Création d'une URL de passerelle dans des clusters classiques

1. Définissez l'hôte Ingress Istio.

   export INGRESS_IP=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
   

2. Définissez le port Ingress Istio.

   export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
   

3. Créez une variable d'environnement GATEWAY_URL qui utilise l'hôte et le port Ingress Istio.

   export GATEWAY_URL=$INGRESS_IP:$INGRESS_PORT
   

4. Exécutez la commande curl sur la variable GATEWAY_URL pour vérifier que l'application BookInfo est en cours d'exécution. Une réponse 200 indique que l'application BookInfo s'exécute correctement avec Istio.

   curl -o /dev/null -s -w "%{http_code}\n" http://${GATEWAY_URL}/productpage
   

5. Essayez d'actualiser la page plusieurs fois. Différentes versions de la section reviews affichent de façon circulaire des étoiles rouges, des étoiles noires, ou pas d'étoiles.

Création d'une URL de passerelle dans des clusters VPC

1. Créez une variable d'environnement GATEWAY_URL qui utilise le nom d'hôte Ingress Istio.

   export GATEWAY_URL=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
   

2. Exécutez la commande curl sur la variable GATEWAY_URL pour vérifier que l'application BookInfo est en cours d'exécution. Une réponse 200 indique que l'application BookInfo s'exécute correctement avec Istio.

   curl -o /dev/null -s -w "%{http_code}\n" http://${GATEWAY_URL}/productpage
   

Affichage de la page Web BookInfo dans un navigateur

Exécutez la commande suivante en fonction de votre système d'exploitation pour afficher l'application BookInfo dans votre navigateur.

Mac OS ou Linux

open http://$GATEWAY_URL/productpage

Windows

start http://$GATEWAY_URL/productpage

Essayez d'actualiser la page plusieurs fois. Différentes versions de la section reviews affichent de façon circulaire des étoiles rouges, des étoiles noires, ou pas d'étoiles.

Exposition de l'application BookInfo à l'aide d'un sous-domaine fourni par IBM sans TLS

Lorsque vous activez le module complémentaire BookInfo dans votre cluster, la passerelle Istio bookinfo-gateway est créée pour vous. Cette passerelle utilise le service virtuel et les règles de destination Istio pour configurer un équilibreur de charge, istio-ingressgateway, qui expose l'application BookInfo au public. Dans les étapes suivantes, vous allez créer un sous-domaine pour l'adresse IP d'équilibreur de charge istio-ingressgateway dans les clusters classiques ou le nom d'hôte dans les clusters VPC, par l'intermédiaire de laquelle vous pouvez accéder publiquement à l'application BookInfo.

1. Enregistrez l'adresse IP dans les clusters classiques ou le nom d'hôte dans les clusters VPC pour l'équilibreur de charge istio-ingressgateway en créant un sous-domaine DNS.
   • Classique :

       ibmcloud ks nlb-dns create classic --ip $INGRESS_IP --cluster <cluster_name_or_id>
       ```
   * Cloud privé virtuel:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --lb-host $GATEWAY_URL --cluster <cluster_name_or_id>
       ```
   

2. Vérifiez que le sous-domaine est créé et copiez-le.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

Exemple de sortie pour les clusters classiques

Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>

Exemple de sortie pour les clusters VPC

Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>

Dans un navigateur Web, ouvrez la page de produit BookInfo. Etant donné que TLS n'est pas configuré, prenez soin d'utiliser HTTP.

http://<subdomain>/productpage

Essayez d'actualiser la page plusieurs fois. Les demandes adressées à http://<subdomain>/productpage sont reçues par l'équilibreur de charge de la passerelle Istio. Les différentes versions du microservice reviews sont toujours renvoyées de manière aléatoire car la passerelle Istio gère les règles de service virtuel et de routage de destination pour les microservices.

