保护和可视化应用程序

将应用程序添加到 Ambient 网格就像标记应用程序所在的命名空间一样简单。 通过将应用程序添加到网格,您可以自动保护它们之间的通信, 并且 Istio 开始收集 TCP 可观测数据。而且,您无需重新启动或重新部署应用程序!

将 Bookinfo 添加到网格

您可以通过简单地标记命名空间来使给定命名空间中的所有 Pod 成为 Ambient 网格的一部分:

$ kubectl label namespace default istio.io/dataplane-mode=ambient
namespace/default labeled

恭喜!您已成功将默认命名空间中的所有 Pod 添加到 Ambient 网格。🎉

如果您在浏览器中打开 Bookinfo 应用程序,就像之前一样,您将看到产品页面。 这次的不同之处在于 Bookinfo 应用程序 Pod 之间的通信使用 mTLS 加密。 此外,Istio 正在收集 Pod 之间所有流量的 TCP 可观测数据。

可视化应用程序和指标

使用 Istio 的仪表板、Kiali 和 Prometheus 指标引擎, 您可以可视化 Bookinfo 应用程序。部署它们:

$ kubectl apply -f https://raw.githubusercontent.com/istio/istio/master/samples/addons/prometheus.yaml
$ kubectl apply -f https://raw.githubusercontent.com/istio/istio/master/samples/addons/kiali.yaml

您可以通过运行以下命令访问 Kiali 仪表板:

$ istioctl dashboard kiali

让我们向 Bookinfo 应用程序发送一些流量,以便 Kiali 生成流量图:

$ for i in $(seq 1 100); do curl -s http://localhost:8080/productpage; done

接下来,单击 Traffic Graph,您应该会看到 Bookinfo 应用程序:

Kiali 仪表盘
Kiali 仪表盘

如果您单击仪表板上连接两个服务的线,您可以看到 Istio 收集的入站和出站流量指标。

L4 流量
L4 流量

除了 TCP 指标之外,Istio 还为每个服务创建了一个强大的身份:SPIFFE ID。此身份可用于创建鉴权策略。

下一步

现在我们已为服务分配了身份, 接下来让我们执行鉴权策略来确保应用程序访问的安全。

这些信息有用吗?
您是否有更多建议和改进意见?

感谢您的反馈!