在同一个进程，需要进行进程间通讯，因此适配器要和主进程通讯会依赖 RPC。这里 Mixer 选用了比较流行的标准 RPC 框架 gRPC作为实现。

 

有了这个功能，在 Istio 的 Mixer 中开发外适配器功能只需要如下三个步骤：

  • 编译适配器源代码

  • 生成适配器模版

  • 部署适配器镜像

     

如果有兴趣更深入的了解适配器的开发和使用，请参考这两个教程

 

第一部分：

https://github.com/istio/istio/wiki/Out-Of-Process-gRPC-Adapter-Dev-Guide

第二部分：

https://github.com/istio/istio/wiki/gRPC-Adapter-Walkthrough

 

➤  支持可以使用身份验证策略配置的 JWT 身份验证

JWT（JSON Web Token）是一种基于token的鉴权机制。JWT很流行的原因主要是它的简单易用，特别是采用JSON格式，是大部分编程语言支持的。所以尽管出现的时间不长，但却是很多编程人员的鉴权首选。因此 Istio 对 JWT 进行了支持。

 

例如我们创建一个 JWT token payload来庆祝 Istio 1.0 GA ：

 

{

 

 "iss":"istio",

 

 "sub":"1.0 GA",

 

 "iat":1533073556

 

}

 

用户调用时，需要把 JTW token 来编码后，以 Bearer 形式进行传递：

 

 

GET http://35.45.16.16/api/v1/packages?packageNumber=MPDS-372766142-5899

 

Host: sample.default.example.com

 

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJpc3RpbyIsInN1YiI6IjEuMCBHQSIsImlhdCI6MTUzMzA3MzU1Nn0.SkgIHM5ecYsn_hWGewyPFgBAQw79g4hAMEtpXzidKaM

 

 

Istio 就用这个Bearer来作最终用户认证。是不是很简单呢？Istio 之前就支持基于 JWT 的Authentication。新的版本开始支持 Authorization。对用户来说，只是在同一个Authentication policy 的资源上扩展一部分而已。

 

Istio的 Authorization 是基于角色的访问控制，它提供命名空间级别, 服务级别和 method-level 的访问控制。

 

要实现Authorization，只需要如下几步：

  • 首先要开启允许授权；

  • 开启了特定级别（如：命名空间）的授权；

  • 创建这个级别的访问控制策略。

 

更详尽的内容，可以参考 Istio 安全文档：

https://istio.io/zh/docs/concepts/security/

 

三、阿里巴巴对 Istio 生态的支持

 

以上是关于Istio 1.0的简单介绍。如果大家感兴趣的话，可以通过以下的教程进行实践

 

https://github.com/szihai/istio-workshop

 

阿里巴巴中间件技术团队会持续关注和参与Service Mesh的开发和推广活动。并提供一系列关于Service Mesh和 Istio 的解读、实践和教程，详细介绍 Istio新版本中的概念、功能以及未来最新的动态。我们也正计划在Dubbo 2.7的版本中加入对Istio的集成，充分利用Service Mesh的理念，进一步简化微服务的管理。

 