Exposition de l'application BookInfo à l'aide d'un sous-domaine fourni par IBM avec TLS

Lorsque vous activez le module complémentaire BookInfo dans votre cluster, la passerelle Istio bookinfo-gateway est créée pour vous. Cette passerelle utilise le service virtuel et les règles de destination Istio pour configurer un équilibreur de charge, istio-ingressgateway, qui expose l'application BookInfo au public. Dans les étapes suivantes, vous allez créer un sous-domaine pour l'adresse IP d'équilibreur de charge istio-ingressgateway dans les clusters classiques ou le nom d'hôte dans les clusters VPC, par l'intermédiaire de laquelle vous pouvez accéder publiquement à l'application BookInfo. Vous pouvez également utiliser le certificat SSL pour permettre les connexions HTTPS à l'application BookInfo.

1. Enregistrez l'adresse IP dans les clusters classiques ou le nom d'hôte dans les clusters VPC pour l'équilibreur de charge istio-ingressgateway en créant un sous-domaine DNS.

   • Classique :

       ibmcloud ks nlb-dns create classic --ip $INGRESS_IP --secret-namespace istio-system --cluster <cluster_name_or_id>
       ```
   * Cloud privé virtuel:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --lb-host $GATEWAY_URL --secret-namespace istio-system --cluster <cluster_name_or_id>
       ```
   

2. Vérifiez que le sous-domaine est créé et notez le nom de votre secret SSL figurant dans la zone SSL Cert Secret Name.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   Exemple de sortie pour les clusters classiques.

   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   Exemple de sortie pour les clusters VPC

   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

Configuration de la passerelle bookinfo-gateway pour qu'elle utilise la terminaison TLS.

Procédez comme indiqué ci-après pour configurer la terminaison TLS pour la passerelle bookinfo-gateway.

1. Supprimez la passerelle bookinfo-gateway existante, qui n'est pas configurée pour gérer les connexions TLS.

   kubectl delete gateway bookinfo-gateway
   

2. Créez un nouveau fichier de configuration de passerelle bookinfo-gateway qui utilise la terminaison TLS. Sauvegardez le fichier YAML suivant sous bookinfo-gateway.yaml. Remplacez <secret_name> par le nom du secret SSL que vous avez précédemment trouvé.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: bookinfo-gateway
   spec:
     selector:
       istio: ingressgateway
     servers:
     - port:
         number: 443
         name: https
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: <secret_name>
       hosts:
       - "*"
   

3. Créez la nouvelle passerelle bookinfo-gateway dans votre cluster.

   kubectl apply -f bookinfo-gateway.yaml
   

4. Dans un navigateur Web, ouvrez la page de produit BookInfo. Prenez soin d'utiliser HTTPS pour le sous-domaine que vous avez trouvé à l'étape 2.

   https://<subdomain>/productpage
   

5. Essayez d'actualiser la page plusieurs fois. Les demandes adressées à https://<subdomain>/productpage sont reçues par l'équilibreur de charge de la passerelle Istio. Les différentes versions du microservice reviews sont toujours renvoyées de manière aléatoire car la passerelle Istio gère les règles de service virtuel et de routage de destination pour les microservices.

Comprendre ce qu'il s'est passé

Le modèle d'application BookInfo illustre comment trois composants de gestion du trafic d'Istio s'articulent pour acheminer le trafic entrant vers l'application.

Gateway

La passerelle ( Gatewaybookinfo-gateway ) désigne un équilibreur de charge, le service istio-ingressgateway du nom istio-system d'espace qui sert de point d'entrée au trafic entrant HTTP / TCP pour BookInfo. Istio configure l'équilibreur de charge pour qu'il soit à l'écoute des demandes entrantes vers les applications gérées par Istio sur les ports définis dans le fichier de configuration de la passerelle. Pour voir le fichier de configuration de la passerelle BookInfo, exécutez la commande suivante :

kubectl get gateway bookinfo-gateway -o yaml

VirtualService

Le document VirtualServicebookinfo définit les règles qui régissent l'acheminement des requêtes au sein du maillage de services en définissant les microservices comme destinations. Dans le service virtuel bookinfo, l'URI /productpage d'une demande est acheminé vers l'hôte productpage sur le port 9080. Ainsi, toutes les demandes pour l'application BookInfo sont d'abord acheminées vers le microservice productpage, qui appelle ensuite les autres microservices de BookInfo. Pour voir la règle de service virtuel, exécutez la commande suivante :

