微服务之服务网格 Istio

一、背景

1、微服务演变历程

第一代微服务框架  Spring Cloud

　　spring Cloud为开发者提供了快速构建分布式系统的通用模型的工具(包括配置管理、服务发现、熔断器、智能路由、微代理、控制总线、一次性令牌、全局锁、领导选举、分布式会话、集群状态等)

第二代微服务框架   dubbo

　　Dubbo是一个阿里巴巴开源出来的一个分布式服务框架，致力于提供高性能和透明化的RPC远程服务调用方案，以及SOA服务治理方案

第三代微服务框架   Service Mesh(服务网格)

　　Isito是Service Mesh的产品化落地且开源，是目前最受欢迎的服务网格，功能丰富、成熟度高。

2、服务网格

　　 Mesh 服务网格用来描述组成这些应用程序的微服务网络以及它们之间的交互。随着服务网格的规模和复杂性不断的增长，它将会变得越来越难以理解和管理。它的需求包括服务发现、负载均衡、故障恢复、度量和监控等。服务网格通常还有更复杂的运维需求，比如 A/B 测试、金丝雀发布、速率限制、访问控制和端到端认证。

一个复杂庞大的业务系统，服务组件多，各个组件之间需要通信进行相互的调用，各个组件的之间的通信相互调用、网络称作服务网格。

3、用istio的理由

　　Istio 提供了对整个服务网格的行为洞察和操作控制的能力，以及一个完整的满足微服务应用各种需求的解决方案。

通过负载均衡、服务间的身份验证、监控等方法，Istio 可以轻松地创建一个已经部署了服务的网络，而服务的代码只需很少更改甚至无需更改。通过在整个环境中部署一个特殊的 sidecar 代理为服务添加 Istio 的支持，而代理会拦截微服务之间的所有网络通信，然后使用其控制平面的功能来配置和管理 Istio，这包括：

• 为 HTTP、gRPC、WebSocket 和 TCP 流量自动负载均衡。

• 通过丰富的路由规则、重试、故障转移和故障注入对流量行为进行细粒度控制。

• 可插拔的策略层和配置 API，支持访问控制、速率限制和配额。

• 集群内(包括集群的入口和出口)所有流量的自动化度量、日志记录和追踪。

• 在具有强大的基于身份验证和授权的集群中实现安全的服务间通信。

Istio 为可扩展性而设计，可以满足不同的部署需求。

二、istio的5个特性

流量管理

　　Istio 简单的规则配置和流量路由允许您控制服务之间的流量和 API 调用过程。Istio 简化了服务级属性(如熔断器、超时和重试)的配置，并且让它轻而易举的执行重要的任务(如 A/B 测试、金丝雀发布和按流量百分比划分的分阶段发布)。

有了更好的对流量的可视性和开箱即用的故障恢复特性，您就可以在问题产生之前捕获它们，无论面对什么情况都可以使调用更可靠，网络更健壮。

安全

　　Istio 的安全特性解放了开发人员，使其只需要专注于应用程序级别的安全。Istio 提供了底层的安全通信通道，并为大规模的服务通信管理认证、授权和加密。有了 Istio，服务通信在默认情况下就是受保护的，可以让您在跨不同协议和运行时的情况下实施一致的策略——而所有这些都只需要很少甚至不需要修改应用程序。

Istio 是独立于平台的，可以与 Kubernetes(或基础设施)的网络策略一起使用。但它更强大，能够在网络和应用层面保护pod到 pod 或者服务到服务之间的通信。

将单一应用程序分解为微服务可提供各种好处，包括更好的灵活性、可伸缩性以及服务复用的能力。但是，微服务也有特殊的安全需求：

• 为了抵御中间人攻击，需要流量加密。
• 为了提供灵活的服务访问控制，需要双向 TLS 和细粒度的访问策略。
• 要确定谁在什么时候做了什么，需要审计工具。

　　Istio Security 尝试提供全面的安全解决方案来解决所有这些问题。本页概述了如何使用 Istio 的安全功能来保护您的服务，无论您在何处运行它们。特别是 Istio 安全性可以缓解针对您的数据、端点、通信和平台的内部和外部威胁。

可观察性

　　Istio 健壮的追踪、监控和日志特性让您能够深入的了解服务网格部署。通过 Istio 的监控能力，可以真正的了解到服务的性能是如何影响上游和下游的；而它的定制 Dashboard 提供了对所有服务性能的可视化能力，并让您看到它如何影响其他进程。

　　Istio 的 Mixer 组件负责策略控制和遥测数据收集(已经整合到控制平面的组件中)。它提供了后端抽象和中介，将一部分 Istio 与后端的基础设施实现细节隔离开来，并为运维人员提供了对网格与后端基础实施之间交互的细粒度控制。

所有这些特性都使您能够更有效地设置、监控和加强服务的 SLO。

平台支持

　　Istio 独立于平台，被设计为可以在各种环境中运行，包括跨云、内部环境、Kubernetes、Mesos 等等。您可以在 Kubernetes 或是装有 Consul 的 Nomad 环境上部署 Istio。Istio 目前支持：

• Kubernetes 上的服务部署

• 基于 Consul 的服务注册

• 服务运行在独立的虚拟机上

整合和定制

　　Istio 的策略实施组件可以扩展和定制，与现有的 ACL、日志、监控、配额、审查等解决方案集成。

三、Istio的4个特点(与特性差不多)

