安装 Istio 附加组件

您可以安装受管 Istio 附加组件，而不是安装社区 Istio。

准备工作

• 确保您具有 Writer 或 Manager IBM Cloud IAM 服务访问角色 for IBM Cloud Kubernetes Service。
• 创建一个标准的 Kubernetes 集群，其中至少有 3 个工作节点，每个节点有 4 个内核和 16 GB 内存(b3c.4x16)或更多。
• 无法与集群中的受管 Istio 附加组件同时运行社区 Istio。 如果使用的是现有集群，并且先前在集群中已使用 IBM Helm chart 或通过其他方法安装了 Istio，请清除该 Istio 安装。
• 经典多专区集群: 确保为 IBM Cloud 基础架构帐户启用 虚拟路由和转发(VRF)。 要启用 VRF，请参阅 启用 VRF。 要检查是否已启用 VRF，请使用 ibmcloud account show 命令。 如果无法或不想启用 VRF，请启用 VLAN 生成。 要执行此操作，需要有管理网络 VLAN 跨基础架构权限，或者可以要求账户所有者启用该权限。 要检查 VLAN spanning 是否已启用，请使用 ibmcloud ks vlan spanning get --region <region> 命令。

更新 Istio 附加组件

更新 Istio 附加组件，该附加组件由 IBM Cloud 测试并核准在 IBM Cloud Kubernetes Service中使用。

请勿使用 istioctl 来更新受管附加组件安装的 Istio 版本。 仅使用以下步骤来更新受管 Istio 附加组件，其中包括 Istio 版本的更新。

要从不受支持的 Istio 附加组件版本进行更新，请将 Istio 组件 更新为 IBM Cloud Kubernetes Service支持的最新补丁版本。

定制 Istio 安装

您可以通过编辑 managed-istio-custom ConfigMap 资源来定制一组 Istio 配置选项。 这些设置包括对控制平面和服务网格中的监视，日志记录和联网的额外控制。

1. 描述 managed-istio-custom ConfigMap 资源，查看其内容和内联文档。

   kubectl describe cm managed-istio-custom -n ibm-operators
   

2. 编辑 managed-istio-custom ConfigMap 资源。

   kubectl edit cm managed-istio-custom -n ibm-operators
   

3. 在 data 部分中，添加以下一个或多个配置选项的 <key>: "<value>" 对。

   istio-components-pilot-requests-cpu

   缺省值："500m"

   在 milli CPU 中为 istiod 组件 pod 配置 CPU 请求。 更改此值时请务必谨慎。 将此值设置得过低可能导致控制平面无法正常工作，而将此值设置得过高可能导致无法调度 istiod pod。

   istio-global-logging-level

   缺省值："default:info"

   定义控制平面组件的日志作用域和日志消息级别。 作用域表示控制平面组件中的功能区域，每个作用域都支持特定的日志信息级别。 default 日志记录作用域 (针对未分类的日志消息) 将应用于基本 info 级别的控制平面中的所有组件。

   要指定各个组件作用域的日志级别，请输入以逗号分隔的作用域和级别列表，例如 "<scope>:<level>,<scope>:<level>"。 有关每个控制平面组件的作用域以及日志消息的信息级别的列表，请参阅 Istio 组件日志记录文档。 要更改数据平面的日志级别，请使用 istioctl proxy-config log <pod> --level <level> 命令。

   istio-global-outboundTrafficPolicy-mode

   缺省值："ALLOW_ANY"

   缺省情况下，允许来自服务网格的所有出站流量。 要阻止从服务网格到未在服务注册表中定义或在服务网格中没有 ServiceEntry 的任何主机的出站流量，请设置为 REGISTRY_ONLY。

   istio-egressgateway-public-1-enabled

   缺省值："true"

   要禁用缺省 Istio 出口网关，请设置为 "false"。 例如，您可以改为 创建定制出口网关。

   istio-global-proxy-accessLogFile

   缺省值：""

   Envoy 代理将访问信息打印到其标准输出。 当您调试入口或出口问题时，这些日志很有用。 要在对 Envoy 容器运行 kubectl logs 命令时查看此访问信息，请设置为 "/dev/stdout"。

   istio-ingressgateway-public-1|2|3-enabled

   缺省值: 仅在区域 1 中为 "true"。

   要使应用程序更高可用性，请针对要在其中创建公共 istio-ingressgateway 负载均衡器的每个专区设置为 "true" 。 要使用 定制入口网关 而不是缺省入口网关，可以设置为 "false"。

   istio-ingressgateway-zone-1|2|3

   缺省值："<zone>"