kubectl get virtualservice bookinfo -o yaml

DestinationRule

Une fois que la passerelle a acheminé la requête conformément à la règle de service virtuel, les éléments details, productpage, ratings, et DestinationRulesreviews définissent les politiques qui s'appliquent à la requête lorsqu'elle atteint un microservice. Par exemple, lorsque vous actualisez la page de produit de BookInfo, les modifications que vous voyez sont le résultat de l'appel aléatoire de différentes versions,productpage, v1 et v2 du microservice v3, par le microservice reviews. Les versions sont sélectionnées de manière aléatoire car la règle de destination reviews confère la même pondération aux sous-ensembles (subsets), ou aux versions nommées, du microservice. Ces sous-ensembles sont utilisés par les règles de service virtuel lorsque le trafic est acheminé vers des versions spécifiques du service. Pour voir les règles de destination appliquées à BookInfo, exécutez la commande suivante.

kubectl describe destinationrules

Activation de l'injection automatique de composants sidecar

Lorsque l'injection automatique de composants sidecar est activée, un espace de noms est à l'écoute de tout nouveau déploiement et modifie automatiquement la spécification de modèle de pod de sorte que les pods d'application oient créés avec des conteneurs de proxy sidecar Envoy. Activez l'injection automatique de composants sidecar pour un espace de noms lorsque vous envisagez de déployer plusieurs applications que vous souhaitez intégrer à Istio dans cet espace de noms. Notez que l'injection automatique de composants sidecar n'est pas activée pour les espaces de noms par défaut dans le module complémentaire géré Istio.

N'activez pas l'injection de composants sidecar pour les espaces de noms kube-system, ibm-system, ou ibm-operators.

Pour activer l'injection automatique de composants sidecar pour un espace de noms :

1. Obtenez le nom de l'espace de noms dans lequel vous voulez déployer les applications gérées par Istio.

   kubectl get namespaces
   

2. Etiquetez l'espace de noms istio-injection=enabled.

   kubectl label namespace <namespace> istio-injection=enabled
   

3. Déployez les applications dans l'espace de noms labellisé ou redéployez les applications figurant déjà dans l'espace de noms.

   kubectl apply <myapp>.yaml --namespace <namespace>
   

4. Facultatif : Pour redéployer une application dans cet espace de noms, supprimez le pod d'application de sorte qu'il soit redéployé avec le composant sidecar injecté.

   kubectl delete pod -l app=<myapp>
   

5. Si vous n'avez pas créé de service pour exposer votre application, créez un service Kubernetes. Votre application doit être exposée par un service Kubernetes pour être incluse en tant que microservice dans le maillage de services Istio. Veillez à respecter les exigences de l' Istio s concernant les pods et les services.

6. Définissez un service pour l'application.

   apiVersion: v1
   kind: Service
   metadata:
     name: myappservice
   spec:
     selector:
       <selector_key>: <selector_value> # Enter the label key `selector_key` and value `selector_value` pair that you want to use to target the pods where your app runs.
     ports:
     - protocol: TCP
       port: 8080 # The port that the service listens on
   

7. Créez le service dans votre cluster. Vérifiez que le service se déploie dans le même espace de noms que l'application.

   kubectl apply -f myappservice.yaml -n <namespace>
   

Les pods d'application sont désormais intégrés dans votre maillage de services Istio car ils disposent d'un conteneur sidecar Istio qui s'exécute aux côtés de votre conteneur d'application.

Injection manuelle de composants sidecar

Si vous ne souhaitez pas activer l'injection automatique de composants sidecar pour un espace de noms, vous pouvez effectuer l'injection manuellement dans un fichier YAML de déploiement. Injectez les sidecars manuellement lorsque des applications s'exécutent dans des espaces de nom parallèlement à d'autres déploiements auxquels vous ne voulez pas en injecter automatiquement.

N'activez pas l'injection de composants sidecar pour les espaces de noms kube-system, ibm-system, ou ibm-operators.

