前提: (官方提供)

1）：确认使用的是Kubernetes服务器的受支持版本（ 1.13、1.14、1.15）：kubectl （官方提供，应该是1.13版本以上，我的是1.16版本）

kubectl version --short

Client Version: v1.16.2

Server Version: v1.16.2

2): admissionregistration.k8s.io/v1beta1 应该启用

kubectl api-versions | grep admissionregistration.k8s.io/v1beta1

admissionregistration.k8s.io/v1beta1

3): 验证MutatingAdmissionWebhook和ValidatingAdmissionWebhook插件列在中kube-apiserver --enable-admission-plugins

4): 验证Kubernetes api服务器是否与webhook容器具有网络连接。例如，错误的http_proxy设置可能会干扰api服务器的操作

Sidecar自动注入:

使用Istio 提供的变异Webhook 接纳控制器，可以将Sidecar自动添加到适用的Kubernetes吊舱中

启用注入Webhook后，创建的所有新Pod都会自动添加一个Sidecar。

与手动注入不同，自动注入发生在容器级。您不会看到部署本身的任何更改。相反，您需要（通过kubectl describe）检查各个容器，以查看注入的代理

部署应用(没开启自动注入):验证部署和Pod是否具有单个容器: nexus.yml

apiVersion: apps/v1

kind: Deployment

metadata:

  name: nexus

spec:

  selector:

    matchLabels:

       name: nexus

  replicas: 1

  template:

    metadata:

      labels:

        name: nexus

    spec:

      containers:

      - name: nexus

        image: sonatype/nexus3

        ports:

        - containerPort: 8081

---

apiVersion: v1

kind: Service

metadata:

   name: nexus

spec:

  ports:

    - port: 8081

      targetPort: 8081

#  # ClusterIP, NodePort, LoadBalancer

  type: NodePort

  selector:

    name: nexus

查看:

kubectl apply -f nexus.yml 

deployment.apps/nexus created

service/nexus created

root@master:/usr/local/k8s# kubectl get pods

NAME                     READY   STATUS              RESTARTS   AGE

nexus-69c9458b8f-wj9ns   1/1     Running                0       5s

部署应用(开启自动注入):

用default命名空间标记istio-injection=enabled:

kubectl label namespace default istio-injection=enabled

# 打印

namespace/default labeled

kubectl get namespace -L istio-injection

# 打印

NAME              STATUS   AGE   ISTIO-INJECTION

default           Active   37m   enabled  (打印出这个就标记成功)

istio-system      Active   34m

kube-node-lease   Active   38m

kube-public       Active   38m

kube-system       Active   38m

修改nexus.yml：

apiVersion: apps/v1

kind: Deployment

metadata:

  name: nexus

spec:

  selector:

    matchLabels:

       name: nexus

  replicas: 1

  template:

    metadata:

      annotations:

        sidecar.istio.io/inject: "true"

      labels:

        name: nexus

    spec:

      containers:

      - name: nexus

        image: sonatype/nexus3

        ports:

        - containerPort: 8081

---

apiVersion: v1

kind: Service

metadata:

   name: nexus

spec:

  ports:

    - port: 8081

      targetPort: 8081

#  # ClusterIP, NodePort, LoadBalancer

  type: NodePort

  selector:

    name: nexus

部署:

 kubectl apply -f nexus.yml 

deployment.apps/nexus configured

service/nexus unchanged

 kubectl get pod

NAME                     READY   STATUS            RESTARTS   AGE

nexus-54cc6bd9cc-f6ghk   2/2     Running           0           4s

nexus-69c9458b8f-wj9ns   1/1     Running           0           2m

注入发生在容器创建时间。杀死正在运行的吊舱，并验证是否使用注入的边车创建了一个新吊舱。原始容器具有1/1 READY容器，而注入侧车的容器具有2/2 READY容器

查看已注入容器的详细状态。可以看到注入的istio-proxy容器和相应的内容:

kubectl describe pod <pod name>

使用sidecar.istio.io/inject注释禁用边车注入:

  template:

    metadata:

      annotations:

        sidecar.istio.io/inject: "false"     # 修改成false

      labels:

        name: nexus

巴特西

Kubernetes-Istio之Sidecar自动注入

Sidecar自动注入:

最新文章

热门文章