连接(Connect)

- 流量管理      - 负载均衡      - 灰度发布

安全(Secure)

- 认证      - 鉴权

控制(Control)

- 限流     - ACL

观察(Observe)

- 监控     - 调用链 

主要应用于服务治理：

四、istio架构

1、Istio 服务网格从逻辑上分为数据平面和控制平面。

• 数据平面 由一组智能代理(Envoy)组成，被部署为 sidecar。这些代理负责协调和控制微服务之间的所有网络通信。他们还收集和报告所有网格流量的遥测数据。
• 控制平面 管理并配置代理来进行流量路由。

下图展示了组成每个平面的不同组件：

2、Istio的4个组件

Envoy 

　　Envoy 可以调整控制服务网格之间的网络通信，是控制面流量管理的实际执行者。

https://www.envoyproxy.io/docs/envoy/latest/start/start   envoy学习指南

　　Istio 使用 Envoy 代理的扩展版本。Envoy 是用 C++ 开发的高性能代理，用于协调服务网格中所有服务的入站和出站流量。Envoy 代理是唯一与数据平面流量交互的 Istio 组件。

Envoy 代理被部署为服务的 sidecar，在逻辑上为服务增加了 Envoy 的许多内置特性，例如:

• 动态服务发现
• 负载均衡
• TLS 终端
• HTTP/2 与 gRPC 代理
• 熔断器
• 健康检查
• 基于百分比流量分割的分阶段发布
• 故障注入
• 丰富的指标

这种 sidecar 部署允许 Istio 提取大量关于流量行为的信号作为属性。Istio 可以使用这些属性来实施策略决策，并将其发送到监视系统以提供有关整个网格行为的信息。

由 Envoy 代理启用的一些 Istio 的功能和任务包括:

• 流量控制功能：通过丰富的 HTTP、gRPC、WebSocket 和 TCP 流量路由规则来执行细粒度的流量控制。
• 网络弹性特性：重试设置、故障转移、熔断器和故障注入。
• 安全性和身份验证特性：执行安全性策略以及通过配置 API 定义的访问控制和速率限制。
• 基于 WebAssembly 的可插拔扩展模型，允许通过自定义策略实施和生成网格流量的遥测

Pilot 流量管理

　　Pilot 为 Envoy sidecar 提供服务发现、用于智能路由的流量管理功能(例如，A/B 测试、金丝雀发布等)以及弹性功能(超时、重试、熔断器等)。

Pilot 将控制流量行为的高级路由规则转换为特定于环境的配置，并在运行时将它们传播到 sidecar。Pilot 将特定于平台的服务发现机制抽象出来，并将它们合成为任何符合 Envoy API 的 sidecar 都可以使用的标准格式。

Pilot 主要包含 2 个组件，即 Discovery services 和 Agent。

下图展示了平台适配器和 Envoy 代理如何交互。

1. 平台启动一个服务的新实例，该实例通知其平台适配器。
2. 平台适配器使用 Pilot 抽象模型注册实例。
3. Pilot 将流量规则和配置派发给 Envoy 代理，来传达此次更改。

这种松耦合允许 Istio 在 Kubernetes、Consul 或 Nomad 等多种环境中运行，同时维护相同的 operator 接口来进行流量管理。

Citadel

　　Citadel 通过内置的身份和证书管理，可以支持强大的服务到服务以及最终用户的身份验证。您可以使用 Citadel 来升级服务网格中的未加密流量。使用 Citadel，operator 可以执行基于服务身份的策略，而不是相对不稳定的 3 层或 4 层网络标识。从 0.5 版开始，您可以使用 Istio 的授权特性来控制谁可以访问您的服务。

Galley

　　Galley 是 Istio 的配置验证、提取、处理和分发组件。它负责将其余的 Istio 组件与从底层平台(例如 Kubernetes)获取用户配置的细节隔离开来。

五、实战演练

https://mp.weixin.qq.com/s/D1XD2_xcRWHzWQota7K3tg  微服务治理 Istio 1.6部署和应用，实际操作，必看

https://istio.io/latest/zh/docs/setup/getting-started/   安装 demo 配置文件快速评估 Istio

六、灰度发布

https://blog.csdn.net/O4dC8OjO7ZL6/article/details/78589497?utm_medium=distribute.pc_relevant_t0.none-task-blog-BlogCommendFromMachineLearnPai2-1.control&depth_1-utm_source=distribute.pc_relevant_t0.none-task-blog-BlogCommendFromMachineLearnPai2-1.control     干货｜采用Istio实现灰度发布(金丝雀发布)

七、学习必看：

https://istio.io/latest/zh/docs/   Istio 最新版官方文档中文版

http://www.mydlq.club/article/62/    在k8s中部署istio

https://www.servicemesher.com/istio-handbook/   Istio Handbook——Istio 服务网格进阶实战

https://github.com/istio/istio/releases    项目地址

https://fredal.xin/istio-traffic-management     Service Mesh 最火项目 Istio 是怎么做流量管理的 

https://www.cnblogs.com/wangxu01/tag/istio/    博主实战经验

https://www.cnblogs.com/juchangfei/p/12802672.html   Istio架构及其组件概述