-
服务运行监控 - 应用服务网格 ASM
需要增强容器、评估API端点的性能以及识别出基础设施中的有害部分。Istio服务网格可在不修改代码的情况下实现API增强,并且不会带来服务延迟。 价值 应用服务网格为网格内的所有服务通信生成详细的遥测,这种遥测技术提供了服务行为的可观察性,允许运营商对其应用程序进行故障排除、维护
-
网格配置概述 - 应用服务网格 ASM
包括istio-egressgateway、istio-ingressgateway、istio-eastwestgateway(非扁平网络包含)和istiod。如果启用了大规格实例优化(即安装Mantis插件),还会显示mantis-centralgateway组件的信息。
-
网格管理 - 应用服务网格 ASM
企业版网格添加集群时,选择非扁平网络,为什么查询不到ELB? 集群校验报错常见场景及解决方案 如何为集群开放命名空间注入? 某些工作负载不注入Sidecar,该如何配置? 如何通过对等连接打通两个集群的VPC网络,实现实例跨集群通信? 服务跨集群通信时网络不通,如何解决? Sidecar未就绪导致Pod启动失败
-
基本概念 - 应用服务网格 ASM
应用流量治理提供可视化云原生应用的网络状态监控,并实现在线的网络连接和安全策略的管理和配置,当前支持连接池、熔断、负载均衡、HTTP头域、故障注入等能力。 连接池管理 配置TCP和HTTP的连接和请求池相关阈值,保护目标服务,避免对服务的过载访问。 熔断 配置快速响应和隔离服务访问故障,防止网络和服务调用
-
为服务添加灰度版本 - 应用服务网格 ASM
可以自定义请求头的key和value,value支持完全匹配和正则匹配。 允许访问的操作系统:请选择允许访问的操作系统,包括iOS、android、windows、macOS。 允许访问的浏览器:请选择允许访问的浏览器,包括Chrome、IE。 灰度策略规则描述:当前服务的流量转发的规则描述信息及Yaml的查看。
-
创建灰度任务 - 应用服务网格 ASM
可以自定义Query的key和value,value支持完全匹配和正则匹配。 允许访问的操作系统:请选择允许访问的操作系统,包括iOS、Android、Windows、macOS。 允许访问的浏览器:请选择允许访问的浏览器,包括Chrome、IE。 流量管理Yaml信息:根据所设置的参数自动生成规则YAML。
-
集群校验报错常见场景及解决方案 - 应用服务网格 ASM
有集群。 集群和网格中已有集群网络类型冲突 解决方案:请检查待添加集群网络类型,如果是overlay_l2容器隧道网络类型,若网格中已存在集群,则会失败,需要先把网格中已添加集群全部移除;如果是VPC网络,若网格中已有overlay_l2容器隧道网络类型集群,则失败,需要把ove
-
如何搭建IPv4/IPv6双栈网格 - 应用服务网格 ASM
创建网关。 约束与限制 支持启用双栈网格的约束。 网格类型 Istio版本 支持启用的集群类型 集群网络类型 其他说明 基础版 1.18及以上 CCE Turbo集群 云原生网络2.0 集群需要已启用IPv6,请参考通过CCE搭建IPv4/IPv6双栈集群 支持创建IPv4/IPv6网关的约束。
-
产品优势 - 应用服务网格 ASM
权重、内容等路由规则,实现应用灵活灰度发布。 负载均衡,满足业务处理高可用性诉求。 熔断,实现服务间链路稳定、可靠。 网络长连接管理降低资源损耗,提升网络吞吐量。 服务安全认证、鉴权、审计等,提供服务安全保障基石。 图形化应用全景拓扑,流量治理可视化 应用服务网格提供了可视化
-
端到端的透明安全 - 应用服务网格 ASM
工具。 价值 默认的安全性:无需修改即可保证应用程序代码和架构的安全性。 纵深防御:与现有的安全系统结合并提供多层防御。 零信任网络:在不受信任的网络上构建安全解决方案。 优势 非侵入安全:应用服务网格是以一种安全基础设施的方式向用户提供透明的安全能力,让不涉及安全问题的代码安全
-
添加的对外访问方式不能生效,如何排查? - 应用服务网格 ASM
