Comment installer et utiliser Istio avec Kubernetes

Un maillage de service est une couche d’infrastructure qui vous permet de gérer la communication entre les microservices de votre application. Tandis que de plus en plus de développeurs utilisent des microservices, les mailles de service ont évolué pour simplifier et rendre plus efficace ce travail en consolidant les tâches de gestion et d'administration courantes dans une configuration distribuée.

L'utilisation d'un maillage de services commeIstio peut simplifier des tâches telles que la découverte de services, le routage et la configuration du trafic, le chiffrement et l'authentification / autorisation, ainsi que la surveillance et la télémétrie. Istio, en particulier, est conçu pour fonctionner sans modifications majeures du code de service préexistant. Lorsque vous travaillez avecKubernetes, par exemple, il est possible d'ajouter des fonctionnalités de maillage de service aux applications exécutées dans votre cluster en créant des objets spécifiques à Istio qui fonctionnent avec les ressources d'application existantes.

Dans ce didacticiel, vous allez installer Istio à l'aide du gestionnaire de packagesHelm pour Kubernetes. Vous utiliserez ensuite Istio pour exposer une application de démonstrationNode.js au trafic externe en créant des ressourcesGateway etVirtual Service. Enfin, vous accéderez au module complémentaire de télémétrieGrafana pour visualiser les données de trafic de votre application.

Pour compléter ce tutoriel, vous aurez besoin de:

[.note] #Note: Nous recommandons vivement un cluster avec au moins 8 Go de mémoire disponible et 4 processeurs virtuels pour cette configuration. Ce didacticiel utilisera trois des droplets standard de 4 Go / 2vCPU de DigitalOcean comme nœuds.
#

[[step-1 -—- packaging-the-application]] == Étape 1 - Empaquetage de l'application

Pour utiliser notre application de démonstration avec Kubernetes, nous devrons cloner le code et le conditionner afin que leskubelet agent puissent extraire l'image.

Notre première étape sera de cloner lesnodejs-image-demo respository à partir desDigitalOcean Community GitHub account. Ce référentiel comprend le code de la configuration décrite dansHow To Build a Node.js Application with Docker, qui décrit comment créer une image pour une application Node.js et comment créer un conteneur à l'aide de cette image. Vous pouvez trouver plus d'informations sur l'application elle-même dans la sérieFrom Containers to Kubernetes with Node.js.

Pour commencer, clonez le référentiel nodejs-image-demo dans un répertoire appeléistio_project:

Accédez au répertoireistio_project:

Ce répertoire contient les fichiers et les dossiers d'une application d'informations sur les requins qui offre aux utilisateurs des informations de base sur les requins. Outre les fichiers de l'application, le répertoire contient un fichier Docker avec des instructions pour créer une image Docker avec le code de l'application. Pour plus d'informations sur les instructions du Dockerfile, consultezStep 3 of How To Build a Node.js Application with Docker.

Pour tester que le code de l'application et Dockerfile fonctionnent comme prévu, vous pouvez créer et baliser l'image à l'aide de la commandedocker build, puis utiliser l'image pour exécuter un conteneur de démonstration. L'utilisation de l'indicateur-t avecdocker build vous permettra de baliser l'image avec votre nom d'utilisateur Docker Hub afin de pouvoir la transmettre à Docker Hub une fois que vous l'avez testée.

Construisez l'image avec la commande suivante:

Le. dans la commande spécifie que le contexte de construction est le répertoire courant. Nous avons nommé l'imagenode-demo, mais vous êtes libre de lui donner un autre nom.

Une fois le processus de construction terminé, vous pouvez lister vos images avecdocker images:

Vous verrez la sortie suivante confirmant la construction de l'image:

Ensuite, vous utiliserezdocker run pour créer un conteneur basé sur cette image. Nous allons inclure trois drapeaux avec cette commande:

Exécutez la commande suivante pour construire le conteneur:

Inspectez vos conteneurs en cours d'exécution avecdocker ps:

Vous verrez une sortie confirmant que votre conteneur d'application est en cours d'exécution:

Vous pouvez maintenant visiter l'adresse IP de votre serveur pour tester votre configuration:http://your_server_ip. Votre application affichera la page de destination suivante:

Maintenant que vous avez testé l'application, vous pouvez arrêter le conteneur en cours d'exécution. Utilisez à nouveaudocker ps pour obtenir vosCONTAINER ID:

Arrêtez le conteneur avecdocker stop. Assurez-vous de remplacer lesCONTAINER ID listés ici par votre propre applicationCONTAINER ID:

Maintenant que vous avez testé l'image, vous pouvez la transférer vers Docker Hub. Commencez par vous connecter au compte Docker Hub que vous avez créé dans les conditions préalables:

Lorsque vous y êtes invité, entrez le mot de passe de votre compte Docker Hub. La connexion de cette manière créera un fichier~/.docker/config.json dans le répertoire de base de votre utilisateur non root avec vos informations d'identification Docker Hub.

Poussez l'image de l'application vers Docker Hub avec lesdocker push command. N'oubliez pas de remplaceryour_dockerhub_username par votre propre nom d'utilisateur Docker Hub:

Vous disposez maintenant d'une image d'application que vous pouvez extraire pour exécuter votre application avec Kubernetes et Istio. Ensuite, vous pouvez installer Istio avec Helm.

[[step-2 -—- Installing-istio-with-helm]] == Étape 2 - Installation d'Istio avec Helm

Bien que Istio propose différentes méthodes d'installation, la documentation recommande d'utiliser Helm pour maximiser la flexibilité dans la gestion des options de configuration. Nous installerons Istio avec Helm et nous nous assurerons que l’addon Grafana est activé afin de pouvoir visualiser les données de trafic de notre application.

Premièrement, ajoutez le référentiel de versions d'Istio:

Cela vous permettra d'utiliser les graphiques Helm du référentiel pour installer Istio.

Vérifiez que vous avez le repo:

Vous devriez voir le repoistio.io répertorié:

Ensuite, installez lesCustom Resource Definitions (CRD) d'Istio avec le graphiqueistio-init en utilisant leshelm install command:

Cette commande valide 53 CRD dans leskube-apiserver, les rendant disponibles pour une utilisation dans le maillage Istio. Il crée également unnamespace pour les objets Istio appelésistio-system et utilise l'option--name pour nommer les Helmreleaseistio-init. Une version dans Helm fait référence à un déploiement particulier d'un graphique avec des options de configuration spécifiques activées.

Pour vérifier que tous les CRD requis ont été validés, exécutez la commande suivante:

Cela devrait afficher le nombre53.

Vous pouvez maintenant installer le graphiqueistio. Pour nous assurer que l'addon de télémétrie Grafana est installé avec le graphique, nous utiliserons l'option de configuration--set grafana.enabled=true avec notre commandehelm install. Nous utiliserons également le protocole d'installation pour nosconfiguration profile souhaités: le profil par défaut. Istio a un certain nombre de profils de configuration à choisir lors de l'installation avec Helm qui vous permettent de personnaliser les Istiocontrol plane and data plane sidecars. Le profil par défaut est recommandé pour les déploiements en production. Nous nous en servirons pour nous familiariser avec les options de configuration que nous utiliserions lors du passage à la production.

Exécutez la commandehelm install suivante pour installer le graphique:

Encore une fois, nous installons nos objets Istio dans l'espace de nomsistio-system et nommons la version - dans ce cas,istio.

Nous pouvons vérifier que lesService objects que nous attendons pour le profil par défaut ont été créés avec la commande suivante:

Les services que nous nous attendons à voir ici incluentistio-citadel,istio-galley,istio-ingressgateway,istio-pilot,istio-policy,istio-sidecar-injector,istio-telemetry etprometheus. Nous nous attendrions également à voir le servicegrafana, puisque nous avons activé cet addon lors de l'installation:

Nous pouvons également vérifier les IstioPods correspondants avec la commande suivante:

Les pods correspondant à ces services doivent avoir unSTATUS deRunning, indiquant que les pods sont liés à des nœuds et que les conteneurs associés aux pods sont en cours d'exécution:

Le champREADY indique le nombre de conteneurs en cours d'exécution dans un pod. Pour plus d'informations, veuillez consulter lesdocumentation on Pod lifecycles.

