本期文章是介绍云原生技术的基石：Istio服务网格，上次的文章中我们已经学习过了Pod的详细介绍，感兴趣的同学可以去看一下，任意门：【云原生|实战研发】2：Pod的深入实践与理解

云原生Istio

前言：先来聊聊服务网格Service Mesh
正文：云原生 Istio服务网格
- 1、Istio的产生背景
- 2、为什么需要Istio服务网格？
- 3、Istio的功能
- 4、Istio的架构
- - Envoy
  - Pilot
  - Mixer
  - Istio-Auth
后文：总结Istio

前言：先来聊聊服务网格Service Mesh

提到微服务的时候，我们经常提到服务之间的各类服务网络是如何进行互相调用、互相配置、互相传递请求的。这些都必不可少的不能不提及服务网络。

引用谷歌上面的解释：Service Mesh是微服务时代的 TCP/IP 协议。那么其作用就很好理解了，就是给服务之间提供稳定安全、快速可靠的通讯。一言以盖之，服务网络就是各个服务之间的TCP/IP协议簇，负责我们所熟悉的网络调用、限流、熔断监控等等各种功能。

与实际应用部署一起，并且能对应用透明。下图就是服务网格中常使用的典型的Sidecar边车方式：

也就是说，图中的应用作为服务发起方，需要用最简单的方式将请求发送给本地的服务网格代理，然后代理会进行后续的操作，即服务发现、负载均衡等，然后将请求发送给目标服务即可。

在项目中，服务肯定是互相调用的并且有很多服务互相调用，那么就是真正意义上的“服务网格”。大致的效果图如下图所示了：这样就是网格的真正含义，看起来形成了一个一个网状格子，每个格子之间互相调用。也就是每个服务之间相互调用。而下面要讲的Istio就是这样一种可以被看做是服务网格的东西。

服务网格旨在“在微服务架构中实现可靠、快速和安全的服务间调用”。它不是一个“服务”的网格，而是一个“代理”的网格，服务可以插入这个代理，从而使网络抽象化。在典型的服务网格中，这些代理作为一个 sidecar（边车）被注入到每个服务部署中。服务不直接通过网络调用服务，而是调用它们本地的 sidecar 代理，而 sidecar 代理又代表服务管理请求，从而封装了服务间通信的复杂性。

正文：云原生 Istio服务网格

1、Istio的产生背景

先来了解一下Istio的产生背景，才能更方便我们知道Istio是什么。

基于k8s的背景下，k8s作为容器编排工具，其作用就是进行容器编排、解决分布式系统的部署、规划、运维等问题，使得运维可以使用一台机器而得到使用多台机器的效果。

现在的云厂商强调的都是资源弹性，一台机器的资源是有限的，而又不能一下子开很多台服务器的资源，由于网络上的用户流量都是实时变化的，存在流量峰值等情况，所以为了使得减少成本等各种原因，需要机器的弹性资源供应。

那么，简而言之，微服务是解决服务治理的技术。而Kubernetes 和 Istio 的诞生又是为了解决微服务迁移过程中遇到的问题。

Istio就是一种以简单的方式来建立已部署服务的网络，有调用链追踪、动态路由、熔断限流等许多功能，用来配合k8s的服务，并且不需要改动任何服务代码。

2、为什么需要Istio服务网格？

上述背景之下产生的问题：微服务对项目功能进行了细化与简化，将复杂的项目功能划分成许多个微服务来分解和降低项目整体的复杂度，使得这些微服务容易维护。

但其实复杂度并没有就说消失了。微服务拆分之后，单个微服务的复杂度确实是大幅降低了，但由于系统从一个单体划分为许多的一小块微服务，那么这么多微服务之间也会存在许多问题：每个微服务之间的连接、管理和监控。

如果对这么多的微服务进行部署、版本控制、故障转移、遥测和监控等肯定是十分困难的。并且像限流、访问控制等各类运维需求做起来肯定十分困难。所以，文章最开始介绍的服务网格就诞生了。

3、Istio的功能

HTTP、gRPC、WebSocket 和 TCP 流量的自动负载均衡。可以使调用服务时更加可靠，服务更加健壮。
通过丰富的路由规则、重试、故障转移和故障注入，可以对流量行为进行细粒度控制。了解服务之间的依赖关系，以及服务之间流量的本质和流向，从而提供快速识别流量问题的能力。
可插入的策略层和配置 API，支持访问控制、速率限制和配额。
对出入集群入口和出口中所有流量的自动度量指标、日志记录和追踪。
通过强大的基于身份的验证和授权，在集群中实现安全的服务间通信。
支持多平台，可以在许多环境中运行Istio，如k8s、跨云上等。

上述的这些功能极大的减少了应用程序代码，以及底层平台和策略的耦合度。

4、Istio的架构

Istio服务网格的架构分为 数据面板 与 控制面板。

数据面板：是由一组智能代理（Envoy）组成，其代理部署模式为边车模式，可以调解和控制服务之间的所有网络通信。
控制面板：负责在运行时执行策略，管理和配置代理进行路由流量。

如下图所示，为Istio的架构图。

Envoy

Envoy属于数据面板，官方文档介绍Envoy的功能：

Istio 使用Envoy代理的扩展版本，Envoy是以C++开发的高性能代理，用于调解服务网格中所有服务的所有入站和出站流量。
Istio利用了Envoy的许多内置功能，例如动态服务发现，负载均衡，TLS termination，HTTP/2&gRPC代理，熔断器，健康检查，基于百分比流量拆分的分段推出，故障注入和丰富的metrics。
Envoy实现了过滤和路由、服务发现、健康检查，提供了具有弹性的负载均衡。它在安全上支持TLS，在通信方面支持gRPC。

