Istio服务网格完全指南：从原理到生产环境实验教程（2026版）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

无服务网格：                        有服务网格：
┌──────────┐                       ┌──────────┐ ┌───────┐
│服务A代码 │───业务代码内嵌──→     │服务A代码 │──│Envoy │──→
│ (HTTP)  │   重试/熔断/鉴权       │(纯业务)  │  │Sidecar│
└──────────┘                       └──────────┘ └───┬───┘
                                                    │
                                                    │ 统一接管
                                                    ↓
                                            ┌───────────────┐
                                            │  Control Plane │
                                            │  (Istiod)     │
                                            └───────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

┌──────────────────────────────────────────────────────────────┐
│                         Data Plane                            │
│                                                              │
│  ┌──────────┐   ┌───────┐    ┌───────┐   ┌───────┐         │
│  │ Service A│───│Envoy A│────│Envoy B│───│Service B│        │
│  └──────────┘   └───────┘    └───────┘   └──────────┘       │
│         ↕             ↕              ↕             ↕           │
│  所有出/入流量经Envoy Sidecar统一处理：                      │
│  • 流量路由      • mTLS加密     • 指标采集   • 追踪header   │
│  • 重试/超时    • 访问策略      • 熔断       • 请求染色     │
└──────────────────────────────────────────────────────────────┘
                              ↑
                              │ xDS API (gRPC)
                              │
┌──────────────────────────────────────────────────────────────┐
│                        Control Plane (Istiod)                 │
│                                                              │
│  ┌─────────────────────────────────────────────────────┐    │
│  │  Pilot：流量管理（VS/DR/SE/Sidecar配置下发）         │    │
│  │  Citadel：安全（证书颁发、mTLS管理）                  │    │
│  │  Galley：配置管理（从K8s APIServer验证配置）         │    │
│  │  以上三者合一体，单进程istiod（简化架构）             │    │
│  └─────────────────────────────────────────────────────┘    │
└──────────────────────────────────────────────────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

Envoy接收请求的完整处理链：
 listener:0.0.0.0:15001 (VirtualInbound，所有入站流量)
    ↓
 FilterChain:
   └── MetadataMatcher: 匹配Pod Labels
         ↓
   NetworkFilters:
     ├── istio_authn: 验证JWT/mTLS身份
     ├── tcp_mongo_proxy: MongoDB协议感知
     ├── tcp_postgres_proxy: PostgreSQL协议感知
     └── http_connection_manager: HTTP/gRPC处理
           ↓
         HTTPFilters:
           ├── istio.authorization: RBAC策略执行
           ├── envoy.cors: CORS处理
           ├── envoy.router: 路由匹配（VirtualService规则）
           ├── ext_authz: 外部授权
           └── rate_limit: 限流
                 ↓
           cluster: upstream服务（最终转发目标）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews                    # 匹配K8s Service名
  http:
    - name: "reviews-default"
      match: []
      route:
        - destination:
            host: reviews        # K8s Service名
            subset: v1           # 引用DestinationRule中的subset
          weight: 50
        - destination:
            host: reviews
            subset: v2
          weight: 50             # 50%流量到v2（金丝雀发布）
    - name: "reviews-canary"
      match:
        - headers:               # 满足以下header条件的请求走v3
            end-user:
              exact: alice
      route:
        - destination:
            host: reviews
            subset: v3
          weight: 100
      retries:                   # 重试配置
        attempts: 3
        perTryTimeout: 2s
        retryOn: gateway-error,connect-failure,reset
      timeout: 5s                # 超时配置
      rewrite:                   # URL重写
        uri: /api/v1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews
spec:
  host: reviews
  trafficPolicy:
    connectionPool:
      tcp:
        maxConnections: 100
      http:
        h2UpgradePolicy: UPGRADE   # HTTP/2升级
        http1MaxPendingRequests: 100
        http2MaxRequests: 1000
    loadBalancer:
      simple: LEAST_REQUEST         # 最少连接数负载均衡
      consistentHash:
        httpHeaderName: "x-user-id" # 会话保持
    outlierDetection:
      consecutive5xxErrors: 5
      interval: 30s
      baseEjectionTime: 30s
      maxEjectionPercent: 50

