检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
ASM用户委托权限收缩指南 背景介绍 应用服务网格权限管理是通过IAM统一身份认证里的委托实现的，而2024年7月前已进行授权的用户可能存在委托权限过大的问题，鉴于安全考虑，建议通过下文指导进行委托的权限收缩。 操作步骤 登录IAM控制台。 在左侧菜单栏单击委托，在搜索框中，搜索asm_admin_trust
23、v1.25、v1.27 CCE集群版本 修复了 CVE-2023-44487、CVE-2023-39325、CVE-2023-27487 等安全漏洞 详细内容请参阅：https://istio.io/latest/news/releases/1.15.x/announcing-1.15
YAML配置资源处理策略 通过控制台和“Istio资源管理”中的YAML方式均可以创建Istio资源，为了避免两个入口的配置相冲突，建议您： 控制台创建的资源，在控制台维护 YAML创建的资源，YAML方式维护 如果控制台创建的资源通过YAML方式修改，将会导致控制台对应功能不可
您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 创建负载均衡。 弹性负载均衡将作为服务网格对外访问入口，
您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 创建负载均衡 弹性负载均衡将作为服务网格对外访问入口，被
启用服务网格后，状态一直为安装中 问题描述 为CCE集群启用服务网格（即购买网格）后，网格状态一直显示为“安装中”，鼠标放上去提示“正在启用istio服务网格：开通用户安全组规则成功”。 问题定位 登录CCE控制台，进入对应集群详情页，在“资源 > 命名空间”中查看istio-system命名空间是否存在。 原因分析
添加网关 服务网关在微服务实践中可以做到统一接入、流量管控、安全防护、业务隔离等功能。 前提条件 服务网关使用弹性负载均衡服务（ELB）的负载均衡器提供网络访问，因此在添加网关前，请提前创建负载均衡。 创建负载均衡时，需要确保所属VPC与集群的VPC一致，详情请参见创建独享型负载
务云容器引擎（CCE），在易用性、可靠性、可视化等方面进行了一系列增强，可为客户提供开箱即用的上手体验。 ASM提供非侵入式的微服务治理解决方案，支持完整的生命周期管理和流量治理，兼容Kubernetes和Istio生态，其功能包括负载均衡、熔断、限流等多种治理能力。ASM内置金
用集群，并确保集群版本为v1.15、v1.17、v1.19、v1.21、v1.23、v1.25、v1.27、v1.28、v1.29。不支持安全容器类型的CCE Turbo集群添加至网格。 ASM 1.18之前的版本不支持CCE Turbo集群中如下操作系统节点上的容器添加至网格。
您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 创建负载均衡 弹性负载均衡将作为服务网格对外访问入口，被
asm_admin_trust包含的权限有：Tenant Guest和CCE FullAccess。在2024年7月前已进行授权的用户可能存在委托权限过大的问题，鉴于安全考虑，建议参考asm用户委托权限收缩指南进行委托的权限收缩。
验证流程 准备两台ECS虚拟机。 虚拟机1请参考部署ASM-PROXY部署PROXY，虚拟机2可以不用部署。但请确保虚拟机间网络正常，且安全组、防火墙已放通。 在虚拟机1上部署httptest应用。 具体操作请参见部署虚拟机服务。 添加虚拟机1上的服务到网格。 具体操作请参见添加虚拟机服务到网格。
大规格实例优化 当网格内实例规模持续增大时，会引起Istio控制面组件Istiod和数据面组件Envoy的内存飙升问题。在购买网格时，可以为网格启用Mantis插件来解决此问题。 大规格实例优化特性仅在“华东-上海一”区域开放。 Mantis插件介绍 Mantis致力于解决由网格
包周期的独享节点如何退订？ Istio卸载之后，为什么独享节点还在？ 如何升级ICAgent？ 企业版网格添加集群时，选择非扁平网络，为什么查询不到ELB？ 集群校验报错常见场景及解决方案 如何为集群开放命名空间注入？ 某些工作负载不注入Sidecar，该如何配置？ 如何通过对等连接
istiod-elb kubectl -nistio-system delete vs istiod 验证业务功能若出现服务异常场景，单击处理，查看异常错误。 在CCE service页面修改 业务切流 业务切流有两种方案，可根据需要进行选择。 方案一 使用DNS切换后端ELB IP
灰度发布概述 灰度发布是迭代的软件产品在生产环境安全上线的一种重要手段。 应用服务网格基于Istio提供的服务治理能力，对服务提供多版本支持和灵活的流量策略，从而支持多种灰度发布场景。 当前版本支持金丝雀发布和蓝绿发布。 金丝雀发布 在生产环境上引一部分实际流量对一个新版本进行测
购买网格 企业版网格支持对多个集群进行管理，且支持服务跨集群通信。本章节介绍如何购买基础版网格，以及如何为网格添加多个集群。 目前支持v1.15、v1.17、v1.19或v1.21版本的集群加入企业版网格。v1.23及以上版本的集群建议加入基础版网格。 操作步骤 登录应用服务网格ASM控制台。
多集群场景安装的时候，15012端口是暴露在公网的，受攻击影响的可能性大一些。 根本原因 15012端口接收的请求不需要认证信息即可被Istiod处理，在大量向Istiod该端口发送请求时会导致Istiod服务不可用。 受影响版本 低于1.13.1版本的Istio 补丁修复版本 ASM 1
使用ingress中转方案 前提 确保准备工作已完成。 网格仅使用了网关能力。 已经创建和原网格网关同规格的ELB实例。 创建Ingress资源 证书secret从istio-system空间迁移到业务命令空间，可使用如下命令： kubectl -nistio-system get
原集群卸载重装方案 前提 确保准备工作已完成。 移除集群 登录应用服务网格控制台，单击待迁移的企业版网格名称进入网格详情页面，在在网关管理页面删除网格内的所有网关资源。 在网格详情页，单击“网格配置”进入基本信息页签，单击集群后面的“移除”按钮 。 是否重启已有服务选择“是”，勾
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