大致的来说，其功能是：提供服务间的网络通讯能力（如Http、GRPC、TCP），及与网络通信直接相关的服务（如负载均衡、健康检查、执行路由规则等。）

Envoy在Istio中是负责基础底层工作的模块部分，也就是说，Envoy是真正进行操作的，需要将其他部分的决策、控制等进行运行配置。

Pilot

Pilot属于控制面板，可以对Envoy进行控制指挥。官方文档介绍其功能：

Pilot负责收集和验证配置并将其传播到各种Istio组件。它从Mixer和Envoy中抽取环境特定的实现细节，为他们提供独立于底层平台的用户服务的抽象表示。此外，流量管理规则（即通用4层规则和7层HTTP/gRPC路由规则）可以在运行时通过Pilot进行编程。
每个Envoy实例根据其从Pilot获得的信息以及其负载均衡池中的其他实例的定期健康检查来维护负载均衡信息，从而允许其在目标实例之间智能分配流量，同时遵循其指定的路由规则。
Pilot负责在Istio服务网格中部署的Envoy实例的生命周期。

Mixer

Mixer的作用：在服务网格上执行使用策略与访问控制，收集Envoy代理和其他服务的遥测数据。

Mixer是为了降低应用程序的微服务与基础设施的后端服务之间的耦合而创造的。即Mixer为前面两者的中介。

Istio使用属性来控制服务网格中运行服务时的行为。在请求处理时，属性由Envoy收集后发送给Mixer，Mixer中根据运维人员设置的配置来处理属性。基于这些属性，Mixer会产生对各种基础设施后端的调用。

Istio-Auth

简单来说，其作用就是鉴权。提供服务到服务的认证、终端用户的认证。也可以通过增加细粒度的访问控制与审计，以使用各种访问控制机制来监控服务等。

下图中展示的鉴权过程中，三个重要的模块分别是：身份信息、秘钥管理、通信安全加密。

服务A以foo账户运行，服务B则是bar运行，A与B之间的通讯原本是没有加密的。但是Istio在不修改代码的情况下，通过Envoy的服务网格，直接可以在客户端的服务网格Envoy与服务器端的服务网格Envoy进行加密通讯。

后文：总结Istio

现在通过上文的学习已经学习到，Istio的基本原理、架构以及组成部件的作用。

Istio的功能：
1、流量管理：通过配置进行服务间的流量限制、流量管理，设置超时、重试等简单配置。
2、可观测性：通过跟踪、监控、记录让我们更好的了解到正在运行的服务。
3、高安全性：通过代理层进行管理认证、加密授权、通信等，可以可靠安全的进行服务执行。

【云原生|技术基石】4：速通云原生基石-Istio服务网格相关推荐

云原生爱好者周刊：Linkerd 即将赢得这场服务网格战争的胜利？
云原生一周动态要闻: 供应链安全项目 in-toto 升级成为 CNCF 孵化项目云原生可观测性微调查结果出炉 Linkerd 发布 Kubernetes 自动多集群故障转移新特性 Solo.io ...
云原生核心技术之Istio服务网格核心理论概念（一）
Istio服务网格核心理论概念文章目录 Istio服务网格核心理论概念 1.Service Mesh基本概念 1.1.什么是Service Mesh服务网格 1.2.服务网格的特点 1.3.服务网格 ...
【华为云技术分享】云图说 | Dubbo框架应用也可以使用Istio服务网格
Dubbo作为一款RPC 框架,在国内有一定的存量用户.如何让企业级微服务应用使用原生的能力,通过Kubernetes和Istio进行部署运行和监控,是很多企业开发和运维团队非常关心的问题. 应用服务 ...
技术沙龙 | 云时代下的架构演进—企业云及云原生技术落地实践
云改变了IT行业的形态和市场格局,催生了应用的发展.随着云计算技术的不断演进,作为一名优秀的架构师,必须深入了解云计算平台的特点及架构设计,包括构建数据库.大规模落地微服务.Service Mesh和 ...
KubeCon 2020 演讲集锦｜《阿里巴巴云原生技术与实践 13 讲》开放下载
2020 年 7 月 30 日至 8 月 1 日,由 Cloud Native Computing Foundation (CNCF) 主办的云原生技术大会 Cloud Native + Open S ...
2020 云原生技术 7 大领域趋势全预测
文章联合撰稿人(排名不分先后) 叔同.谷朴.不瞋.育睿.许晓斌.至简.典违.鲁直.改之.小剑.汤志敏.白慕.循环.文卿,喽哥.水鸟.神秀. 在筹备阿里云首届云原生实践峰会的过程中,我们展开了对云原生技 ...
Service Mesh 如何重定义云原生计算？阿里服务网格技术大揭秘
受访者 | 王夕宁记者 | 伍杏玲出品 | CSDN(ID:CSDNnews) 如今微服务已成为构建现代云应用的主导模式,它围绕着特定的业务功能,将单个组件分解为独立的服务.但随之而来产生另外的问 ...
重磅发布 | 30+ 阿里巴巴云原生「顶流」，给你一堂《云原生技术实践公开课》
以"云"为核心的软件研发思想,正逐步成为所有开发者的默认选项.像 Kubernetes 等云原生技术正在成为技术人员的必修课,大量的工作岗位正在涌现出来.2020 年,云原生技术大 ...
如何成为云原生技术高阶玩家？华为云最近做了这件事
摘要:为进一步推进云原生技术的普及,帮助广大技术爱好者快速掌握云原生相关技能,华为云云原生团队重磅推出<华为云云原生王者之路集训营>系列课程. 十年云计算浪潮下,DevOps.容器.微服务 ...

【云原生|技术基石】4：速通云原生基石-Istio服务网格