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

apiVersion: networking.istio.io/v1beta1
kind: Gateway
metadata:
  name: bookinfo-gateway
spec:
  selector:
    istio: ingressgateway          # 绑定到Istio Ingress Gateway Pod
  servers:
    - port:
        number: 80
        name: http
        protocol: HTTP
      hosts:
        - "bookinfo.example.com"
      tls:
        httpsRedirect: true        # HTTP重定向到HTTPS
    - port:
        number: 443
        name: https
        protocol: HTTPS
      hosts:
        - "bookinfo.example.com"
      tls:
        mode: SIMPLE
        credentialName: bookinfo-cert   # 引用K8s Secret中的证书

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

apiVersion: networking.istio.io/v1beta1
kind: ServiceEntry
metadata:
  name: external-payment-api
spec:
  hosts:
    - payment.external-api.com
  location: MESH_EXTERNAL          # 网格外部
  resolution: DNS                   # DNS解析
  ports:
    - number: 443
      name: https
      protocol: HTTPS
  endpoints:                        # 可选：手动指定外部服务地址
    - address: 203.0.113.10
      ports:
        https: 443

1
2
3
4
5
6
7

┌────────────────────────────────────────┐
│  身份层（Identity）                     │  SPIFFE/SPIRE，K8s SA → X.509证书
├────────────────────────────────────────┤
│  加密层（Encryption）                  │  mTLS，全程加密
├────────────────────────────────────────┤
│  策略层（Authorization）               │  AuthorizationPolicy，RBAC
└────────────────────────────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

Service A → Service B 的 mTLS 握手过程：

1. Citadel为每个Pod签发证书（含SPIFFE ID）：
   spiffe://cluster.local/ns/default/sa/default

2. Service A 发起请求，Envoy拦截

3. Envoy间TLS握手：
   ┌─────────┐                         ┌─────────┐
   │Envoy A  │─── ClientHello + 证书 ──→│Envoy B  │
   │         │←── ServerHello + 证书 ──│         │
   │         │─── 密钥协商完成 ────────→│         │
   │         │←── 加密通信建立 ────────│         │
   └─────────┘                         └─────────┘

4. mTLS建立后，Envoy B验证Envoy A的证书链，
   确认请求来自合法的工作负载

5. 加密隧道建立，流量在整个传输层都是加密的

1
2
3
4
5
6
7
8
9

# 开启严格mTLS
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: istio-system
spec:
  mtls:
    mode: STRICT      # STRICT=全部mTLS，PERMISSIVE=宽容（可观测），DISABLE=关闭

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 允许productpage读取reviews，但禁止写入
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: reviews-access-policy
  namespace: default
spec:
  selector:
    matchLabels:
      app: reviews
  rules:
    - from:
        - source:
            principals:           # 只允许来自productpage的mTLS身份
              - "cluster.local/ns/default/sa/bookinfo-productpage"
      when:
        - key: request.headers[x-forwarded-user]
          values: ["alice", "bob"]   # Header白名单
      to:
        - operation:
            methods: ["GET"]         # 只允许GET方法
            paths: ["/reviews/*"]
    - to:                              # 允许healthz健康检查
        - operation:
            paths: ["/health", "/ready"]

1
2
3
4

# istio_requests_total：所有请求的总量和分类统计
# istio_request_duration_milliseconds：请求延迟分布
# istio_request_bytes/response_bytes：请求/响应体大小
# istio_tcp_connectionsOpened/Closed：TCP连接统计

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

Ambient模式架构：

          Waypoint Proxy（每服务或每Namespace一个）
              ↑ L7处理（Envoy）
              │
  ┌──────────┴──────────┐
  │      Ztunnel         │  ← 节点级DaemonSet，L4零信任加密
  │  (每节点一个)        │
  └──────────┬──────────┘
              ↑
        Pod A       Pod B    ← 无Sidecar，全节点共享ztunnel

