​简介： 本文介绍的基于“流量打标”和“按标路由”能力是一个通用方案，基于此可以较好地解决测试环境治理、线上全链路灰度发布等相关问题，基于服务网格技术做到与开发语言无关。同时，该方案适应于不同的7层协议，当前已支持HTTP/gRpc和Dubbo协议。作者｜曾宇星（宇曾）背景微服务软

Istio 安全(概念) 通过将一个单一应用划分为多个原子服务的方式，可以提供更好的灵活性，可扩展性以及重用服务的能力。然而微服务对安全有特殊的要求： 抵御中间人攻击，需要用到流量加密 提供灵活的服务

Istio的运维-诊断工具 涵盖官方文档的诊断工具章节 使用istioctl命令行工具 首先可以通过日志或Introspection检查各个组件，如果不足以支持问题定位，可以参考如下操作： istio

Istio的流量管理(实操一) 使用官方的Bookinfo应用进行测试。涵盖官方文档Traffic Management章节中的请求路由，故障注入，流量迁移，TCP流量迁移，请求超时，熔断处理和流量镜

Istio安全-授权 授权HTTP流量 本节展示如何在istio网格中授权HTTP流量。 部署Bookinfo。由于下例在策略中使用了principal和namespace，因此需要启用mutual

Istio中的流量配置 Istio注入的容器 Istio的数据面会在pod中注入两个容器：istio-init和istio-proxy。 Istio-init istio-init会通过创建iptab

Istio的流量管理(实操三) 涵盖官方文档Traffic Management章节中的egress部分。 访问外部服务 由于启用了istio的pod的出站流量默认都会被重定向到代理上，因此对集群外部

Istio的流量管理(概念) 涵盖istio官方文章的Traffic Management章节 概述 istio的流量路由规则可以简单地控制不同服务间的流量以及API调用。Istio在服务层面提供了断

openshift 4.3 Istio的搭建 本文档覆盖了官方文档的Setup的所有章节 安装Istio 本次安装的Istio版本为1.7.0，环境为openshift 4.3 注：不建议使用open

Istio的流量管理(实操二) 涵盖官方文档Traffic Management章节中的inrgess部分。 Ingress网关 在kubernetes环境中，kubernetes ingress资源

Istio多集群(1)-多控制面 参考自官方文档。 复制控制面 本节将使用多个主集群(带控制面的集群)来部署Istio多集群，每个集群都有自己的控制面，集群之间使用gateway进行通信。 由于不使用

Istio的部署模型介绍 部署模型 当配置一个生产级别的Istio时，需要解决一些问题：如网格是单集群使用，还是跨集群使用？所有的服务会放到一个完全可达的网络中，还是需要网关来连接跨网络的服务？使用一

Istio 的配置分析 Analyzer 的消息格式 istioctl analyze 命令提供了如下消息格式： <level> [<code>

Envoy 代理中的请求的生命周期 翻译自Envoy官方文档。 下面描述一个经过Envoy代理的请求的生命周期。首先会描述Envoy如何在请求路径中处理请求，然后描述请求从下游到达Envoy代理之后发

Istio安全-认证 认证策略 本节会介绍如何启用，配置和使用istio的认证策略，了解更多关于认证的底层概念。 首先了解istio的认证策略和相关的mutual TLS认证概念，然后使用defaul

Istio安全-证书管理 注：本章更新至1.8版本 插入现有CA证书 本节展示了管理员如何使用现有的根证书来授权istio证书，签发证书和密钥，不使用Istio自动生成的证书。 默认情况下，istio

Istio可观测性 Istio的可观测性包括metrics，日志，分布式链路跟踪以及可视化展示。下面主要介绍如何在istio中部署基于Prometheus的metrics监控，基于jaeger的链路跟