Alibaba Cloud Service Mesh:Konfigurasikan cakupan penemuan layanan untuk meningkatkan efisiensi dorongan konfigurasi mesh

Metode 1: Pilih namespace yang akan ditemukan

Gunakan metode ini untuk mendaftar namespace yang akan ditemukan. Hanya namespace yang tetap dipilih yang masuk dalam cakupan penemuan layanan, sehingga Anda harus memperbarui pilihan tersebut saat menambahkan namespace baru yang perlu ditemukan oleh lapisan kontrol.

1. Di halaman Service Discovery Selectors, atur Mesh Discovery Mode ke Automatically Discover Services in the Selected Namespace of a Kubernetes Cluster on the Data Plane.

2. Di tab Select Namespace, pilih kluster target.

3. Pada daftar namespace yang muncul, klik unselect di sebelah kanan setiap namespace yang tidak ingin ditemukan oleh lapisan kontrol.

4. Di bagian bawah halaman, klik OK. Di kotak dialog Confirm, klik OK.

Metode 2: Gunakan pemilih label

Gunakan metode ini untuk mencocokkan namespace berdasarkan label. Setiap namespace yang label-nya sesuai dengan pemilih tetap berada dalam cakupan penemuan layanan, termasuk namespace yang Anda buat nanti. Sebelum mengonfigurasi pemilih, pastikan setiap namespace yang ingin ditemukan oleh lapisan kontrol memiliki label yang sesuai. Namespace tanpa label yang sesuai akan dikecualikan dari cakupan.

1. Di halaman Service Discovery Selectors, atur Mesh Discovery Mode ke Automatically Discover Services in the Selected Namespace of a Kubernetes Cluster on the Data Plane, lalu klik tab Edit Label Selector.

2. Tentukan aturan label yang harus dicocokkan oleh namespace. Misalnya, atur Key ke asm-discovery dan Operator ke Exists untuk mencocokkan setiap namespace yang memiliki label asm-discovery.

3. Di bagian bawah halaman, klik OK. Di kotak dialog Confirm, klik OK.

Periksa apakah instans ASM telah menerapkan konfigurasi

1. Di panel navigasi kiri, pilih Instance Information > Base Information.

2. Di halaman Base Information, periksa Status mesh.

   Jika Status adalah Running, instans ASM telah menerima konfigurasi dan siap kembali. Status ini hanya mengonfirmasi kesiapan instans. Untuk memastikan bahwa lapisan kontrol tidak lagi memproses layanan di namespace di luar cakupan, periksa konfigurasi proxy sidecar dan log lapisan kontrol seperti yang ditunjukkan dalam Example: Verify that the service discovery scope takes effect.

Langkah 1: Siapkan namespace dan aplikasi sampel

1. Buat namespace ns-in-mesh dan ns-not-in-mesh untuk kluster ACK pada bidang data. Untuk informasi selengkapnya, lihat Create a namespace.

2. Aktifkan injeksi proxy sidecar otomatis untuk namespace ns-in-mesh. Untuk informasi selengkapnya, lihat Enable automatic injection.

3. Jalankan perintah berikut untuk menambahkan label asm-discovery=enabled ke namespace ns-in-mesh di kluster ACK. Pemilih label pada Langkah 3 mencocokkan label ini.

   kubectl label namespace ns-in-mesh asm-discovery=enabled

4. Gunakan konten berikut untuk membuat file httpbin.yaml.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: httpbin
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: httpbin
     labels:
       app: httpbin
       service: httpbin
   spec:
     ports:
     - name: http
       port: 8000
       targetPort: 80
     selector:
       app: httpbin
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: httpbin
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: httpbin
         version: v1
     template:
       metadata:
         labels:
           app: httpbin
           version: v1
       spec:
         serviceAccountName: httpbin
         containers:
         - image: docker.io/kennethreitz/httpbin
           imagePullPolicy: IfNotPresent
           name: httpbin
           ports:
           - containerPort: 80

5. Jalankan perintah berikut untuk membuat aplikasi sampel httpbin di namespace ns-in-mesh dan ns-not-in-mesh.

   kubectl apply -f httpbin.yaml -n ns-in-mesh
   kubectl apply -f httpbin.yaml -n ns-not-in-mesh

Langkah 2: Periksa perilaku dorongan sebelum mempersempit cakupan

1. Jalankan perintah berikut untuk mendapatkan nama Pod httpbin di namespace ns-in-mesh.

   kubectl get pods -n ns-in-mesh

   Output yang diharapkan:

   NAME                       READY   STATUS    RESTARTS   AGE
   httpbin-6fcb98998c-46qhr   2/2     Running   0          22m

2. Jalankan perintah berikut untuk mengekspor konfigurasi proxy sidecar. Dalam perintah ini, ganti httpbin-6fcb98998c-46qhr dengan nama Pod httpbin yang Anda peroleh pada langkah sebelumnya.

   kubectl exec -it httpbin-6fcb98998c-46qhr -c istio-proxy -n ns-in-mesh -- curl -s localhost:15000/config_dump > config_dump.json

3. Buka file config_dump.json yang Anda ekspor dan cari httpbin.ns-not-in-mesh.

   Pencarian mengembalikan httpbin.ns-not-in-mesh, yang menunjukkan bahwa konfigurasi proxy sidecar masih berisi informasi layanan dari namespace ns-not-in-mesh, meskipun injeksi proxy sidecar otomatis tidak diaktifkan untuk namespace tersebut.