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

实验环境：
• Kubernetes：minikube（单节点，适合学习）或 kind
• Istio版本：1.24.x（最新稳定版）
• Kubernetes版本：1.30.x
• 实验节点规划：
  - minikube：2核CPU / 8GB内存 / 50GB磁盘
  - Kubernetes：单节点（学习用）

最终效果：
• Bookinfo微服务应用完整部署
• Ingress Gateway外部访问
• 金丝雀发布（v1→v2 5%流量）
• mTLSstrict模式验证
• Kiali可视化流量拓扑
• Jaeger分布式追踪
• Prometheus + Grafana监控

1
2
3
4
5
6
7
8
9

# Linux/macOS 安装
curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
sudo install minikube-linux-amd64 /usr/local/bin/minikube

# macOS（Homebrew）
brew install minikube

# Windows（Chocolatey）
choco install minikube -y

1
2
3
4
5
6
7
8

# macOS
brew install kubectl

# Linux
curl -LO "https://dl.k8s.io/release/$(curl -L -s https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl"
chmod +x kubectl && sudo mv kubectl /usr/local/bin/

# Windows：下载kubectl.exe后加入PATH

1
2
3
4
5

# PowerShell（管理员模式）
# 下载kubectl.exe
curl -LO https://dl.k8s.io/release/v1.30.0/bin/windows/amd64/kubectl.exe
# 将kubectl.exe放到PATH目录或执行以下命令
$env:Path += ";C:\path\to\kubectl.exe"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# Linux/macOS：分配2核8GB
minikube start --cpus=4 --memory=8192 --disk-size=50g --driver=docker

# macOS M系列芯片（Docker Desktop）
minikube start --cpus=4 --memory=8192 --driver=docker --container-runtime=containerd

# Windows（Docker Desktop驱动）
minikube start --cpus=4 --memory=8192 --driver=docker --container-runtime=docker

# 验证集群状态
kubectl get nodes
kubectl version --client
kubectl cluster-info

1
2

NAME       STATUS   ROLES           AGE    VERSION
minikube   Ready    control-plane   2m     v1.30.0

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 下载 Istio 1.24.x（Linux/macOS）
curl -L https://istio.io/downloadIstio | sh -
cd istio-1.24.0
export PATH=$PWD/bin:$PATH

# Windows：下载 istio-1.24.0-win.zip，解压后将bin目录加入PATH

# 验证安装
istioctl version

# 客户端版本：1.24.0
# 服务端版本：（未连接集群）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 使用 istioctl 安装（默认 profile，包含完整的控制面组件）
istioctl install --set profile=default -y

# 生产环境推荐用 demo profile（更多组件）或 minimal profile（最小化）
# 查看所有可用的安装 profile
istioctl profile list

# 安装示例：
# minimal：仅控制面，不含ingress/egress gateway
istioctl install --set profile=minimal -y
# demo：完整演示环境
istioctl install --set profile=demo -y
# remote：仅远程安装（边缘节点）
istioctl install --set profile=remote -y

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 添加Istio Helm仓库
helm repo add istio https://istio-release.storage.googleapis.com/charts
helm repo update

# 安装Istiod控制面
helm install istiod istio/istiod \
  --namespace istio-system \
  --create-namespace \
  --set profile=default

# 安装Ingress Gateway
helm install istio-ingress istio/gateway \
  --namespace istio-system \
  --set resources.requests.cpu=500m \
  --set resources.requests.memory=512Mi

1
2
3
4
5
6
7

# 查看 Istio 系统组件
kubectl get pods -n istio-system

# 预期输出（所有Pod Running）：
# NAME                             READY   STATUS    RESTARTS   AGE
# istiod-xxxxx-xxxxx              1/1     Running   0          2m
# istio-ingressgateway-xxxxx      1/1     Running   0          2m

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 为default命名空间开启自动注入
kubectl label namespace default istio-injection=enabled

