43、使用 Istio 实现流量管理、安全和可观测性

最新推荐文章于 2026-06-08 16:10:03 发布
原创 最新推荐文章于 2026-06-08 16:10:03 发布 · 199 阅读 · 0 GEO检测
标签
#Istio # 金丝雀发布 # 流量镜像

使用 Istio 实现流量管理、安全和可观测性

1. 金丝雀发布与流量转移

当开发了微服务的新版本并想将其推向用户时，为降低对整个服务的潜在影响，可采用金丝雀发布（Canary Rollout）策略，也称为蓝绿部署。其核心是渐进式方法，逐步将流量从旧版本（蓝）转移到新版本（绿）。具体步骤如下：
1. 初始发布 ：现有版本继续为大多数用户提供服务。
2. 早期访问 ：选定一小部分有代表性的用户或系统作为金丝雀组，让他们接收新版本。
3. 监控和评估 ：密切监控金丝雀组中软件的性能和行为，收集指标、日志和用户反馈，以识别问题或异常。
4. 逐步扩展 ：若新版本在金丝雀组中表现稳定且符合预期，逐步将其推广到更广泛的用户群体。每次可按小比例“提升”用户到新版本。
5. 持续监控 ：在整个发布过程中，持续监控和分析至关重要，以便及时发现和解决出现的问题。若检测到问题，可暂停或回滚发布以保护大多数用户。
6. 全面部署 ：新版本通过金丝雀发布阶段的验证后，最终向所有用户开放。

以下是将 ratings-v2 服务向 20% 用户推出的示例，使用的 VirtualService 资源如下： 

http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 80
      - destination:
          host: ratings
          subset: v2
          weight: 20

此配置中，v1 目的地权重为 80，v2 目的地权重为 20，意味着 20% 的流量将导向 ratings 微服务的 v2 版本。

操作步骤： 

$ cd ~/mdo-environments/manifests/blog-app 
$ cp ~/modern-devops/ch15/traffic-management/virtual-services-canary.yaml \
virtual-services.yaml 
$ git add --all
$ git commit -m "Canary rollout"
$ git push

Argo CD 同步完成后，刷新页面 10 次，会发现黑色星星出现约 2 次，这就是金丝雀发布的实际效果。可继续监控应用并逐步调整权重，将流量导向 v2。

2. 流量镜像

流量镜像（Traffic Mirroring），也称为影子测试，是一种在生产环境中测试代码的方法，可在不向最终用户暴露应用的情况下使用实时流量进行测试。传统的企业会维护一个与生产环境相似的预发布环境，运维团队在该环境中部署新版本，测试人员生成模拟流量进行测试。但这种方法存在维护成本高、模拟流量与实际流量有偏差等问题。

流量镜像的工作原理如下：
1. 部署应用的新版本并激活流量镜像。
2. 旧版本像往常一样响应请求，同时将流量的异步副本发送到新版本。
3. 新版本处理镜像流量，但不向最终用户响应。
4. 运维团队监控新版本的行为，并将问题报告给开发团队。

为 ratings 服务配置流量镜像，修改 ratings 虚拟服务如下： 

http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 100
      mirror:
          host: ratings
          subset: v2
          mirror_percent: 100

此配置将所有初始路由到 ratings:v1 的流量镜像并同时发送到 v2。

操作步骤： 

$ cp ~/modern-devops/ch15/traffic-management/virtual-services-mirroring.yaml \
virtual-services.yaml
$ git add --all
$ git commit -m "Mirror traffic"
$ git push

Argo CD 同步完成后，刷新页面 5 次，可通过以下命令检查 ratings:v1 服务的日志： 

$ kubectl logs $(kubectl get pod -n blog-app | \
grep "ratings-" | awk '{print $1}') -n blog-app

同样，可通过以下命令检查 ratings:v2 服务的日志： 

$ kubectl logs $(kubectl get pod -n blog-app | \
grep "ratings-v2" | awk '{print $1}') -n blog-app