TO迷失
关注
专栏目录
阿里巴巴飞天大数据架构体系与Hadoop生态系统
juan777的博客
02-01 701
很多人问阿里的飞天大数据平台、云梯2、MaxCompute、实时计算到底是什么，和自建Hadoop平台有什么区别。 先说Hadoop 什么是Hadoop？ Hadoop是一个开源、高可靠、可扩展的分布式大数据计算框架系统，主要用来解决海量数据的存储、分析、分布式资源调度等。Hadoop最大的优点就是能够提供并行计算，充分利用集群的威力进行高速运算和存储。 Hadoop的核心有两大板块：HD...
阿里巴巴中间件硅谷 Istio 专家解读Istio 1.0 发布
weixin_34037977的博客
08-01 145
Istio 1.0 于北京时间8月1日0点正式发布！虽然比原本官网公布的发布时间晚了9个小时，但这并未影响到Istio在社区的热度。 Istio 是 Service Mesh概念的具体实现。2018年被称为 Service Mesh 元年，誉为新一代的微服务架构，有了Service Mesh，像Docker和Kubernetes标准化部署操作一样来标...
Istio 1.0 部署
因上努力，果上随缘。但行好事，莫问前程。
06-07 240
2. 使用 Helm 部署 Istio 服务 克隆 Istio 仓库： 安装包内的 Helm 目录中包含了 Istio 的 Chart，官方提供了两种方法：很明显，两种方法并没有什么本质区别，这里我们采用第一种方法来部署。 这里说的是使用 目录中的 Chart 进行渲染，生成的内容保存到 文件之中。将 设置为 true，从而使自动注入属性生效。部署完成后，可以检查 namespace 中的服务是否正常运行： 3. Prometheus、Grafana、Servicegraph 和
K8S运维笔记-istio安装与配置(1.0.0版本)
恶性佛
09-11 3201
K8S上安装istio1.0.0 安装(node节点执行) 下载 下载地址 https://github.com/istio/istio/releases/ 解压缩 tar zxvf istio-1.0.0-linux.tar.gz 安装目录一览 bin istioctl客户端工具 install 针对不同环境的安装文档，这里使用的是kubernetes s...
istiov1.0安装使用教程
github_35614077的博客
08-01 2012
广告 | kubernetes各版本离线安装包 祝贺istio1.0发布, 在此献上教程一份 安装 安装k8s 强势插播广告 三步安装，不多说 安装helm, 推荐生产环境用helm安装，可以调参 release地址 如我使用的2.9.1版本 yum install -y socat # 这个不装会报错 [root@istiohost ~]#...
Istio 1.0.0 安装教程
DolphinTwo的博客
08-03 1619
安装Kubernetes 单机学习环境可参考本人的另一篇： 使用kubeadm安装k8s all-in-one单机测试环境 安装helm [root@tp4dd src]# wget https://storage.googleapis.com/kubernetes-helm/helm-v2.9.1-linux-amd64.tar.gz [root@tp4dd src]# tar zxvf...
海通国际：硅谷银行事件解读.pdf
最新发布
07-19
海通国际：硅谷银行事件解读
硅谷数模发布DisplayPort1.1系列接口芯片ANX9805／9813
11-25
硅谷数模半导体对外发布，其最新研发成果DisplayPort1.1系列接口芯片--包括发送端芯片ANX9805及接收端芯片ANX9813现已全面就绪，可为个人计算机显卡、显示器、液晶面板等厂商提供基于DisplayPort 1.1版本设计的样片...
硅谷专家认为半导体业将焕发新春.pdf
08-29
标题和描述中提到的"硅谷专家认为半导体业将焕发新春"这一观点，表明了半导体行业在面临某些挑战的同时，也存在巨大的发展潜力。半导体是信息技术产业的核心，它在过去的几十年里对人类文明和科技进步产生了深远影响...
硅谷专家认为半导体业将焕发新春 (1).pdf
08-29
然而，根据硅谷专家的观点，这一产业即将焕发新春，迎来新的发展阶段。半导体技术的革新，尤其是移动通信和云计算的崛起，正在为行业注入新的活力。 首先，移动通信和云计算的勃兴为半导体业带来了巨大机遇。随着大...
Istio的JWT认证授权
Micky_Yang的博客
08-15 1381
一、理解JWT 　　JWT（Json Web Token）是一种多方传递可信JSON数据的方案，一个JWT token由.分隔的三部分组成：{Header}.{Payload}.{Signature}，其中Header是Base64编码的JSON数据，包含令牌类型typ、签名算法alg以及密钥ID kid等信息；Payload是需要传递的claims数据，也是Base64编码的JSON数据，其中有些字段是JWT标准已经有了的字段，如：exp、iat、iss、sub和aud等等，也可以根据需求添加自定义字段；
istio学习(二) 使用JWT进行权限验证