# 查看命名空间标签
kubectl get ns default --show-labels

# 为其他命名空间开启注入
kubectl label namespace production istio-injection=enabled

# 查看注入状态（每Pod有一个istio-proxy容器则注入成功）
kubectl get pods -n default --show-labels | grep istio-proxy

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

bookinfo架构：
                        ┌─────────────────┐
                        │ Ingress Gateway  │
                        │  (Istio Gateway) │
                        └────────┬────────┘
                                 │ HTTP
                        ┌────────▼────────┐
                        │   productpage   │  ← 前端服务（Python）
                        │   (frontend)    │
                        └────────┬────────┘
                                 │ 内部调用
          ┌──────────────────────┼──────────────────────┐
          │                      │                      │
┌─────────▼─────────┐  ┌────────▼──────────┐  ┌──────▼────────┐
│    reviews        │  │    ratings        │  │   details      │
│  (Java, 3版本)   │  │  (Node.js)       │  │   (Ruby)      │
│ v1: 无星级        │  │                  │  │               │
│ v2: 黑色星级      │  └──────────────────┘  └───────────────┘
│ v3: 红色星级      │
└───────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

# 进入Istio目录
cd istio-1.24.0

# 部署default命名空间
kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml -n default

# 部署gateway
kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml -n default

# 查看Pod状态（等待所有Pod Ready）
kubectl get pods -n default
kubectl get svc -n default

# 预期：
# NAME                             READY   STATUS    RESTARTS   AGE
# details-v1-xxxxx                 2/2     Running   0          30s
# productpage-v1-xxxxx             2/2     Running   0          30s
# ratings-v1-xxxxx                 2/2     Running   0          30s
# reviews-v1-xxxxx                 2/2     Running   0          30s
# reviews-v2-xxxxx                 2/2     Running   0          30s
# reviews-v3-xxxxx                 2/2     Running   0          30s

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# 方式一：minikube环境用 NodePort
minikube addons enable ingress   # 启用ingress插件

# 获取Ingress Gateway外部IP
kubectl get svc istio-ingressgateway -n istio-system

# 获取访问URL
export INGRESS_HOST=$(minikube ip)
export INGRESS_PORT=$(kubectl -n istio-system get svc istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].nodePort}')
export GATEWAY_URL=$INGRESS_HOST:$INGRESS_PORT

echo "访问地址：http://$GATEWAY_URL/productpage"

# 方式二：port-forward（最简单，适用于实验）
kubectl port-forward -n istio-system svc/istio-ingressgateway 8080:80 &

# 浏览器访问
# http://localhost:8080/productpage

1
2
3
4
5
6
7
8

# 测试连通性
curl -s http://localhost:8080/productpage | grep -o "<title>.*</title>"

# 多次访问，观察reviews服务的三个版本轮询（默认Round Robin）
for i in {1..10}; do
  curl -s http://localhost:8080/productpage | grep -o "reviews-v[1-3]"
  sleep 1
done

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews
spec:
  host: reviews
  subsets:
    - name: v1
      labels:
        version: v1
    - name: v2
      labels:
        version: v2
    - name: v3
      labels:
        version: v3

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 应用DestinationRule
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews
spec:
  host: reviews
  subsets:
    - name: v1
      labels:
        version: v1
    - name: v2
      labels:
        version: v2
    - name: v3
      labels:
        version: v3
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    # 路由规则：95% v1，5% v2
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 95
        - destination:
            host: reviews
            subset: v2
          weight: 5
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 观察流量分布（发送100个请求）
echo "开始金丝雀验证，发送100个请求..."
for i in {1..100}; do
  result=$(curl -s http://localhost:8080/productpage | grep -o "reviews-v[1-3]" | head -1)
  echo "$result" >> /tmp/canary_result.txt
  sleep 0.1
done

# 统计分布
echo "=== 流量分布统计 ==="
cat /tmp/canary_result.txt | sort | uniq -c

# 预期：约95个v1，约5个v2，极少v3（如果还有v3的路由规则残留）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

# 将所有流量切换到v3（生产发布标准操作）
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v3
          weight: 100
EOF

echo "已全量切换到v3，验证中..."
sleep 2
curl -s http://localhost:8080/productpage | grep -o "reviews-v[1-3]"

# 清理：切回v1
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 100
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41