[.Remarque]##

Note:
Si vous voyez des phases inattendues dans la colonneSTATUS, n'oubliez pas que vous pouvez dépanner vos pods avec les commandes suivantes:

La dernière étape de l'installation d'Istio consistera à permettre la création de proxysEnvoy, qui seront déployés en tant quesidecars vers les services exécutés dans le maillage.

Les sidecars sont généralement utilisés pour ajouter une couche supplémentaire de fonctionnalités dans les environnements de conteneur existants. Lesmesh architecture d'Istio reposent sur la communication entre les side-cars Envoy, qui comprennent le plan de données du maillage, et les composants du plan de contrôle. Pour que le maillage fonctionne, nous devons nous assurer que chaque pod du maillage exécutera également un sidecar Envoy.

Il existe deux façons d'atteindre cet objectif:manual sidecar injection etautomatic sidecar injection. Nous allons activer l'injection automatique de side-car parlabeling l'espace de noms dans lequel nous allons créer nos objets d'application avec l'étiquetteistio-injection=enabled. Cela garantira que le contrôleurMutatingAdmissionWebhook peut intercepter les requêtes adressées auxkube-apiserver et effectuer une action spécifique - dans ce cas, garantir que tous nos pods d'application démarrent avec un side-car.

Nous utiliserons l'espace de nomsdefault pour créer nos objets d'application, nous appliquerons donc l'étiquetteistio-injection=enabled à cet espace de noms avec la commande suivante:

Nous pouvons vérifier que la commande a fonctionné comme prévu en lançant:

Vous verrez la sortie suivante:

Avec Istio installé et configuré, nous pouvons passer à la création de notre application Service et des objetsDeployment.

[[step-3 -—- creation-application-objects]] == Étape 3 - Création d'objets d'application

Avec le maillage Istio en place et configuré pour injecter des pods side-car, nous pouvons créer une applicationmanifest avecspecifications pour nos objets Service et Deployment. Les spécifications d’un manifeste Kubernetes décrivent l’état souhaité de chaque objet.

Notre service d’application veillera à ce que les pods exécutant nos conteneurs restent accessibles dans un environnement dynamique, au fur et à mesure de la création et de la destruction de pods individuels, tandis que notre déploiement décrira l’état souhaité de nos pods.

Ouvrez un fichier appelénode-app.yaml avecnano ou votre éditeur préféré:

Tout d'abord, ajoutez le code suivant pour définir le service d'applicationnodejs:

~/istio_project/node-app.yaml

Cette définition de service inclut unselector qui correspondra aux pods avec le libelléapp: nodejs correspondant. Nous avons également spécifié que le service ciblera le port8080 sur n'importe quel pod avec le libellé correspondant.

Nous nommons également le port de service, conformément auxrequirements for Pods and Services d'Istio. La valeurhttp est l'une des valeurs qu'Istio acceptera pour le champname.

Ensuite, sous le service, ajoutez les spécifications suivantes pour l'application Deployment. Assurez-vous de remplacer lesimage répertoriés sous la spécificationcontainers par l'image que vous avez créée et transférée vers Docker Hub dansStep 1:

~/istio_project/node-app.yaml

Les spécifications de ce déploiement incluent le nombre dereplicas (dans ce cas, 1), ainsi qu'unselector qui définit les pods que le déploiement gérera. Dans ce cas, il gérera les pods avec le labelapp: nodejs.

Le champtemplate contient des valeurs qui effectuent les opérations suivantes:

Enregistrez et fermez le fichier une fois l’édition terminée.

Avec ce fichier en place, nous pouvons passer à la modification du fichier qui contiendra les définitions des objets Gateway et Virtual Service, qui contrôlent la façon dont le trafic entre dans le maillage et comment il est routé une fois là-bas.

[[step-4 -—- creation-istio-objects]] == Étape 4 - Création d'objets Istio

Pour contrôler l'accès à un cluster et le routage vers les services, Kubernetes utilise IngressResources etControllers. Ingress Resources définit des règles pour le routage HTTP et HTTPS vers les services de cluster, tandis que les contrôleurs chargent le trafic entrant et le routent vers les services appropriés.

Pour plus d'informations sur l'utilisation des ressources et des contrôleurs Ingress, consultezHow to Set Up an Nginx Ingress with Cert-Manager on DigitalOcean Kubernetes.