   部署工作程序节点的区域，在安装附加组件时以及应用 Istio 补丁更新时，会自动填充这些区域。 这些字段将集群的区域应用于 istio-ingressgateway-public-1|2|3-enabled 字段。 请注意，如果此设置中列出的区域与集群区域不同步，那么可以通过运行 kubectl delete pod -n ibm-system -l addon.cleanup=istio 和 kubectl delete job -n ibm-system -l addon.cleanup=istio 来重新启动自动填充作业。

   istio-monitoring-telemetry

   缺省值："true"

   缺省情况下，已启用遥测指标和 Prometheus 支持。 要除去与遥测度量相关联的任何性能问题并禁用所有监视，请设置为 "false"。

   istio-meshConfig-enableTracing

   缺省值："true"

   缺省情况下， Istio 会针对每 100 个请求中的 1 个生成跟踪范围。 要禁用跟踪范围，请设置为 "false"。

   istio-pilot-traceSampling

   缺省值："1.0"

   缺省情况下， Istio 针对 1 每 100 个请求中的生成跟踪范围，这是 1% 的采样率。 要生成更多跟踪范围，请增大百分比值。

   istio-components-pilot-hpa-maxReplicas

   缺省值："5"

   默认情况下，Istio将 istiod 的默认水平容器自动扩展器（HPA）最大容器数设置为5。 除非您的服务网格较大，且 istiod 需要更多资源来更新配置，否则不要增加该值。

   例如，您的 ConfigMap 可能如下所示。

   apiVersion: v1
   data:
     istio-ingressgateway-zone-1: dal10
     <key: value> # such as istio-egressgateway-public-1-enabled: "false"
   kind: ConfigMap
   metadata:
     name: managed-istio-custom
     namespace: ibm-operators
   

   在您的ConfigMap? 由于 ConfigMap 包含用户定义的值，因此不会使用随时间发布的任何选项来更新 ConfigMap。 您可以改为备份 ConfigMap 的副本，并从集群中删除 ConfigMap。 大约 5 分钟后，将在集群中创建包含新选项的缺省 ConfigMap。 然后，您可以将之前配置的设置从备份复制到此默认设置ConfigMap,配置任何新设置并应用更改。

4. 保存并关闭配置文件。

5. 如果更改了 istio-global-logging-level 或 istio-global-proxy-accessLogFile 设置，那么必须重新启动数据平面 pod 以将更改应用于这些 pod。

   1. 获取不在 istio-system 名称空间中的所有数据平面 pod 的列表。

      istioctl version --short=false | grep "data plane version" | grep -v istio-system
      

      示例输出

      data plane version: version.ProxyInfo{ID:"test-6f86fc4677-vsbsf.default", IstioVersion:"1.23.5"}
      data plane version: version.ProxyInfo{ID:"rerun-xfs-f8958bb94-j6n89.default", IstioVersion:"1.23.5"}
      data plane version: version.ProxyInfo{ID:"test2-5cbc75859c-jh6bx.default", IstioVersion:"1.23.5"}
      data plane version: version.ProxyInfo{ID:"minio-test-78b5d4597d-hkpvt.default", IstioVersion:"1.23.5"}
      data plane version: version.ProxyInfo{ID:"sb-887f89d7d-7s8ts.default", IstioVersion:"1.23.5"}
      data plane version: version.ProxyInfo{ID:"gid-deployment-5dc86db4c4-kdshs.default", IstioVersion:"1.23.5"}
      

   2. 通过删除每个 pod 来将其重新启动。 在上一步的输出中，pod 名称和名称空间在每个条目中列示为 data plane version: version.ProxyInfo{ID:"<pod_name>.<namespace>", IstioVersion:"1.23.5"}。

      kubectl delete pod <pod_name> -n <namespace>
      

要更改 ConfigMap 设置吗?

如果要更改已添加到ConfigMap,您可以使用补丁脚本。 例如，如果添加了 istio-global-proxy-accessLogFile: "/dev/stdout" 设置，并且以后想要将其更改回 ""，那么可以运行 kubectl patch cm managed-istio-custom -n ibm-operators --type='json' -p='[{"op": "add", "path": "/data/istio-global-proxy-accessLogFile", "value":""}]'。

需要调试定制设置吗?

通过运行 kubectl logs -n ibm-operators -l name=managed-istio-operator 来检查 addon-istio-operator (Istio V 1.10 或更高版本) 或 managed-istio-operator (Istio V 1.9 或更低版本) pod 的日志。 Istio 操作程序将验证并协调您所做的任何定制 Istio 更改。

如果禁用 Istio 附加组件，那么在卸载期间不会除去 managed-istio-custom ConfigMap。 重新启用 Istio 附加组件时，将在安装期间应用定制的 ConfigMap。 如果不想在稍后的 Istio 安装中复用定制设置，那么在通过运行 kubectl delete cm -n ibm-operators managed-istio-custom 来禁用 Istio 附加组件之后，必须删除 ConfigMap。 重新启用 Istio 附加组件时，将在安装期间应用缺省 ConfigMap。