文若书生的专栏
01-26 2206
文章目录前言1、生成JWK2、测试密钥可用性3、创建RequestAuthentication4、访问测试5、创建AuthorizationPolicy6、JAVA生成密钥 前言 参考：https://www.cnblogs.com/kirito-c/p/12464531.html 提示：以下是本篇文章正文内容，下面案例可供参考 1、生成JWK 在linux使用OPENSSL生成公钥和私钥 # 1. 生成 2048 位（不是 256 位）的 RSA 密钥 openssl genrsa -out rsa
微服务治理框架（Istio）的认证服务与访问控制
武天旭的博客
04-14 869
在微服务架构下，每个服务是无状态的，由于服务端需要存储客户端的登录状态，因此传统的session认证方式在微服务中不再适用。理想的实现方式应为无状态登录，流程通常如下：1、客户端请求某服务，服务端对用户进行登录认证。2、认证通过，服务端将用户登录信息进行加密并形成令牌，最后再返回至客户端作为登录凭证。3、在步骤2之后，客户端每次请求都须携带认证的令牌。4、服务端对令牌进行解密，判断是否有效，若有效则认证通过，否则返回失败信息。
基于 Istio 的全链路灰度方案探索和实践
阿里巴巴云原生的博客
11-07 274
作者｜曾宇星（宇曾） 审核&校对：曾宇星（宇曾） 编辑&排版：雯燕 背景 微服务软件架构下，业务新功能上线前搭建完整的一套测试系统进行验证是相当费人费时的事，随着所拆分出微服务数量的不断增大其难度也愈大。这一整套测试系统所需付出的机器成本往往也不低，为了保证应用新版本上线前的功能正确性验证效率，这套系统还必须一直单独维护好。当业务变得庞大且复杂时，往往还得准备多套，这是整个行业共同面临且难解的成本和效率挑战。如果能在同一套生产系统中完成新版本上线前的功能验证的话，所节约的人力和财力是相当可观
keycloak+istio实现基于jwt的服务认证授权
yevvzi的博客
09-10 3011
envoy rbac介绍 基于角色的访问控制(RBAC)为服务提供服务级别和方法级别的访问控制。RBAC政策是附加的。依次检查策略。根据操作以及是否找到匹配的策略，允许或拒绝请求。 策略配置主要包括两个部分。 permissions 由AuthorizationPolicy中to转换过来 定义角色的权限集。 每个权限都与OR语义匹配。 为了匹配此策略的所有操作，应使用any字段设置为true的单个Permission。 principals 由AuthorizationPolicy中to和when
Istio 安全
Doub1's Blog
11-26 388
Istio 安全引言认证策略DestinationRule 中的 TLSSettings 引言 本篇文章简单讲讲Istio的安全策略，之前的文章可以在同专栏下找到。 认证策略 认证策略是对上游服务器生效的（接收请求的服务）。 策略的作用域我们可以明确规定. 网格范围内 apiVersion: authentication.istio.io/v1alpha1 kind: MeshPolicy metadata: name: default spec: peers: - mtls:
Istio中的安全策略
JosephThatwho的博客
03-15 742
微服务带来灵活性、可伸缩性和复用性的同时，还需要考虑一下安全问题： 使用流量加密组织中间人攻击 提供灵活的访问控制，比如双向TLS加密和细粒度的访问策略 检索谁在什么时间做了什么操作，这需要审计工具 Istio可以处理内外部的威胁，给数据、端点、通信和平台提供安全性。 Istio提供了强身份认证、权限策略、传输TLS加密以及认证、授权和审计（AAA）工具。 上层架构 Istio的安全性涉及多个部分： 用于密钥和证书管理的证书颁发机构（CA） 配置API服务器分发给代理 认证策略 鉴权策略 安全命名
Istio安全架构--理解身份/认证/授权
网络安全研究
04-08 2527
Istio 安全的目标是： - 默认安全：应用程序代码和基础设施无需更改 - 深度防御：与现有安全系统集成以提供多层防御 - 零信任网络：在不受信任的网络上构建安全解决方案
istio简介和基础组件原理（服务网格Service Mesh）
热门推荐
全栈工程师开发手册（原创）https://github.com/tencentmusic/cube-studio
11-27 7万+
Istio简介 Istio：一个连接，管理和保护微服务的开放平台。 按照isito文档中给出的定义: Istio提供一种简单的方式来建立已部署的服务的网络，具备负载均衡，服务到服务认证，监控等等功能，而不需要改动任何服务代码。简单的说，有了Istio，你的服务就不再需要任何微服务开发框架（典型如Spring Cloud，Dubbo），也不再需要自己手动实现各种复杂的服务...
阿里巴巴面试题与招聘解析
2012年的校园招聘，阿里巴巴继续通过大街网这样的求职互动平台发布招聘信息，提供了丰富的职位选择，鼓励有志于加入阿里巴巴的同学们关注相关招聘俱乐部的最新动态。这些面试题和招聘活动对于了解阿里巴巴的企业文化...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值