使用 istioctl check-inject 验证 Istio Sidecar 注入

istioctl experimental check-inject 是一个诊断工具，可帮助您验证特定 Webhook 是否会在 Pod 中执行 Istio Sidecar 注入。这个工具可用于检查 Sidecar 注入的配置是否正确地应用于一个活跃的集群。

快速入门

要检查针对特定 Pod 为什么 Istio Sidecar 注入已发生/未发生（或将发生/不会发生），请运行：

  1. $ istioctl experimental check-inject -n <namespace> <pod-name>

对于 Deployment，请运行：

  1. $ istioctl experimental check-inject -n <namespace> deploy/<deployment-name>

或者，对于标签对：

  1. $ istioctl experimental check-inject -n <namespace> -l <label-key>=<label-value>

例如，如果您在 hello 命名空间中有一个名为 httpbin 的 Deployment 和一个名为 httpbin-1234 且标签为 app=httpbin 的 Pod，则以下命令是等效的：

  1. $ istioctl experimental check-inject -n hello httpbin-1234
  2. $ istioctl experimental check-inject -n hello deploy/httpbin
  3. $ istioctl experimental check-inject -n hello -l app=httpbin

示例结果：

  1. WEBHOOK                      REVISION  INJECTED      REASON
  2. istio-revision-tag-default   default   ✔             Namespace label istio-injection=enabled matches
  3. istio-sidecar-injector-1-18  1-18      ✘             No matching namespace labels (istio.io/rev=1-18) or pod labels (istio.io/rev=1-18)

如果 INJECTED 字段标记为 ✔， 则该行中的 Webhook 将执行注入，并说明 Webhook 将进行边车注入的原因。

如果 INJECTED 字段标记为 ✘，则该行中的 Webhook 将不执行注入，并且也会显示原因。

Webhook 不执行注入或注入有错误的可能原因：

  1. 没有匹配的命名空间标签或 Pod 标签: 确保在命名空间或 Pod 上设置正确的标签。

  2. 没有匹配特定修订版本的命名空间标签或Pod标签: 设置正确的标签以匹配所需的 Istio 修订版本。

  3. 防止注入的 Pod 标签: 删除标签或将其设置为适当的值。

  4. 防止注入的命名空间标签: 将标签更改为适当的值。

  5. 多个 Webhook 注入 sidecar: 确保只启用一个 Webhook 进行注入，在命名空间或 Pod 上设置适当的标签以针对特定的 Webhook。