Анонс Istio 1.28

Nov 5, 2025

Ми раді оголосити про випуск Istio 1.28. Дякуємо всім нашим учасникам, тестувальникам, користувачам та ентузіастам за допомогу в публікації версії 1.28.0! Ми хотіли б подякувати менеджерам випуску цієї версії, Gustavo Meira з Microsoft, Francisco Herrera з Red Hat, та Darrin Cecil з Microsoft.

Що нового?

Підтримка розширення Inference

Istio 1.28 продовжує розвивати підтримку розширення Gateway API Inference Extension завдяки впровадженню InferencePool v1. Це вдосконалення забезпечує кращу організацію та маршрутизацію робочих навантажень, пов’язаних з висновками ШІ, спрощуючи розгортання та масштабування генеративних моделей ШІ в Kubernetes за допомогою інтелектуального управління трафіком.

API InferencePool v1 забезпечує підвищену стабільність та функціональність для управління пулами точок доступу висновків, що дозволяє застосовувати більш досконалі стратегії балансування навантаження та відмовостійкості для робочих навантажень штучного інтелекту.

Ambient Multicluster

У версії Istio 1.28 внесено суттєві вдосконалення в розгортання в режимі «ambient multicluster». Тепер waypoints можуть маршрутизувати трафік до віддалених мереж у конфігураціях «ambient multicluster», розширюючи можливості цього режиму. Це вдосконалення дозволяє виявляти відхилення та застосовувати інші політики рівня 7 (L7) до запитів, що проходять через мережі, що спрощує управління розгортаннями сервісної мережі в середовищі з декількома мережами.

Багатокластерна архітектура Ambient залишається функцією в стадії альфа-тестування, і існує кілька відомих проблем, які будуть вирішені в майбутніх версіях. Якщо останні зміни негативно вплинули на ваше розгортання багатокластерної архітектури Ambient, можна вимкнути нещодавню зміну поведінки waypoint, встановивши значення змінної середовища пілотного проекту AMBIENT_ENABLE_MULTI_NETWORK_WAYPOINT на false.

Ми будемо раді отримати відгуки та повідомлення про помилки від перших користувачів багатокластерної архітектури Ambient.

Вбудована підтримка nftables у режимі Ambient

У версії Istio 1.28 запроваджено підтримку вбудованих nftables під час роботи в режимі ambient. Це суттєве вдосконалення дозволяє використовувати nftables замість iptables для управління мережевими правилами, забезпечуючи більш гнучке управління ними. Щоб увімкнути режим nftables, під час встановлення Istio скористайтеся опцією --set values.global.nativeNftables=true.

Це доповнення розширює вже наявну підтримку nftables у режимі sidecar, забезпечуючи відповідність Istio сучасним мережевим фреймворкам Linux.

Підтримка Dual-stack переведена в бета-версію

Підтримка dual-stack мереж у Istio переведена в бета-версію в цьому релізі. Це вдосконалення забезпечує надійні можливості IPv4/IPv6 мереж, дозволяючи організаціям розгорнути Istio у сучасних мережевих середовищах, які вимагають обох версій IP протоколу.

Розширені функції безпеки

Цей реліз включає кілька важливих покращень безпеки:

• Розширена автентифікація JWT: Вдосконалена конфігурація фільтрів JWT тепер підтримує не лише стандартні заявки, такі як «scope» та «permission», а й власні заявки, розділені пробілами. Це вдосконалення забезпечує належну перевірку токенів JWT із власними заявками за допомогою поля spaceDelimitedClaims у ресурсах RequestAuthentication
• Підтримка NetworkPolicy: Опціональне розгортання NetworkPolicy для istiod із параметром global.networkPolicy.enabled=true
• Покращена безпека контейнерів: Підтримка налаштування seccompProfile у контейнерах istio-validation та istio-proxy для кращої відповідності вимогам безпеки
• Безпека API Gateway: Підтримка FrontendTLSValidation (GEP-91), що дозволяє налаштовувати конфігурації шлюзу вхідного трафіку з взаємним TLS
• Покращена обробка сертифікатів: Покращений аналіз кореневих сертифікатів, що відфільтровує сертифікати з помилками у форматі замість відхилення всього набору

Gateway API та Покращення управління трафіком

• BackendTLSPolicy v1: Повна підтримка Gateway API v1.4 з розширеними параметрами конфігурації TLS.
• Інтеграція ServiceEntry: Підтримка ServiceEntry як targetRef у BackendTLSPolicy для конфігурації TLS зовнішніх сервісів.
• Підтримка wildcard хостів: Ресурси ServiceEntry тепер підтримують wildcard хости з DYNAMIC_DNS резолюцією (тільки HTTP трафік, вимагає режиму ambient та waypoint)

І ще багато іншого

• Встановлення на основі персони: новий параметр resourceScope у чартах Helm для управління ресурсами в межах простору імен або кластера
• Покращене балансування навантаження: підтримка атрибутів файлів cookie у балансуванні навантаження за методом послідовного хешування з опціями безпеки, такими як SameSite, Secure та HttpOnly
• Покращена телеметрія: підтримка подвійного поширення заголовків B3/W3C для кращої сумісності трасування
• Покращення istioctl: автоматичне виявлення стандартної версії та розширені можливості налагодження

Дізнайтеся про це та багато іншого в повних примітках до випуску.

Оновлення до 1.28

Ми хотіли б почути вашу думку щодо вашого досвіду оновлення до Istio 1.28. Ви можете надати відгук у каналі #release-1.28 у нашому Slack.

Чи хотіли б ви безпосередньо долучитися до розвитку Istio? Знайдіть одну з наших робочих груп та приєднайтеся до неї, щоб допомогти нам удосконалити проєкт.

Дивіться також