会发现两个服务的日志和时间戳完全匹配，证明了流量镜像功能正常。流量镜像能有效识别传统基础设施设置中难以发现的问题，是进行软件版本操作验收测试的强大方法。

3. Istio 的流量观测和告警

Istio 利用 Envoy 代理作为微服务容器的边车组件，这些代理在服务网格中引导和管理流量，同时收集有价值的遥测数据。这些数据会传输到 Prometheus 进行存储和可视化，常与 Grafana 结合使用，以提供对遥测数据的直观可视化，帮助有效监控和管理服务网格。

3.1 安装可观测性插件

使用以下命令安装可观测性插件： 

$ cd ~
$ mkdir ~/mdo-environments/manifests/istio-system
$ cd ~/mdo-environments/manifests/istio-system/
$ cp ~/modern-devops/ch15/observability/*.yaml .
$ git add --all
$ git commit -m "Added observability"
$ git push

代码推送后，Argo CD 会创建新的 istio-system 命名空间并安装插件。

3.2 访问 Kiali 仪表盘

Kiali 是用于微服务和服务网格管理的强大可观测性和可视化工具，可提供服务网格行为的实时洞察。由于 Kiali 服务部署在集群 IP 上，未对外暴露，需进行端口转发以访问其仪表盘： 

$ kubectl port-forward deploy/kiali -n istio-system 20001:20001

端口转发会话启动后，点击 Google Cloud Shell 的 Web 预览图标，选择将端口更改为 20001 并点击预览，即可看到 Kiali 仪表盘。点击“Graph”标签并选择 blog-app 命名空间，可切换到图形视图，查看流量流动、成功流量百分比等指标。

3.3 使用 Grafana 进行监控和告警

Grafana 是领先的开源可观测性和监控平台，提供动态仪表盘和强大的告警功能。安装 Grafana 后，通过以下命令进行端口转发： 

$ kubectl port-forward deploy/grafana -n istio-system 20001:3000

端口转发会话启动后，像访问 Kiali 一样访问 Grafana 页面，进入“Home > Dashboards > Istio > Istio Service Dashboard”，可看到一个仪表盘，提供请求成功率、持续时间、大小、体积和延迟等标准服务级别指标（SLI）的可视化。还可使用 Prometheus 查询语言（PromQL）根据需求构建额外的可视化。

为了实现完整的可靠性，监控和可视化需要与告警相结合。以下是设置告警的步骤：
1. 确定告警标准 ：为简化，当流量体积超过每秒 1 笔交易时触发告警。
2. 编写查询语句 ：使用以下查询语句获取必要的指标： 

round(sum(irate(istio_requests_total{connection_security_policy="mutual_tls",destination_
service=~"frontend.blog-app.svc.cluster.local",reporter=~"destination",source_
workload=~"istio-ingress",source_workload_namespace=~"istio-ingress"}[5m])) by (source_
workload, source_workload_namespace, response_code), 0.001)

此查询确定了通过 Istio 入口网关到前端微服务的所有交易的流量速率。
3. 创建告警规则 ：导航到“Home > Alerting > Alert rules”，填写表单设置告警规则。告警规则配置为以 1 分钟为间隔监控违规情况，持续 2 分钟。规则建立后，每 1 - 2 分钟快速刷新 Blog App 主页约 15 - 20 次，即可触发告警。在生产环境中，通常设置较长的检查间隔（约 5 分钟）和告警间隔（15 分钟），以避免过多的临时问题告警。

由于未配置特定的告警通道，触发的告警仅在 Grafana 仪表盘中可见。建议使用 PagerDuty 或 Slack 等工具设置指定的告警目的地，确保关键问题能及时通知相关人员或团队。

总结

通过金丝雀发布和流量镜像等功能，Istio 提供了强大的流量管理能力，降低了生产环境中发布新版本的风险。同时，Kiali 和 Grafana 等工具为服务网格提供了可观测性和告警功能，帮助用户更好地监控和管理服务。在实际应用中，可根据具体需求进一步探索 Istio 的其他特性，以实现更高效、安全的微服务运维。