Istio utilise un ensemble d'objets différent pour atteindre des objectifs similaires, avec toutefois des différences importantes. Au lieu d'utiliser un contrôleur pour équilibrer la charge du trafic, le maillage Istio utilise unGateway, qui fonctionne comme un équilibreur de charge qui gère les connexions HTTP / TCP entrantes et sortantes. La passerelle permet ensuite d'appliquer des règles de surveillance et de routage au trafic entrant dans le maillage. Plus précisément, la configuration qui détermine le routage du trafic est définie en tant que service virtuel. Chaque service virtuel inclut des règles de routage qui correspondent à des critères avec un protocole et une destination spécifiques.

Bien que Kubernetes Ingress Resources / Controllers et Istio Gateways / Virtual Services présentent certaines similitudes fonctionnelles, la structure du maillage introduit d'importantes différences. Les ressources et les contrôleurs Kubernetes Ingress offrent aux opérateurs certaines options de routage, par exemple, mais les passerelles et les services virtuels offrent un ensemble de fonctionnalités plus robustes, car ils permettent au trafic d'entrer dans le maillage. En d'autres termes, les capacitésapplication layer limitées que les contrôleurs et ressources Kubernetes Ingress mettent à la disposition des opérateurs de cluster n'incluent pas les fonctionnalités - y compris le routage avancé, le traçage et la télémétrie - fournies par les side-cars dans le maillage de services Istio.

Pour autoriser le trafic externe dans notre maillage et configurer le routage vers notre application Nœud, nous devrons créer une passerelle Istio et un service virtuel. Ouvrez un fichier appelénode-istio.yaml pour le manifeste:

Tout d’abord, ajoutez la définition de l’objet Gateway:

~/istio_project/node-isto.yaml

En plus de spécifier unname pour la passerelle dans le champmetadata, nous avons inclus les spécifications suivantes:

Sous la définition de la passerelle, ajoutez les spécifications du service virtuel:

~/istio_project/node-istio.yaml

En plus de fournir unname pour ce service virtuel, nous incluons également des spécifications pour cette ressource qui incluent:

Enregistrez et fermez le fichier une fois l’édition terminée.

Une fois vos fichiersyaml en place, vous pouvez créer le service et le déploiement de votre application, ainsi que les objets de passerelle et de service virtuel qui permettront d'accéder à votre application.

[[step-5 -—- creation-application-resources-and-enabled-telemetry-access]] == Étape 5 - Création de ressources d'application et activation de l'accès à la télémétrie

Une fois que vous avez créé vos objets Service et Déploiement d’application, ainsi qu’une passerelle et un service virtuel, vous pourrez générer des requêtes vers votre application et consulter les données associées dans vos tableaux de bord Istio Grafana. Cependant, vous devrez d'abord configurer Istio pour exposer l'addon Grafana afin de pouvoir accéder aux tableaux de bord de votre navigateur.

Nous allonsenable Grafana access with HTTP, mais lorsque vous travaillez en production ou dans des environnements sensibles, il est fortement recommandé deenable access with HTTPS.

Parce que nous avons défini l'option de configuration--set grafana.enabled=true lors de l'installation d'Istio dansStep 2, nous avons un service Grafana et un pod dans notre espace de nomsistio-system, ce que nous avons confirmé à cette étape.

Avec ces ressources déjà en place, notre prochaine étape consistera à créer un manifeste pour une passerelle et un service virtuel afin de pouvoir exposer l'addon Grafana.

Ouvrez le fichier pour le manifeste:

Ajoutez le code suivant au fichier pour créer une passerelle et un service virtuel afin d'exposer et d'acheminer le trafic vers le service Grafana:

~/istio_project/node-grafana.yaml

Nos spécifications Grafana Gateway et Virtual Service sont similaires à celles que nous avons définies pour notre application Gateway et Virtual Service enStep 4. Il y a cependant quelques différences:

[.note] #Note: Parce que notreMeshPolicy actuel est configuré pour exécuter TLS danspermissive mode, nous n'avons pas besoin d'appliquer unDestination Rule à notre manifeste. Si vous avez sélectionné un profil différent avec votre installation Istio, vous devrez ajouter une règle de destination pour désactiver le TLS mutuel lors de l'activation de l'accès à Grafana avec HTTP. Pour plus d'informations sur la façon de procéder, vous pouvez vous référer auxofficial Istio documentaion sur l'activation de l'accès aux modules complémentaires de télémétrie avec HTTP.
#

Enregistrez et fermez le fichier une fois l’édition terminée.

