sidecar-inject代码分析
Istio通过对serviceMesh中的每个pod注入sidecar,来实现无侵入式的服务治理能力。其中,sidecar的注入是其能力实现的重要一环(本文主要介绍在kubernetes集群中的注入方式)。sidecar注入有两种方式,一是通过创建webhook资源,利用k8s的webhook能力实现pod的自动注入,二是通过istioctl工具,对yaml文件进行手动注入。在这里对这两种方式进行简单介绍。
一、webhook自动注入:
a) 准备条件:
i. 自动注入功能需要kubernetes 1.9或更高版本;
ii. 需要在kube-apiserver的启动参数中加入--admission-control=MutatingAdmissionWebhook,ValidatingAdmissionWebhook
iii. k8s中webhook需要签名密钥对,用于自动注入时的认证鉴权。(此处可通过install/kubernetes/webhook-create-signed-cert.sh脚本生成,这个脚本会调用kubernetes的CSR API生成一个具有K8S签名的密钥对,用于Webhook。然后建立一个secret存放证书信息。)
iv. 可通过在sidecar-injector的configmap中设置policy=disabled字段来设置是否启用自动注入,同时也可以在deployment中通过设置annotation,sidecar.istio.io/inject=true来控制pod级别的自动注入。
v. 为需要自动注入的namespace打上标签istio-injection: enabled。
vi. 确保master到node容器网络通信正常。
b) 定义webhook文件,格式如下(在helm包的sidecarInject中)。这里的语义就是,监听具有istio-injection: enabled的label的namespace下的pod资源,当发生rules(CREATE POD)的动作时,则调用services(istio-sidecar-injector.namespace的/inject接口)。
apiVersion: admissionregistration.k8s.io/v1beta1
kind: MutatingWebhookConfiguration
metadata:
name: istio-sidecar-injector
namespace: {{ .Release.Namespace }}
labels:
app: istio-sidecar-injector
webhooks:
- name: sidecar-injector.istio.io
clientConfig:
service:
name: istio-sidecar-injector
namespace: {{ .Release.Namespace }}
path: "/inject"
caBundle: ""
rules:
- operations: [ "CREATE" ]
apiGroups: [""]
apiVersions: ["v1"]
resources: ["pods"]
failurePolicy: Fail
namespaceSelector:
matchLabels:
istio-injection: enabled
c)
webhook工作流程图
d)
inject代码分析(代码位置pilot/pkg/kube/inject/webhook.go):
i.
sidecar-inject接收kube-master发出的自动注入请求,并校验、解析请求结构体(请求体中包含触发条件中,creating的pod的结构体。)
ii.
判断是否需要注入,筛选满足条件的pod,筛选条件包括:是否开启了hostNewWork、是否为需要注入的ns、annotation中是否指定为需要注入等条件;
iii.
若满足条件则进行注入,注入的sidecar的镜像信息、启动参数、挂载信息等内容,存储在sidecar-inject的configmap中,注入时会从configmap中提取对应的值,填到模板中,再将填好值的模板注入到pod中;
iv.
将注入好的pod信息返还给kube-master,完成自动注入。
二、istioctl手动注入(代码位置istioctl/cmd/istioctl/inject;
pilot/pkg/kube/inject/inject.go):
a)
手动注入操作步骤:
i.
下载istioctl工具并拷贝至环境,链接https://github.com/istio/istio/releases/
;
ii.
将istioctl二进制拷贝至/usr/local/bin目录下
mv -f istioctl /usr/local/bin
iii. 安装Istio控制面,确认注入相关configmap已创建成功
$ kubectl get cm -n istio-system | grep istio-sidecar-injector
istio-sidecar-injector 1 15h
iv. 准备需要注入的文件test.yaml
v. 执行istioctl会在原始内容的基础上加入sidecar的配置内容,并输出到控制台。
$ istioctl kube-inject -f test.yaml
vi. 将istioctl处理之后的内容部署到kubernetes上
$kubectl apply -f <(istioctl kube-inject -f test.yaml)
vii. 可以通过k8s命令查看pod详细内容
$kubectl describe pod test-c9f4b55c7-np4cf
b) 代码分析:
i. 首先打开原始deploy.yaml文件或读取控制台输入,读取为文件流;
ii. 从config文件或k8s的configmap中读取sidecar模板所需的值(同上述c中第三步)。
iii. 将上步得到的值填入sidecar模板中,生成模板实例;
iv. 将模板实例注入到源deployment中,生成注入好的文件。
三、总结:
这里更推荐自动注入的方式来实现sidecar的注入,可以通过在deployment的annotation中加入对应的key来实现自动注入的控制。而源码部分,注入的逻辑并不复杂,主要是对k8s中webhook的使用,以及通过模板,向deployment中注入相应的container资源等。
最新文章
- MySQL安装与设置
- eclipse安装Veloeclipse
- C#性能测试方法
- Tomcat部署方式
- no module named staticfiles
- Miller_Rabin (米勒-拉宾) 素性测试
- UVa 1587 Box
- C# 3.0 基本框架
- Android用户界面 UI组件--TextView及其子类(三) EditView以及各种Span文字样式讲解
- perl中 wx返回的json需要encode_utf8($d);
- WebStorm下载,破解,汉化,debug调试,以及会debug会出现的问题
- 转 InnoDB索引
- 网易云音乐 歌词制作软件 BesLyric (最新版本下载)
- makefile如果没有符合的显式规则将会使用隐式规则
- poj 1274 The Perfect Stal - 网络流
- oracle库和表空间
- Fiddler抓包原来可以这么玩
- Django之自带认证
- ZH奶酪:PHP解析URL及parse_url、parse_str、explode、implode函数说明
- poj_1204 Trie图
热门文章
- vmWare安装centos7之后使用yum安装提示there are on enabled repos(修改yum源)
- Java TreeSet,Collections使用
- SQLServer stuff函数
- Gradle vs. Maven: Performance, Compatibility, Speed, &; Builds
- Maltego更新到4.2.6
- Python之Django之views中视图代码重复查询的优化
- shell编程系列1--shell脚本中的变量替换
- osg include lib -computer1
- python web开发——django学习(一)第一个连接mysql数据库django网站运行成功
- python中验证码连通域分割的方法详解