相关流程图 

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    classDef decision fill:#FFF6CC,stroke:#FFBC52,stroke-width:2px;

    A([开始]):::startend --> B(金丝雀发布):::process
    B --> C{新版本稳定?}:::decision
    C -->|是| D(逐步扩展):::process
    C -->|否| E(暂停或回滚):::process
    D --> F(全面部署):::process
    F --> G(流量镜像):::process
    G --> H(监控新版本):::process
    H --> I{发现问题?}:::decision
    I -->|是| J(报告问题):::process
    I -->|否| K(继续监控):::process
    K --> L([结束]):::startend
    J --> M(修复问题):::process
    M --> G

问题解答

问题 答案
1. 使用 GitOps 方法安装 Istio 应选择哪种方法？ 文档未提及具体答案，可参考 Istio 文档 https://istio.io/latest/docs/tasks/traffic-management/ 进行探索。
2. Istio 自动将边车注入工作负载需要什么配置？ A. 为命名空间应用 istio-injection-enabled: true 标签。
3. Istio 边车是否自动使用 mTLS 相互通信？ 答案为 True。
4. 哪种资源用于强制执行规定哪些服务可以相互通信的策略？ B. AuthorizationPolicy。
5. 进行金丝雀发布应使用以下哪些资源？（选两个） A. VirtualService 和 C. DestinationRule。
6. 为什么在生产环境中使用流量镜像？（选三个） A. 实时监控生产性能和行为分析；B. 将流量路由到新版本以复制流量，测试后端服务的性能。

使用 Istio 实现流量管理、安全和可观测性

4. 流量管理和可观测性的综合应用

在实际的微服务架构中，流量管理和可观测性是紧密结合的。通过金丝雀发布和流量镜像进行流量管理，同时利用 Kiali 和 Grafana 进行可观测性监控，能够确保服务的稳定运行和高效迭代。

以下是一个综合应用的示例流程：
1. 部署新版本 ：使用金丝雀发布策略，将新版本逐步推向一小部分用户，通过 VirtualService 资源配置流量权重，例如： 

http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 80
      - destination:
          host: ratings
          subset: v2
          weight: 20
  1. 监控新版本 ：在金丝雀发布过程中，使用 Kiali 仪表盘实时监控服务的运行情况，查看流量流动、成功率等指标。同时，使用 Grafana 对关键指标进行可视化和告警设置。
  2. 流量镜像测试 ：如果需要更深入地测试新版本的性能，可以启用流量镜像功能。配置 VirtualService 资源将流量镜像到新版本： 
http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 100
      mirror:
          host: ratings
          subset: v2
          mirror_percent: 100
  1. 分析和优化 ：根据 Kiali 和 Grafana 提供的数据，分析新版本的性能和稳定性。如果发现问题，及时调整流量权重或修复代码。如果新版本表现良好，可以逐步增加其流量权重，直到全面部署。
5. 常见问题及解决方法

在使用 Istio 进行流量管理和可观测性监控时，可能会遇到一些常见问题。以下是一些问题及解决方法：

问题 解决方法
金丝雀发布时新版本出现性能问题 暂停或回滚发布，检查代码和配置，使用 Grafana 分析性能指标，找出问题所在并修复。
流量镜像时新版本处理异常 检查新版本的代码和配置，确保其能够正确处理镜像流量。同时，使用 Kiali 监控流量流动，查看是否存在异常。
Grafana 告警频繁 调整告警规则的阈值和间隔时间，避免对临时问题产生过多告警。同时，检查告警规则的合理性，确保其能够准确反映服务的实际情况。
Kiali 仪表盘数据不准确 检查 Istio 和 Kiali 的配置，确保其正常运行。同时，检查 Prometheus 的数据收集和存储情况，确保数据的准确性。
6. 总结与展望

