检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Secret中加载私钥和证书。对于Istio1.8及更高版本，Secret通过XDS API从Istiod传送到网关或工作负载。 网关或工作负载部署应该只能访问存储在其命名空间内的Kubernetes Secret中的凭证（TLS证书和私钥）。但是，Istiod中的一个错误允许授权客户
com域名，通过更改host可以切换不同的流量。 业务切流 在本地host将域名对应的ELB IP地址改为新的ELB IP。 本地验证功能，验证成功后修改DNS 配置，将域名解析IP地址改为新ELB的IP。 迁移 登录应用服务网格控制台，单击待迁移的企业版网格名称进入网格详情页面，在在网关管理页面删除网格内的所有网关资源。
Istio是一个提供连接、保护、控制以及观测功能的开放平台，通过提供完整的非侵入式的微服务治理解决方案，能够很好的解决云原生服务的管理、网络连接以及安全管理等服务网络治理问题。 随着微服务的大量应用，其构成的分布式应用架构在运维、调试和安全管理等维度变得更加复杂，开发者需要面临更大的挑战，如：服务发现、负
多集群安全：在多集群场景下ASM提供了全局的服务访问安全。多个集群的网格共享一套根证书，给数据面的服务实例分发密钥和证书对，并定期替换密钥证书，根据需要撤销密钥证书。在服务间访问时，网格的数据面代理就会代理本地服务和对端进行双向认证、通道加密。这里的双向认证的服务双方可以来自两个不同的集群，从而做到跨集群的透明的端到端双向认证。
请确保网络三层连通性： 为了保证虚拟机与CCE集群的Pod互通，准备的虚拟机需要与CCE集群处于同一VPC内。 虚拟机需放通安全组，入方向需添加到<cluster-name>-cce-control安全组的规则，否则ping不通Pod IP。 获取根证书 通过kubectl访问CCE集群。
配置安全策略 ASM提供的安全功能主要分为访问授权、对端认证和JWT认证，以确保服务间通信的可靠性。 操作步骤 登录应用服务网格控制台，单击服务网格的名称，进入网格详情页面。 在左侧导航栏选择“服务管理”，在列表右上方选择服务所在命名空间。 选择一个服务，单击操作列的“安全”，在右侧页面进行访问授权和对端认证配置。
1.3版本特性 基于Mixer的Metric、访问日志和调用链 支持SDS，证书轮换无需重启Pod 支持Sidecar API 控制面性能优化 华为私有版本Virtual Service Delegation上线，提前为大客户提供解耦Gateway流量配置 支持v1.13、v1.15、v1
景，有助于您更准确的匹配实际业务，让您的业务高效上云。 产品介绍 什么是应用服务网格 产品优势 应用场景 规格推荐 约束与限制 基本概念 与其他服务的关系 04 使用 ASM提供非侵入式的微服务治理解决方案，支持完整的生命周期管理和流量治理，兼容Kubernetes和Istio生
在“Encode”区域将看到自动转换后的JWT Token。 HEADER：设置alg为“RS512”，输入1创建的JWK中的kid，设置type为“JWT”。 PAYLOAD：设置iss为“test”，aud为“ASM”，确保与2中配置的发行者、令牌受众保持一致。 VERIFY
漏洞公告 未认证的控制面DoS攻击（CVE-2022-23635） Istiod TLS证书密钥滥用（CVE-2021-34824）
”开头。 URL 服务支持的映射URL，例如/example。 命名空间 服务网关所在的命名空间。 目标服务 添加网关的服务，直接在下拉框中选择。目标服务会根据对应的网关协议进行过滤，过滤规则请参见添加路由时，为什么选不到对应的服务？。 配置诊断失败的服务无法选择，需要先根据手动修复项或自动修复项进行修复。
数据面升级说明 单击“升级”会将所有服务实例对接到新版本控制面，您可以通过修改命令空间的标签（去除istio-injection:enabled ，加上istio.io/rev: {revision} ，其中{revision} 为版本号，如1-13-9-r5），并重启部分pod进行测试，若无问题，则可以全部切换。
您根据您的业务需求，选择合适的独享节点规格，以提高应用服务网格的可用性。 QPS（每秒请求数）总数 0~20000 20000~60000 节点规格 8U16G 16U32G 其中QPS总数为集群中所有应用的所有组件QPS总和。 即将提供应用服务实例个数与控制面内存资源的匹配推荐。
准备工作 为集群开通Istio之前，您需要完成如下的准备工作。 创建虚拟私有云 虚拟私有云（Virtual Private Cloud，简称VPC）是用户在华为云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性IP搭建业务系统。
页数），以及关于书籍的一些评论。 Bookinfo应用由四个单独的服务构成，几个服务是由不同的语言编写的。这些服务对应用服务网格ASM并无依赖，但是构成了一个有代表性的服务网格的例子，即由多个服务、多个语言构成，且reviews服务具有多个版本。这四个服务的说明如下： produ
sidercar会在标准输出中打印访问日志，istio日志中每个字段的含义解读如下。由于不同istio版本的访问日志格式及其字段的内容存在差异，下面分1.15及以下版本和1.18及以上版本两大类进行说明。 1.15及以下版本 1.15版本及以下采用Istio的默认格式。以下面的istio日志为例，字段含义见下表。
Service的端口名称是否符合istio规范 问题描述 Service端口名称必须包含指定的协议和前缀，按以下格式命名： name: <protocol>[-<suffix>] 其中，<protocol>可以是http、tcp、grpc等，Istio根据在端口上定义的协议来提供对应的路由能力。例如“name:
务容器协同工作，负责业务Pod的路由转发，监控数据采集，流量规则配置等功能。 “网格配置”中各个页签的功能如下： “基本信息”页签：可查看网格名称、网格ID、网格状态、网格类型、网格规格、当前版本、计费模式、网格控制面网段、可观测性以及已启用网格的集群。 企业版网格还支持添加、移除集群，详情请参见添加集群。
准备工作 应用灰度发布之前，您需要完成如下的准备工作。 创建虚拟私有云 虚拟私有云（Virtual Private Cloud，简称VPC）是用户在华为云上申请的隔离的、私密的虚拟网络环境。用户可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性IP搭建业务系统。
包周期的独享节点如何退订？ 包周期资源退订入口，统一在订单管理页。包周期资源与CCE退订规则相同，需提交工单，联系运维人员退订。 父主题： 网格管理
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