4. Gunakan konten berikut untuk membuat file sleep.yaml.

   ##################################################################################################
   # Sleep service
   ##################################################################################################
   apiVersion: v1
   kind: Service
   metadata:
     name: sleep
     labels:
       app: sleep
   spec:
     ports:
     - port: 80
       name: http
     selector:
       app: sleep
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: sleep
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: sleep
     template:
       metadata:
         labels:
           app: sleep
       spec:
         containers:
         - name: sleep
           image: pstauffer/curl
           command: ["/bin/sleep", "3650d"]
           imagePullPolicy: IfNotPresent
   ---

5. Jalankan perintah berikut untuk mendeploy aplikasi sleep di namespace ns-not-in-mesh kluster ACK.

   kubectl apply -f sleep.yaml -n ns-not-in-mesh

6. Periksa log lapisan kontrol. Titik masuk konsol bergantung pada versi instans ASM.

{"content":"2024-01-04T10:27:00.056248Z\tinfo\tads\tPush debounce stable[16] 1 for config ServiceEntry/ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local: 100.183738ms since last change, 100.183497ms since last push, full=true","_time_":"2024-01-04T18:27:00.056310074+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"1|MTcwNDM2MjU0MjUyMjE4OTYxMA==|10|4","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364020"}
{"content":"2024-01-04T10:26:59.956023Z\tinfo\tads\tFull push, new service ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local","_time_":"2024-01-04T18:26:59.956087922+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"1|MTcwNDM2MjU0MjUyMjE4OTYxMA==|10|3","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364020"}

{"content":"2024-01-04T10:33:21.180016Z\tinfo\tads\tPush debounce stable[28] 2 for config Address//c847e048f73054cb192835f8a60ea5219//Pod/ns-not-in-mesh/sleep-fc5cdb9c5-pkfvr and 1 more configs: 100.488198ms since last change, 121.179298ms since last push, full=true","_time_":"2024-01-04T18:33:21.180104591+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"0|MTcwNDM1NjA0OTcxOTcxNzAyMw==|11|9","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364401"}
{"content":"2024-01-04T10:33:21.079470Z\tinfo\tmodel\tFull push, new service ns-not-in-mesh/sleep.ns-not-in-mesh.svc.cluster.local","_time_":"2024-01-04T18:33:21.07954976+08:00","_source_":"stdout","_container_name_":"discovery","__pack_meta__":"0|MTcwNDM1NjA0OTcxOTcxNzAyMw==|11|8","__topic__":"asm_istiod_discovery","__source__":"log_service","__time__":"1704364401"}

Langkah 3: Persempit cakupan penemuan layanan ke namespace ns-in-mesh

Ikuti prosedur dalam Configure the service discovery scope untuk hanya menyertakan namespace ns-in-mesh dalam cakupan:

• Dengan Metode 1, klik unselect di sebelah kanan setiap namespace selain ns-in-mesh.

• Dengan Metode 2, atur Key ke asm-discovery dan Operator ke Exists, yang mencocokkan ns-in-mesh karena label yang Anda tambahkan pada Langkah 1.

Langkah 4: Periksa perilaku dorongan setelah mempersempit cakupan

1. Jalankan perintah berikut untuk mengekspor konfigurasi proxy sidecar lagi. Dalam perintah ini, ganti httpbin-6fcb98998c-46qhr dengan nama Pod httpbin yang Anda peroleh pada Langkah 2.

   kubectl exec -it httpbin-6fcb98998c-46qhr -c istio-proxy -n ns-in-mesh -- curl -s localhost:15000/config_dump > config_dump.json

2. Buka file config_dump.json yang Anda ekspor dan cari httpbin.ns-not-in-mesh.

   Pencarian tidak mengembalikan httpbin.ns-not-in-mesh, yang menunjukkan bahwa konfigurasi proxy sidecar tidak lagi berisi informasi layanan dari namespace ns-not-in-mesh.

3. Jalankan perintah berikut untuk menghapus aplikasi sleep dari namespace ns-not-in-mesh di kluster ACK.

   kubectl delete -f sleep.yaml -n ns-not-in-mesh

4. Periksa log lapisan kontrol lagi. Gunakan jalur navigasi sesuai versi ASM Anda dalam Step 2: Check the push behavior before you narrow the scope, tetapi atur rentang waktu ke 15 Minutes agar jendela mencakup momen saat Anda menghapus aplikasi sleep.

   Tidak ada log tentang penghapusan aplikasi sleep yang muncul. Hal ini menunjukkan bahwa perubahan di namespace di luar cakupan penemuan layanan tidak memicu lapisan kontrol untuk mendorong konfigurasi ke proxy sidecar.

Kecualikan Pod dengan label tertentu dari cakupan penemuan layanan

Kecualikan Pod yang memiliki label tertentu untuk segera menghentikan seluruh trafik yang diterima Pod tersebut. Secara default, ASM menemukan semua layanan dan Pod di kluster Kubernetes. Ketika sebuah Pod berada di luar cakupan penemuan layanan, lapisan kontrol ASM tidak menemukan Pod tersebut, dan proxy sidecar tidak mengirim permintaan ke Pod tersebut.

1. Masuk ke ASM console. Di panel navigasi kiri, pilih Service Mesh > Mesh Management.

2. Di halaman Mesh Management, klik nama instans ASM. Di panel navigasi kiri, pilih Service Discovery Selectors.

3. Bentangkan Advanced Options, lalu klik Logs with specified labels are not selected untuk menambahkan aturan label Pod.

4. Masukkan Key dan Value. Pod yang memiliki label yang ditentukan akan dikecualikan dari cakupan penemuan layanan. Misalnya, gunakan topology.kubernetes.io/region untuk mengecualikan Pod di wilayah tertentu, atau gunakan topology.kubernetes.io/zone untuk mengecualikan Pod di zona tertentu.

5. Di bagian bawah halaman, klik OK. Di kotak dialog yang muncul, klik OK.