Istio如何实现自动注入？

最新推荐文章于 2025-02-09 04:27:48 发布

oneslide

最新推荐文章于 2025-02-09 04:27:48 发布

阅读量990

点赞数 2

CC 4.0 BY-SA版权

分类专栏：虚拟化文章标签： kubernetes docker 容器

本文链接：https://blog.csdn.net/qq_33745102/article/details/122406610

虚拟化专栏收录该内容

31 篇文章

订阅专栏

本文介绍Istio如何利用Kubernetes的AdmissionControllers，在部署时自动为应用添加Sidecar容器。通过MutatingAdmissionWebhook和ValidatingAdmissionWebhook控制器，在资源对象持久化前进行修改与验证。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

当命名空间激活istio注入功能时，比如部署一个deployment，会发现业务容器旁多了一个sidecar容器。

istio是如何实现这一点的呢？使用的是Admission Controllers中的两个特殊的控制器：MutatingAdmissionWebhook 和ValidatingAdmissionWebhook

AdmissionController 会在客户端请求经过认证授权验证后，在对象持久化到etcd之前拦截请求。

参考：https://kubernetes.io/docs/reference/access-authn-authz/extensible-admission-controllers

时序图

在这里插入图片描述

kubectl 注册一个ValidatingWebhookConfiguration/MutatingWebhookConfiguration对象，对象包含触发webhook调用的条件，webhook server地址 etc。

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: "pod-policy.example.com"
webhooks:
- name: "pod-policy.example.com"
  # 触发webhook的条件
  rules:
  - apiGroups:   [""]
    apiVersions: ["v1"]
    operations:  ["CREATE"]
    resources:   ["pods"]
    scope:       "Namespaced"
  clientConfig:
    # webhook server的服务地址
    service:
      namespace: "example-namespace"
      name: "example-service"
    caBundle: "Ci0tLS0tQk...<`caBundle` is a PEM encoded CA bundle which will be used to validate the webhook's server certificate.>...tLS0K"
  admissionReviewVersions: ["v1", "v1beta1"]
  sideEffects: None
  timeoutSeconds: 5

当用户使用kubectl apply 注册了感兴趣的资源，此处为新的Deployment。API Server就会触发webhook调用。
API Server首先会调用所有的mutating admission webhook，用于设置资源对象的默认值。
然后调用所有的validating admission webhook，用于验证资源对象的合法性。
经过webhook验证的资源对象，最后持久化到etcd中。