# 为reviews服务注入5秒延迟（模拟慢查询）
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 100
      fault:
        delay:
          percentage:
            value: 100        # 100%的请求都延迟
          fixedDelay: 5s      # 固定延迟5秒
EOF

# 观察效果（productpage等待超时）
time curl -s http://localhost:8080/productpage > /dev/null

# 清理
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 100
EOF

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

# 当用户为"test-user"时，返回500错误
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: productpage
spec:
  hosts:
    - productpage
  http:
    - match:
        - headers:
            end-user:
              exact: test-user
      fault:
        abort:
          percentage:
            value: 100
          httpStatus: 500
    - route:
        - destination:
            host: productpage
            subset: v1
EOF

# 用test-user访问，预期返回500
curl -s -H "end-user: test-user" http://localhost:8080/productpage | head -5

# 用正常用户访问，预期正常
curl -s -H "end-user: alice" http://localhost:8080/productpage | head -5

# 清理
kubectl delete VirtualService productpage

1
2
3
4

# 查看当前PeerAuthentication策略
kubectl get PeerAuthentication -n istio-system -o yaml

# 默认应为PERMISSIVE（宽容模式，允许plain text和mTLS混跑）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# 为整个网格开启STRICT模式
kubectl apply -f - <<'EOF'
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: istio-system
spec:
  mtls:
    mode: STRICT
EOF

# 验证：使用sleep Pod做内部服务调用测试
kubectl apply -f samples/sleep/sleep.yaml -n default

# sleep Pod内执行curl测试（验证mTLS通信）
kubectl exec -it -n default sleep-xxxxx -- /bin/sh -c \
  "curl -s http://reviews:9080/reviews/0" \
  -- --cacert /etc/certs/cert-chain.pem

# 如果mTLS已开启，plain text请求会被拒绝（预期返回空白或错误）
# 在STRICT模式下，非mTLS请求会被Envoy直接拒绝

1
2
3
4
5
6
7
8

# 用非mTLS客户端测试（模拟外部未加密请求）
kubectl run -n default --rm -it --image curlimages/curl --restart=Never \
  -- curl -s http://reviews.default.svc.cluster.local:9080/reviews/0

# 预期：在STRICT模式下，外部plain text请求被拒绝，返回空或503

# 查看istio-proxy日志确认mTLS握手情况
kubectl logs -n default reviews-v1-xxxxx -c istio-proxy | grep -i "tls\|mtls\|auth"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

# 禁止ratings服务被reviews服务以外的服务调用
kubectl apply -f - <<'EOF'
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: ratings-access
  namespace: default
spec:
  selector:
    matchLabels:
      app: ratings
  rules:
    # 只允许reviews服务访问
    - from:
        - source:
            principals:
              - "cluster.local/ns/default/sa/bookinfo-reviews"
      to:
        - operation:
            methods: ["GET"]
            paths: ["/*"]
    # 允许Kubernetes健康检查
    - to:
        - operation:
            paths: ["/health", "/ready", "/metrics"]
EOF

# 验证：模拟reviews调用ratings（应成功）
kubectl exec -it -n default reviews-v1-xxxxx -c istio-proxy -- \
  curl -s http://ratings:9080/ratings/1

# 验证：模拟productpage直接调用ratings（应被拒绝，返回RBAC: access denied）
kubectl exec -it -n default productpage-v1-xxxxx -c istio-proxy -- \
  curl -s http://ratings:9080/ratings/1

# 查看拒绝日志
kubectl logs -n default ratings-v1-xxxxx -c istio-proxy | grep -i "denied\|rbac"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# 将50%流量给v1，同时镜像50%到v3
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
    - reviews
  http:
    - route:
        - destination:
            host: reviews
            subset: v1
          weight: 100
      mirror:
        host: reviews
        subset: v3
      mirrorPercentage:
        value: 50.0
EOF

# 观察：
# - 用户看到的仍是v1的响应（黑星级）
# - v3同时收到50%的真实请求，但返回被丢弃
# - 通过v3的日志验证其能正常处理请求
kubectl logs -n default reviews-v3-xxxxx -c reviews --tail=20