Istio 作为一个强大的服务网格解决方案，为微服务架构提供了丰富的流量管理、安全和可观测性功能。通过金丝雀发布、流量镜像等流量管理策略，能够降低新版本发布的风险，确保服务的稳定性。同时，Kiali 和 Grafana 等可观测性工具能够帮助用户实时监控服务的运行情况，及时发现和解决问题。

在未来的微服务架构中，Istio 有望发挥更加重要的作用。随着技术的不断发展，Istio 可能会提供更多的功能和优化，例如更智能的流量管理策略、更强大的安全防护机制等。同时，与其他云原生技术的集成也将更加紧密，为用户提供更加便捷和高效的服务。

相关流程图 

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    classDef decision fill:#FFF6CC,stroke:#FFBC52,stroke-width:2px;

    A([开始部署新版本]):::startend --> B(金丝雀发布):::process
    B --> C(使用 Kiali 监控):::process
    C --> D{新版本性能正常?}:::decision
    D -->|是| E(增加流量权重):::process
    D -->|否| F(暂停或回滚):::process
    E --> G{是否全面部署?}:::decision
    G -->|否| B
    G -->|是| H(启用流量镜像):::process
    H --> I(使用 Grafana 分析):::process
    I --> J{发现问题?}:::decision
    J -->|是| K(调整或修复):::process
    J -->|否| L([结束]):::startend
    K --> H

操作步骤总结

为了方便大家回顾和操作，以下是本文中涉及的主要操作步骤总结：

  1. 金丝雀发布
    • 配置 VirtualService 资源： 
http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 80
      - destination:
          host: ratings
          subset: v2
          weight: 20

- 提交和推送更改：

$ cd ~/mdo-environments/manifests/blog-app 
$ cp ~/modern-devops/ch15/traffic-management/virtual-services-canary.yaml \
virtual-services.yaml 
$ git add --all
$ git commit -m "Canary rollout"
$ git push
  1. 流量镜像
    • 配置 VirtualService 资源： 
http:
  - route:
      - destination:
          host: ratings
          subset: v1
          weight: 100
      mirror:
          host: ratings
          subset: v2
          mirror_percent: 100

- 提交和推送更改：

$ cp ~/modern-devops/ch15/traffic-management/virtual-services-mirroring.yaml \
virtual-services.yaml
$ git add --all
$ git commit -m "Mirror traffic"
$ git push
  1. 安装可观测性插件 
$ cd ~
$ mkdir ~/mdo-environments/manifests/istio-system
$ cd ~/mdo-environments/manifests/istio-system/
$ cp ~/modern-devops/ch15/observability/*.yaml .
$ git add --all
$ git commit -m "Added observability"
$ git push
  1. 访问 Kiali 仪表盘 
$ kubectl port-forward deploy/kiali -n istio-system 20001:20001
  1. 使用 Grafana 进行监控和告警
    • 端口转发： 
$ kubectl port-forward deploy/grafana -n istio-system 20001:3000

- 编写查询语句：

round(sum(irate(istio_requests_total{connection_security_policy="mutual_tls",destination_
service=~"frontend.blog-app.svc.cluster.local",reporter=~"destination",source_
workload=~"istio-ingress",source_workload_namespace=~"istio-ingress"}[5m])) by (source_
workload, source_workload_namespace, response_code), 0.001)