1. Téléchargez le client istioctl.

   curl -L https://istio.io/downloadIstio | sh -
   

2. Accédez au répertoire du package Istio.

   cd istio-1.29.5
   

Pour injecter manuellement des composants sidecar dans un déploiement :

1. Injectez le composant sidecar Envoy dans le fichier YAML de déploiement de votre application.

   istioctl kube-inject -f <myapp>.yaml | kubectl apply -f -
   

2. Déployez votre application.

   kubectl apply <myapp>.yaml
   

3. Si vous n'avez pas créé de service pour exposer votre application, créez un service Kubernetes. Votre application doit être exposée par un service Kubernetes pour être incluse en tant que microservice dans le maillage de services Istio. Veillez à respecter les exigences de l' Istio s concernant les pods et les services.

4. Définissez un service pour l'application.

   apiVersion: v1
   kind: Service
   metadata:
     name: myappservice
   spec:
     selector:
       <selector_key>: <selector_value> # Enter the label key `selector_key` and value `selector_value` pair that you want to use to target the pods where your app runs.
     ports:
     - protocol: TCP
       port: 8080 # The port that the service listens on.
   

5. Créez le service dans votre cluster. Vérifiez que le service se déploie dans le même espace de noms que l'application.

   kubectl apply -f myappservice.yaml -n <namespace>
   

Les pods d'application sont désormais intégrés dans votre maillage de services Istio car ils disposent d'un conteneur sidecar Istio qui s'exécute aux côtés de votre conteneur d'application.

Exposition de la passerelle Ingress Istio à l'aide de DNS sans terminaison TLS

1. Installez le module complémentaire géré istio dans un cluster.
2. Installez l'interface de ligne de commande istioctl.
3. Configurez l'injection sidecar pour vos microservices d'application, déployez les microservices d'application dans un espace de nom et créez des services Kubernetes pour les microservices d'application de sorte qu'ils se trouvent dans le maillage de service Istio.

Pour exposer des applications au public :

1. Créez une passerelle qui utilise le service d'équilibreur de charge istio-ingressgateway public afin d'exposer le port 80 pour HTTP. Remplacez <namespace> par l'espace de nom dans lequel vos microservices gérés par Istio sont déployés. Pour plus d'informations sur les composants YAML de la passerelle, consultez la documentation de référence Istio.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: my-gateway
   spec:
     selector:
       app: ingressgateway
     servers:
     - port:
         number: 80
         name: http
         protocol: HTTP
       hosts:
       - "*"
   

2. Appliquez la passerelle dans l'espace de noms dans lequel sont déployés vos microservices gérés par Istio.

   kubectl apply -f my-gateway.yaml -n <namespace>
   

3. Créez un service virtuel qui utilise la passerelle my-gateway et définit des règles de routage pour vos microservices d'application. Si vos microservices sont à l'écoute sur un autre port que 80, ajoutez ce port. Pour plus d’informations sur les composants YAML des services virtuels, consultez la documentation de référence Istio.

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: my-virtual-service
     namespace: <namespace> # The namespace where your Istio-managed microservices are deployed.
   spec:
     gateways:
     - my-gateway # `my-gateway` is specified so that the gateway can apply these virtual service routing rules to the `istio-ingressgateway` load balancer.
     hosts:
     - '*'
     http:
     - match:
       - uri:
           exact: /<service_path> # Replace `service_path` with the path that your entrypoint microservice listens on. For example, in the BookInfo app, the path is defined as `/productpage`.
       route:
       - destination:
           host: <service_name> # Replace `service_name` with the name of your entrypoint microservice. For example, in the BookInfo app, `productpage` served as the entrypoint microservice that called the other app microservices.
           port:
             number: 80 # If your microservice listens on a different port, replace `80` with the port.
   

