检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
用户指南（旧版） 什么是应用服务网格 启用应用服务网格 添加服务 灰度发布 流量治理 流量监控 网格管理 附录
用户指南（新版） 欢迎使用应用服务网格 购买网格 网格管理 服务管理 网关管理 灰度发布 网格配置 流量治理 安全 监控中心
设置fsgroup，导致业务容器挂载文件属组被修改 问题描述 业务pod注入sidecar时设置fsgroup为1337，导致业务容器挂载文件属组被改成1337。 原因分析 因为k8s 版本bug： https://github.com/kubernetes/kubernetes/issues/57923
ASM用户委托权限收缩指南 背景介绍 应用服务网格权限管理是通过IAM统一身份认证里的委托实现的，而2024年7月前已进行授权的用户可能存在委托权限过大的问题，鉴于安全考虑，建议通过下文指导进行委托的权限收缩。 操作步骤 登录IAM控制台。 在左侧菜单栏单击委托，在搜索框中，搜索asm_admin_trust
启动前检查 以root用户登录虚拟机。 检查证书文件信息。 ls -l /opt/asm_proxy/certs/ 以下为预期结果： -rw------- 1 root root 757 Jan 24 10:41 istio-token -rw------- 1 root root
type(MediaType.APPLICATION_JSON).entity(jsonResStr).build(); } } 父主题： 用户指南（旧版）
台，它深度、无缝对接了华为云的企业级Kubernetes集群服务云容器引擎（CCE），在易用性、可靠性、可视化等方面进行了一系列增强，可为客户提供开箱即用的上手体验。 ASM提供非侵入式的微服务治理解决方案，支持完整的生命周期管理和流量治理，兼容Kubernetes和Istio生
Mesh，简称ASM）是华为云基于开源Istio推出的服务网格平台，它深度、无缝对接了华为云的企业级Kubernetes集群服务CCE，可为客户提供开箱即用的上手体验。 图说ASM 图说ASM 立即使用 立即使用 成长地图 由浅入深，带您玩转ASM 01 了解 了解华为云应用服务网
购买网格 网格类型概述 购买基础版网格 基础版、企业版、社区开源版本对比 扁平网络和非扁平网络 大规格实例优化 父主题： 用户指南（新版）
时ASM控制台界面也仅支持delegate格式的VirtualService，升级版本并不会对用户的VirtualService进行修改，在升级后用户将无法在页面对路由进行维护，因此用户需要根据本文指导对应用VirtualService进行修改。 对于delegate的介绍可以参考istio社区的说明：
时ASM控制台界面也仅支持delegate格式的VirtualService，升级版本并不会对用户的VirtualService进行修改，在升级后用户将无法在页面对路由进行维护，因此用户需要根据本文指导对应用VirtualService进行修改。 对于Delegate的介绍可以参考istio社区的说明：
stio Operator组件重启，可能会导致部分用户运行配置被重置为默认值，建议及时升级ASM版本以避免对您的业务产生影响。 触发场景 ASM使用IstioOperator的CRD资源对网格组件进行配置，在1.8.4版本中，用户若通过CCE控制台“工作负载”页面修改IstioOperator默认关键配置，Istio
区域多集群服务的统一治理。以基础设施的方式为用户提供服务流量管理、服务运行监控、服务访问安全以及服务发布能力。 ASM控制面和数据面均和开源Istio完全兼容，无缝对接华为云的企业级Kubernetes集群服务云容器引擎CCE，可为客户提供开箱即用的上手体验。 什么是Istio
购买基础版网格 基础版网格的控制面组件安装在用户集群，用户需要自行管理和维护集群内的控制面组件。 前提条件 已创建CCE集群，如果未创建，请参照购买CCE集群创建。 约束与限制 应用服务网格依赖集群CoreDNS的域名解析能力，请确保集群拥有足够资源，且CoreDNS插件运行正常。
网格配置概述 网格配置提供了集群管理、系统组件管理、sidecar管理、istio资源管理以及升级能力。 Istio控制面组件负责向数据面组件注入sidecar，管理数据面sidecar行为，下发策略配置，搜集监控数据等。其中，sidecar是指运行在业务Pod中，与业务容器协同
相关信息，可以将Envoy的内存占用最小化。 Mantis工作原理 Mantis的架构和工作流程如下图所示： 网格安装Mantis后，会在用户集群安装CentralGateway（CGW）组件。CGW包含网格全局的服务路由信息，用于转发首包流量；网格控制面会根据服务调用关系按需更新服务路由信息。
Token）是一种服务端向客户端发放令牌的认证方式。客户端用户名密码登录时，服务端会生成一个令牌返回给客户端；客户端随后在向服务端请求时只需携带这个令牌，服务端通过校验令牌来验证是否是来自合法的客户端，进而决定是否向客户端返回应答。从机制可以看到，这种基于请求中携带令牌来维护认证的客户端连接的方
地编辑好的YAML或JSON文件上传上来。 确认文件内容无误，默认勾选底部提示信息，即控制台相关功能将不再开放使用，单击“确定”保存。 创建Istio资源后，具体哪些控制台功能不可用，与Istio资源类型有关，详细说明请参见YAML配置资源处理策略。 Istio资源说明 表1 Istio资源说明
严格模式（STRICT） 流量只能通过隧道进行传输，因为请求必须是TLS加密的密文，且必须带有客户端证书。 JWT认证 在服务网格中配置JWT（JSON Web Token）请求授权，可以实现来源认证。在接收用户请求时，该配置用于认证请求头信息中的Access Token是否可信，并授权给来源合法的请求。
在确定连接已失效前，要发送的保活探测的最大数量。默认使用操作系统级别配置（除非被覆盖，Linux默认为9） 1- 健康检查间隔（s） 保活探测之间的持续时间。默认使用操作系统级别配置（除非被覆盖，Linux默认为75秒） 0.001-2592000 连接超时时间（s） TCP连接超时时间，默认值为10秒
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