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# 方式一：使用Istio官方addon（一键安装）
cd istio-1.24.0
kubectl apply -f samples/addons/

# 方式二：Helm安装（生产推荐）
helm install kiali-server istio/kiali \
  --namespace istio-system \
  --set auth.strategy=anonymous \
  --set deployment.service_type=NodePort

# 查看所有addon Pod
kubectl get pods -n istio-system | grep -E "kiali|jaeger|prometheus|grafana"

# 等待所有Pod Ready（可能需要2-3分钟）
kubectl wait --for=condition=ready pod -l app=kiali -n istio-system --timeout=120s

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 端口转发Kiali（实验环境推荐）
kubectl port-forward -n istio-system svc/kiali 20001:20001 &

# 浏览器访问
# http://localhost:20001

# 在Kiali界面可以看到：
# 1. 服务拓扑图（Graph）：所有服务之间的流量路径和QPS
# 2. 流量分布：每个版本的请求比例
# 3. 延迟分布：P50/P90/P99延迟
# 4. 健康状态：服务是否正常

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# 端口转发Prometheus
kubectl port-forward -n istio-system svc/prometheus 9090:9090 &

# 浏览器访问：http://localhost:9090

# 常用PromQL查询：
# 1. 请求QPS
istio_requests_total{service="reviews"}

# 2. 请求延迟P99
histogram_quantile(0.99,
  rate(istio_request_duration_milliseconds_bucket{service="reviews"}[5m]))

# 3. mTLS握手成功率
istio_tls_handshake_success_total

# 4. 流量镜像比例
istio_requests_total{service="reviews", destination_version="v3", reporter="destination"}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 端口转发Jaeger
kubectl port-forward -n istio-system svc/tracing 16686:80 &

# 浏览器访问：http://localhost:16686

# 追踪步骤：
# 1. 选择服务：productpage
# 2. 点击 "Find Traces"
# 3. 查看完整调用链：productpage → reviews → ratings → details
# 4. 每个span显示该服务的处理延迟

1
2
3
4
5
6
7
8
9

# 端口转发Grafana
kubectl port-forward -n istio-system svc/grafana 3000:3000 &

# 浏览器访问：http://localhost:3000（默认账号admin/admin）

# Istio自带仪表板路径：
# 1. Istio Mesh Dashboard：全网QPS/成功率/延迟总览
# 2. Istio Service Dashboard：单服务维度的详细指标
# 3. Istio Workload Dashboard：每个Pod/Deployment的指标

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# 清理Bookinfo
kubectl delete -f samples/bookinfo/platform/kube/bookinfo.yaml -n default
kubectl delete -f samples/bookinfo/networking/bookinfo-gateway.yaml -n default
kubectl delete -f samples/sleep/sleep.yaml -n default

# 清理自定义CRD
kubectl delete VirtualService --all -n default
kubectl delete DestinationRule --all -n default
kubectl delete Gateway --all -n default
kubectl delete ServiceEntry --all -n default
kubectl delete PeerAuthentication --all -n default
kubectl delete AuthorizationPolicy --all -n default

# 清理Istio（非卸载，仅清理实验资源）
# 推荐保留Istio控制面，后续实验继续使用

# 完全卸载Istio（谨慎操作）
istioctl uninstall --purge -y
kubectl delete namespace istio-system

# 关闭minikube
minikube stop

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

□ minikube 集群启动正常，所有节点Ready
□ Istiod + IngressGateway Pod Running
□ default命名空间开启sidecar自动注入
□ Bookinfo 6个Pod全部Running（每个2/2容器）
□ http://localhost:8080/productpage 可访问
□ 金丝雀发布：5%流量到v2，95%到v1，验证通过
□ 故障注入：5秒延迟生效，超时行为正常
□ mTLS STRICT模式：plain text请求被拒绝
□ AuthorizationPolicy：ratings服务被非法访问拦截
□ Kiali拓扑图：显示完整服务调用关系
□ Jaeger追踪：productpage→reviews→ratings完整链路
□ Prometheus指标：istio_requests_total等指标可查
□ Grafana仪表板：Istio Mesh Dashboard有数据