4. Appliquez les règles de service virtuel dans l'espace de noms dans lequel est déployé votre microservice géré par Istio.

   kubectl apply -f my-virtual-service.yaml -n <namespace>
   

5. Obtenez l'adresse EXTERNAL-IP (clusters classiques) ou le nom d'hôte (clusters VPC) pour l'équilibreur de charge public istio-ingressgateway. Si vous avez activé un équilibreur de charge Istio dans chaque zone de votre cluster, obtenez l'adresse IP ou le nom d'hôte du service d'équilibreur de charge dans chaque zone.

   kubectl get svc -n istio-system
   

   # Example output for classic clusters
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   169.1.1.1       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

   # Example output for VPC clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   1234abcd-us-south.lb.appdomain.cloud       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

6. Enregistrez l'adresse IP ou le nom d'hôte d'équilibreur de charge en créant un sous-domaine DNS. Pour plus d'informations sur l'enregistrement de sous-domaines DNS dans IBM Cloud Kubernetes Service, voir Classique : Enregistrement d'un sous-domaine NLB ou les informations sur l'enregistrement d'un nom d'hôte d'équilibreur de charge VPC avec un sous-domaine DNS pour un VPC ALB ou VPC NLB.

   ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_id> --ip <LB_IP> [--ip <LB_zone2_IP> ...]
   

   Exemple de commande pour les clusters VPC.

   ibmcloud ks nlb-dns create vpc-gen2 -c <cluster_name_or_ID> --lb-host <LB_hostname>
   

7. Vérifiez que le sous-domaine est créé. Dans la sortie, copiez le nom de votre secret SSL dans la zone SSL Cert Secret Name.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   Exemple de sortie pour les clusters classiques.

   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   Exemple de contenu pour les clusters VPC.

   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

8. Vérifiez que ce trafic est acheminé vers vos microservices gérés par Istio en entrant l'URL du microservice d'application.

   http://<host_name>/<service_path>
   

Vous avez besoin d'un contrôle plus fin sur le routage ? Pour créer des règles qui s'appliquent une fois que l'équilibreur de charge a acheminé le trafic vers chaque microservice, telles que des règles permettant d'acheminer le trafic vers différentes versions d'un même microservice, vous pouvez créer et appliquer DestinationRules.

Vous devez déboguer des configurations d'entrée ou de sortie ? Assurez-vous que l'option istio-global-proxy-accessLogFile dans la mappe de configuration (configmap) managed-istio-custom est définie sur "/dev/stdout". Les proxy Envoy impriment des informations d'accès dans leur sortie standard que vous pouvez afficher en exécutant les commandes kubectl logs pour les conteneurs Envoy. Si vous constatez que le pod ibm-cloud-provider-ip d'une passerelle est bloqué à l'état pending, reportez-vous à cette rubrique relative au traitement des incidents.

Exposition de la passerelle Ingress Istio à l'aide de DNS avec terminaison TLS

1. Installez le module complémentaire géré istio dans un cluster.
2. Installez l'interface de ligne de commande istioctl.
3. Configurez l'injection sidecar pour vos microservices d'application, déployez les microservices d'application dans un espace de nom et créez des services Kubernetes pour les microservices d'application de sorte qu'ils se trouvent dans le maillage de service Istio.

Pour exposer des applications au public :

1. Enregistrez l'adresse IP ou le nom d'hôte d'équilibreur de charge en créant un sous-domaine DNS. Pour plus d'informations sur l'enregistrement de sous-domaines DNS dans IBM Cloud Kubernetes Service, voir Classique : Enregistrement d'un sous-domaine NLB ou Enregistrement d'un nom d'hôte d'équilibreur de charge VPC avec un sous-domaine DNS.

   • Clusters classiques :

       ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_id> --ip <LB_IP> [--ip <LB_zone2_IP> ...]
       ```
   * Clusters VPC :
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 -c <cluster_name_or_ID> --lb-host <LB_hostname>
       ```
   

2. Vérifiez que le sous-domaine est créé. Dans la sortie, copiez le nom de votre secret SSL dans la zone SSL Cert Secret Name.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
   

   # Example output for classic clusters:
   Hostname                                                                                IP(s)              Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      None             created                   <certificate>
   

   # Example output for VPC clusters:
   Subdomain                                                                               Load Balancer Hostname                        Health Monitor   SSL Cert Status           SSL Cert Secret Name
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["1234abcd-us-south.lb.appdomain.cloud"]      None             created                   <certificate>
   

3. Créez une passerelle qui utilise le service d'équilibreur de charge istio-ingressgateway public afin d'exposer le port 80 pour HTTP. Remplacez <namespace> par l'espace de nom dans lequel vos microservices gérés par Istio sont déployés. Pour plus d'informations sur les composants YAML de la passerelle, consultez la documentation de référence Istio.