Créez vos ressources Grafana avec la commande suivante:

La commandekubectl apply vous permet d'appliquer une configuration particulière à un objet en cours de création ou de mise à jour. Dans notre cas, nous appliquons la configuration que nous avons spécifiée dans le fichiernode-grafana.yaml à nos objets Gateway et Virtual Service en cours de création.

Vous pouvez jeter un œil à la passerelle dans l'espace de nomsistio-system avec la commande suivante:

Vous verrez la sortie suivante:

Vous pouvez faire la même chose pour le service virtuel:

Avec ces ressources créées, nous devrions pouvoir accéder à nos tableaux de bord Grafana dans le navigateur. Avant de le faire, cependant, créons notre service et déploiement d’application, ainsi que notre passerelle d’application et service virtuel, et vérifions que nous pouvons accéder à notre application dans le navigateur.

Créez l'application Service et déploiement avec la commande suivante:

Attendez quelques secondes, puis vérifiez les pods de votre application à l'aide de la commande suivante:

Vos conteneurs d'application sont en cours d'exécution, comme vous pouvez le voir dans la colonneSTATUS, mais pourquoi la colonneREADY répertorie-t-elle2/2 si l'application manifeste deStep 3 n'a spécifié qu'un seul réplica?

Ce deuxième conteneur est le sidecar Envoy, que vous pouvez inspecter avec la commande suivante. Assurez-vous de remplacer le pod répertorié ici par lesNAME de votre propre podnodejs:

Ensuite, créez votre application Gateway et Virtual Service:

Vous pouvez inspecter la passerelle avec la commande suivante:

Et le service virtuel:

Nous sommes maintenant prêts à tester l'accès à l'application. Pour ce faire, nous aurons besoin de l'adresse IP externe associée à notre serviceistio-ingressgateway, qui est unLoadBalancer Service type.

Obtenez l'adresse IP externe pour le serviceistio-ingressgateway avec la commande suivante:

Vous verrez une sortie comme celle-ci:

Lesistio-ingressgateway doivent être le seul service avec lesTYPELoadBalancer, et le seul service avec une adresse IP externe.

Accédez à cette adresse IP externe dans votre navigateur:http://ingressgateway_ip.

Vous devriez voir la page de destination suivante:

Ensuite, générez une charge sur le site en cliquant sur Actualiser cinq ou six fois.

Vous pouvez maintenant consulter le tableau de bord Grafana pour examiner les données de trafic.

Dans votre navigateur, accédez à l'adresse suivante, en utilisant à nouveau votre IP externeistio-ingressgateway et le port que vous avez défini dans votre manifeste Grafana Gateway:http://ingressgateway_ip:15031.

Vous verrez la page de destination suivante:

Cliquer surHome en haut de la page vous amènera à une page avec un dossieristio. Pour obtenir une liste d'options déroulantes, cliquez sur l'icône du dossieristio:

Dans cette liste d'options, cliquez surIstio Service Dashboard.

Cela vous mènera à une page de destination avec un autre menu déroulant:

Sélectionneznodejs.default.svc.cluster.local dans la liste des options disponibles.

Vous pourrez maintenant consulter les données de trafic pour ce service:

Vous avez maintenant une application Node.js fonctionnelle fonctionnant dans un maillage de service Istio avec Grafana activé et configuré pour un accès externe.

Dans ce didacticiel, vous avez installé Istio à l'aide du gestionnaire de packages Helm et vous l'avez utilisé pour exposer un service d'application Node.js à l'aide d'objets Gateway et Virtual Service. Vous avez également configuré les objets Gateway et Virtual Service pour exposer l'addon de télémétrie Grafana, afin d'examiner les données de trafic de votre application.

Au fur et à mesure que vous passez à la production, vous souhaiterez prendre des mesures telles quesecuring your application Gateway with HTTPS et vous assurer que l'accès à votre service Grafana est égalementsecure.

Vous pouvez également explorer d'autrestelemetry-related tasks, y compriscollecting and processing metrics,logs ettrace spans.