istio-system命令查看使用的ingressgateway是否有对应的IP和端口,且未处于pending状态。 核实加入服务网格的内部访问协议和添加网络配置的外部访问协议一致。 如果通过浏览器访问出现“ERR_UNSAFE_PORT”错误,是因为该端口被浏览器识别为危险端口,此时应更换为其他外部端口。
-
未认证的控制面DoS攻击(CVE-2022-23635) - 应用服务网格 ASM
Istio 1.12.4版本及以上 Istio 1.11.7版本及以上 规避和消减措施 除了升级版本没有有效的规避措施。将客户端对Istiod的网络访问限制在最小范围可以帮助减少某种程度上的漏洞的影响范围。 相关链接 Istio官方安全公告 Istio社区漏洞公告 父主题: 漏洞公告
-
所有Pod是否都注入了sidecar - 应用服务网格 ASM
CE控制台手动重启Pod。方法如下: 登录CCE控制台,在工作负载所在行,单击操作列的“更多 > 重新部署”。 检查工作负载是否配置了主机网络模式。方法如下: 登录CCE控制台,在工作负载所在行,单击操作列的“更多 > 编辑YAML”,查看是否配置了spec.template.spec
-
添加服务 - 应用服务网格 ASM
在右侧页面,单击“添加服务网关”,配置对外访问网络参数。 网关名称 新建服务网关的名称,由小写字母、数字、横线(-)和点(.)组成,且必须以字母或数字开头结尾,长度不能超过63个字符。 集群名称 服务网关所属的集群。 负载均衡配置 服务网关使用弹性负载均衡服务(ELB)的负载均衡器提供网络访问,支持公网和私网两种类型。
-
服务流量管理 - 应用服务网格 ASM
在Istio中实现这些服务治理功能时无须修改任何应用的代码。 应用服务网格ASM基于Istio可以为管理的服务提供非侵入的流量治理能力。根据服务的协议,提供策略化、场景化的网络连接管理。在应用拓扑上对选定服务的选定端口,根据需要配置各种不同的治理规则。 优势 重试:服务访问失败自动重试,从而提高总体访问成功率和质
-
大规格实例优化 - 应用服务网格 ASM
效减小Envoy内存消耗。 Mantis使用约束 启用Mantis插件对网格有如下限制: 企业版网格,1.8.4-r4及以上网格版本,扁平网络拓扑。 Mantis插件仅针对HTTP协议的服务做优化。 安装Mantis插件后,暂时不支持卸载。 安装Mantis插件的网格升级时,会同步升级Mantis插件。
-
流量治理 - 应用服务网格 ASM
不启用:取消故障注入。如果不需要继续触发故障,可单击故障类型中的“不启用”来删除已配置的故障。 时延故障:对通往组件的请求有延迟。 故障百分比:故障按比例发生。 延时:设定的时间延迟单位。 中断故障:会中断该组件的服务并返回预设状态码。 故障百分比:故障按比例发生。 Http状态码:终止故障时返回的http状态码,默认返回500。
-
Bookinfo应用的灰度发布实践 - 应用服务网格 ASM
创建虚拟私有云和子网。 虚拟私有云(Virtual Private Cloud,简称VPC)提供一个隔离的、用户自主配置和管理的虚拟网络环境,可以提升资源的安全性,简化用户的网络部署。 登录虚拟私有云VPC控制台。 单击右上角的“创建虚拟私有云”。 如果无特殊需求,界面参数均可保持默认,单击“立即创建”。
-
基础版、企业版及社区开源版本对比 - 应用服务网格 ASM
√ √ √ 命令行工具 支持使用命令行进行流量策略管理(如istioctl、kubectl) - √ √ 企业版高阶能力 多集群 支持扁平网络多集群统一流量治理 - - √ 灰度发布 支持灰度负载部署在多集群,支持跨集群的灰度流量 - - √ 应用拓扑 应用拓扑可以下钻到版本或实例级别观测对应的服务访问指标
-
基础版、企业版、社区开源版本对比 - 应用服务网格 ASM
√ √ √ 命令行工具 支持使用命令行进行流量策略管理(如istioctl、kubectl) - √ √ 企业版高阶能力 多集群 支持扁平网络多集群统一流量治理 - - √ 灰度发布 支持灰度负载部署在多集群,支持跨集群的灰度流量 - - √ 应用拓扑 应用拓扑可以下钻到版本或实例级别观测对应的服务访问指标