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: my-gateway
     namespace: <namespace>
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           name: https
           protocol: HTTPS
           number: 443
       tls:
         mode: SIMPLE
         serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
         privateKey: /etc/istio/ingressgateway-certs/tls.key
       hosts:
       - "*"
   

4. Appliquez la passerelle dans l'espace de noms dans lequel sont déployés vos microservices gérés par Istio.

   kubectl apply -f my-gateway.yaml -n <namespace>
   

5. Créez un service virtuel qui utilise la passerelle my-gateway et définit des règles de routage pour vos microservices d'application. Pour plus d’informations sur les composants YAML des services virtuels, consultez la documentation de référence Istio.

   apiVersion: networking.istio.io/v1beta1
   kind: VirtualService
   metadata:
     name: my-virtual-service
     namespace: <namespace> # The namespace where your Istio-managed microservices are deployed.
   spec:
     gateways:
     - my-gateway # `my-gateway` is specified so that the gateway can apply these virtual service routing rules to the `istio-ingressgateway` load balancer.
     hosts:
     - '*'
     http:
     - match:
       - uri:
           exact: /<service_path> # Replace `service_path` with the path that your entrypoint microservice listens on. For example, in the BookInfo app, the path is defined as `/productpage`.
       route:
       - destination:
           host: <service_name> # The name of your entrypoint microservice. For example, in the BookInfo app, `productpage` served as the entrypoint microservice that called the other app microservices.
           port:
             number: 443 # If your microservice listens on a different port, replace 443 with the port.
   

6. Appliquez les règles de service virtuel dans l'espace de noms dans lequel est déployé votre microservice géré par Istio.

   kubectl apply -f my-virtual-service.yaml -n <namespace>
   

7. Obtenez l'adresse EXTERNAL-IP (clusters classiques) ou le nom d'hôte (clusters VPC) pour l'équilibreur de charge public istio-ingressgateway. Si vous avez activé un équilibreur de charge Istio dans chaque zone de votre cluster, obtenez l'adresse IP ou le nom d'hôte du service d'équilibreur de charge dans chaque zone.

   kubectl get svc -n istio-system
   

   # Example output for classic clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   169.1.1.1       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

   # Example output for VPC clusters:
   istio-ingressgateway     LoadBalancer   172.21.XXX.XXX   1234abcd-us-south.lb.appdomain.cloud       80:31380/TCP,443:31390/TCP,31400:31400/TCP,5011:31323/TCP,8060:32483/TCP,853:32628/TCP,15030:31601/TCP,15031:31915/TCP  22m
   

8. Vérifiez que ce trafic est acheminé vers vos microservices gérés par Istio en entrant l'URL du microservice d'application.

   https://<host_name>/<service_path>
   

Les certificats du secret d'hôte DNS NLB expirent tous les 90 jours. Le secret dans l'espace de noms par défaut est automatiquement renouvelé par IBM Cloud Kubernetes Service 37 jours avant son expiration, mais vous devez le copier manuellement dans l'espace de noms istio-system chaque fois qu'il est renouvelé. Utilisez des scripts pour automatiser ce processus.

Vous avez besoin d'un contrôle plus fin sur le routage ? Pour créer des règles qui s'appliquent une fois que l'équilibreur de charge a acheminé le trafic vers chaque microservice, telles que des règles permettant d'acheminer le trafic vers différentes versions d'un même microservice, vous pouvez créer et appliquer DestinationRules.

Vous devez déboguer des configurations d'entrée ou de sortie ? Assurez-vous que l'option istio-global-proxy-accessLogFile dans la mappe de configuration (configmap) managed-istio-custom est définie sur "/dev/stdout". Les proxy Envoy impriment des informations d'accès dans leur sortie standard que vous pouvez afficher en exécutant les commandes kubectl logs pour les conteneurs Envoy. Si vous constatez que le pod ibm-cloud-provider-ip d'une passerelle est bloqué à l'état pending, reportez-vous à cette rubrique relative au traitement des incidents.