- 创建告警规则：导航到“Home > Alerting > Alert rules”，填写表单设置告警规则。

通过以上步骤，你可以使用 Istio 实现微服务的流量管理、安全和可观测性监控，确保服务的稳定运行和高效迭代。

43、Istio 流量管理、安全与可观测性实践
qsc90123456的博客
08-24 90
本文详细介绍了如何使用 Istio 进行微服务的流量管理、安全控制以及可观测性实践。内容涵盖金丝雀发布和流量镜像的实现方式，以及利用 Kiali、Grafana 和 Prometheus 进行服务监控和告警配置的具体步骤。通过这些方法，可以在生产环境中安全地部署新版本，实时监控服务状态，并及时响应异常情况，保障服务的稳定性和可靠性。
UDS Core v0.43.0 版本深度解析：安全增强与Istio优化
gitblog_01316的博客
06-13 436
UDS Core v0.43.0 版本深度解析：安全增强与Istio优化 UDS Core是一个面向企业级云原生应用的安全平台，专注于为Kubernetes环境提供身份管理、服务网格和安全监控等核心功能。本次发布的v0.43.0版本在安全合规性和服务网格功能方面进行了重要升级，同时也优化了多个组件的集成体验。 关键安全增强：Keycloak FIPS模式默认启用 本次版本最显著的变化是将Keycl...
40、服务可靠性与Istio技术深度解析
qsc90123456的博客
08-21 76
本文深入解析了服务可靠性指标（SLI）和服务级别目标（SLO）的核心概念，并通过测试题形式帮助读者巩固相关知识。同时，文章详细介绍了Istio这一服务网格技术，涵盖其架构、功能、安装配置及实际应用场景，如流量管理、微服务安全保护、可观测性实现等。结合站点可靠性工程（SRE）和DevOps实践，展示了如何利用Istio提升微服务应用的可靠性、安全性和运维效率。
Jaeger与Service Mesh集成：Istio、Linkerd支持
gitblog_00296的博客
09-03 733
在现代微服务架构中，Service Mesh（服务网格）已成为管理服务间通信、安全性和可观测性的关键技术。Jaeger作为CNCF毕业的分布式追踪系统，与主流Service Mesh解决方案（如Istio和Linkerd）的深度集成，为开发者和运维团队提供了前所未有的可观测性能力。 本文将深入探讨Jaeger如何与Istio和Linkerd集成，提供完整的配置指南、最佳实践和故障排查技巧。 #...
Service Mesh 流量管理在分布式电商系统性能优化中的实践
2501_92430841的博客
06-14 902
Kubernetes Service Mesh（如Istio）通过流量镜像功能实现服务拓扑可视化，某平台在618大促期间将流量预测准确率提升至92%[3]。动态权重分配机制可有效应对突发流量，如采用基于QPS的权重调整算法，某平台在秒杀活动中实现流量分配误差率<3%[4]。多版本管理需支持热切换，某电商系统采用蓝绿部署+流量回滚方案，版本切换时间从45分钟压缩至8分钟[8]。降级策略应支持多维度配置，如某电商系统在支付服务异常时，自动将订单创建接口降级为本地缓存模式，保障核心交易链路[6]。
40、服务水平指标与Istio服务网格技术深度解析
red88的博客
08-21 100
本文深入解析了服务水平指标（SLI、SLO、SLA）的基本概念与实践，并通过问答形式帮助读者理解服务质量的关键衡量标准。随后，文章聚焦于Istio服务网格技术，详细介绍了其安装、配置及在微服务架构中的应用，涵盖流量管理、安全通信、可观测性及告警设置等核心功能。通过实践指导和架构解析，帮助开发者和运维人员更好地应对微服务复杂性，提升系统可靠性和可观测性。
istio初探以及解决http-426的问题
Zcc7rK88H的博客
03-24 415
在之前的文章中，我们花了大量的篇幅，从记录后端pod真实ip开始说起，然后引入envoy，再解决了各种各样的需求：配置自动重载、流量劫持、sidecar自动注入，到envoy的各种能力：熔断、流控、分流、透明代理、可观测性等等，已经可以支撑起一个完整的服务治理框架了而今天介绍的istio，正是前面提到的这些所有功能的集大成者，从本文开始，我们将详细介绍istio，并且与之前手搓的功能做一个详细的对比，为大家以后选择服务治理的某个功能提供参考。