卸载 Istio 附加组件

如果完成了 Istio 的工作，就可以清理集群中的 Istio 资源并卸载 Istio 附加组件。

kubectl delete deployment -n ibm-operators addon-istio-operator --ignore-not-found=true
kubectl delete serviceaccount -n ibm-operators addon-istio-operator --ignore-not-found=true
kubectl delete clusterrolebinding addon-istio-operator --ignore-not-found=true
kubectl delete clusterrole addon-istio-operator --ignore-not-found=true

卸载集群中的其他 Istio 安装

如果先前在集群中已使用 IBM Helm chart 或通过其他方法安装了 Istio，请清除该 Istio 安装后，再启用集群中的受管 Istio 附加组件。 要检查 Istio 是否已在集群中，请运行 kubectl get namespaces，然后在输出中查找 istio-system 名称空间。

• 如果您使用 IBM Cloud Istio Helm 图表安装了 Istio、

  1. 卸载 Istio Helm 部署。

     helm del istio --purge
     

  2. 如果使用的是 Helm 2.9 或更低版本，请删除额外的作业资源。

     kubectl -n istio-system delete job --all
     

  3. 卸载过程可能最长需要 10 分钟。 在集群中安装 Istio 受管附加组件后，请运行 kubectl get namespaces，并验证 istio-system 名称空间是否已除去。

• 如果您手动安装了 Istio 或使用了 Istio 社区 Helm 图表，请参阅 Istio 卸载文档。

• 如果先前已在集群中安装了 BookInfo，请清除这些资源。

  1. 将目录切换到 Istio 文件位置。

     cd <filepath>/istio-1.23.5
     

  2. 删除集群中的所有 BookInfo 服务、pod 和部署。

     samples/bookinfo/platform/kube/cleanup.sh
     

  3. 卸载过程可能最长需要 10 分钟。 在集群中安装 Istio 受管附加组件后，请运行 kubectl get namespaces，并验证 istio-system 名称空间是否已除去。

对 Istio 附加组件进行故障诊断

要解决使用受管 Istio 附加组件时可能迂到的一些常见问题，请参阅 对受管附加组件进行故障诊断。

第 2 步：缩小 Istio 操作员的规模

缩小 Istio 操作员部署规模。

运行以下命令：

kubectl scale deployment -n ibm-operators addon-istio-operator --replicas=0

步骤 3: 保存资源

保存在 istio-system 命名空间中创建或修改的任何资源，以及由自定义资源定义 (CRD) 自动生成的所有 Kubernetes 资源。

1. 保存 managed-istio-custom ConfigMap 以对问题进行故障诊断或稍后重新安装附加组件。

   kubectl get cm -n ibm-operators managed-istio-custom -o yaml > Customizations.yaml
   

2. 保存所有 IstioOperator CR (IOPs)。

   • 列示 IOP 资源:

     kubectl get iop -A
     

   • 对于列出的每个 IOP 资源，移除终结器。 使用 managed-istio IOP 的示例:

     kubectl patch -n ibm-operators istiooperator/managed-istio --type json --patch='[ { "op": "remove", "path": "/metadata/finalizers" } ]'
     

   • 对于列出的每个 IOP 资源，将每个资源保存到一个文件:

     kubectl get iop -n <IOP_namespace> <IOP_name> -o yaml > <IOP_name>.yaml
     

3. 等待 10 分钟，然后继续执行下一步。

步骤 4: 更改 IOP 的安装程序

删除所有 Istio 操作程序 (IOP) 资源，例如用于定制入口网关。

1. 确保您的 istioctl cli 工具是所需的补丁版本。

   istioctl version
   

2. 对于在上一步中保存的每个 IOP 文件，运行 upgrade 命令。

   istioctl upgrade -f <filename>.yaml
   

第 5 步：删除 Istio 操作符和 IOP

删除 Istio 操作员部署、服务帐户、群集角色绑定、群集角色和所有 IOP。

1. 运行以下命令删除 istio 操作员部署：

   kubectl delete deployment -n ibm-operators addon-istio-operator --ignore-not-found=true
   kubectl delete serviceaccount -n ibm-operators addon-istio-operator --ignore-not-found=true
   kubectl delete clusterrolebinding addon-istio-operator --ignore-not-found=true
   kubectl delete clusterrole addon-istio-operator --ignore-not-found=true
   

2. 删除 IOP。

   • 列示 IOP 资源:

     kubectl get iop -A
     

   • 删除列出的每个 IOP 资源：

     kubectl delete IstioOperator <resource_name> -n <namespace>
     

步骤 6：删除ConfigMap

由于先前已保存 ConfigMap，因此可以将其除去。

除去 managed-istio-custom ConfigMap。

kubectl delete cm -n ibm-operators managed-istio-custom

除去附加组件已完成，您可以根据需要继续使用和升级社区 Istio。