模型服务化实战：gRPC+特征服务+可观测性闭环
weixin_30621711的博客
06-08 307
机器学习模型从开发到生产的关键跃迁，本质是工程范式的升级——不再将模型视为孤立API，而是纳入分布式系统进行可编排、可监控、可追溯的全生命周期管理。其核心原理在于解耦训练与推理逻辑、统一特征计算契约、构建端到端链路追踪，并以黄金指标驱动自动化响应。技术价值体现在稳定性提升（如gRPC降低42%内存占用）、故障定位提速（分钟级下钻至特征漂移或时间语义错配）、以及业务效果可持续（AUC波动收敛至±0.005）。典型应用场景包括金融实时风控、工业预测性维护和电商毫秒级推荐。本文聚焦模型服务化落地中最具实操挑战的三
sealed-secrets与Istio集成：服务网格中的密钥安全
gitblog_00083的博客
09-10 354
在现代云原生架构中，服务网格（Service Mesh）通过Istio等工具提供了流量管理、安全通信和可观测性，但密钥管理仍是核心挑战。**你是否正面临以下困境**： - 手动更新Istio证书导致服务中断 - GitOps流程中密钥明文暴露风险 - 多集群部署时证书同步困难 - 密钥轮换与服务可用性平衡 本文将系统讲解如何通过sealed-secrets与Istio的深度集...
构建高可用微服务架构：Istio与Linkerd的深度对比与实战
LCG元的博客
07-16 871
本文对比了Istio和Linkerd两大服务网格技术，通过架构图揭示了Istio的分层设计与Linkerd的轻量级实现差异。实验数据显示，Linkerd在性能（RPS 15,672 vs 12,348）和资源占用（内存98MB vs 256MB）方面表现更优，而Istio提供更细粒度的流量管理。文章包含金丝雀发布等实战配置示例，并指出服务网格正朝着eBPF和AI驱动方向演进。最后给出决策建议：中小集群选Linkerd，复杂场景考虑Istio，同时需关注证书轮换等安全实践。
第49篇 k8s之服务网格入门：Istio 简介
IT策士的博客
06-07 438
摘要： Service Mesh（服务网格）通过将网络治理逻辑（如流量管理、熔断、可观测性）从应用代码中剥离，下沉到独立的Sidecar代理（如Envoy），实现业务与网络的解耦。Istio作为主流方案，采用数据面（Sidecar代理）与控制面（istiod）分离的架构，提供零侵入的流量管理能力。 核心内容： Service Mesh价值：解决传统微服务中网络逻辑分散、多语言重复实现的问题，支持金丝雀发布、熔断、自动监控等高级特性。 Istio实现： 自动Sidecar注入：通过命名空间标签动态注入Envo
OpenClaw生产级部署指南：权限隔离、流量管控、用量追踪全方案
UNYDAA89o的博客
04-17 557
在之前的文章中，我们花了大量的篇幅，从记录后端pod真实ip开始说起，然后引入envoy，再解决了各种各样的需求：配置自动重载、流量劫持、sidecar自动注入，到envoy的各种能力：熔断、流控、分流、透明代理、可观测性等等，已经可以支撑起一个完整的服务治理框架了。控制面istiod主要的职责：将配置下发到每一个envoy去。而今天介绍的istio，正是前面提到的这些所有功能的集大成者，从本文开始，我们将详细介绍istio，并且与之前手搓的功能做一个详细的对比，为大家以后选择服务治理的某个功能提供参考。
墨语灵犀环境部署：Rancher管理的混合云集群中墨语灵犀灰度发布实践
weixin_42577735的博客
02-18 316
本文介绍了如何在星图GPU平台上自动化部署墨语灵犀(Moyu Lingxi)镜像，实现AI驱动的深度翻译服务。该平台支持快速搭建翻译环境，结合腾讯混元大模型，可高效处理多语言文本翻译任务，适用于跨语言内容创作、文档翻译等应用场景，提升翻译效率与准确性。
易语言源码易语言电脑配机系统软件
最新发布
06-24
易语言源码易语言电脑配机系统软件
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值