主-从架构的安装

主-从架构的安装

按照本指南，在 cluster1 主集群（primary cluster）安装 Istio 控制平面，并设置 cluster2 从集群（remote cluster）指向 cluster1 的控制平面。两个集群都运行在 network1 网络上，所以两个集群的 Pod 之间，网络可直接连通。

继续安装之前，请先确认完成了准备工作中的步骤。

在此配置中，集群 cluster1 将监测两个集群 API 服务器的服务端点。以这种方式，控制平面就能为两个集群中的工作负载提供服务发现。

服务的工作负载（pod 到 pod）可跨集群边界直接通讯。

cluster2 中的服务将通过专用的东西向网关访问 cluster1 的控制平面。

Primary and remote clusters on the same network

目前，从集群配置档在从集群安装 Istio 服务器，该服务器用来为集群中的工作负载注入 CA 和 webhook。但是，服务发现会访问主集群的控制平面。

后续版本将完全消除在从集群中安装 Istiod 的需求。请保持关注！

将 `cluster1` 设为主集群

为 cluster1 创建 Istio 配置文件：

$ cat <<EOF > cluster1.yaml
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  values:
    global:
      meshID: mesh1
      multiCluster:
        clusterName: cluster1
      network: network1
EOF

将配置文件应用到 cluster1：

$ istioctl install --context="${CTX_CLUSTER1}" -f cluster1.yaml

在 `cluster1` 安装东西向网关

在 cluster1 中安装东西向流量专用网关，默认情况下，此网关将被公开到互联网上。生产系统可能需要增加额外的准入限制（即：通过防火墙规则）来防止外部攻击。咨询你的云供应商，了解可用的选项。

Zip

$ @samples/multicluster/gen-eastwest-gateway.sh@ \
    --mesh mesh1 --cluster cluster1 --network network1 | \
    istioctl --context="${CTX_CLUSTER1}" install -y -f -

等待东西向网关获取外部 IP 地址：

$ kubectl --context="${CTX_CLUSTER1}" get svc istio-eastwestgateway -n istio-system
NAME                    TYPE           CLUSTER-IP    EXTERNAL-IP    PORT(S)   AGE
istio-eastwestgateway   LoadBalancer   10.80.6.124   34.75.71.237   ...       51s

在 `cluster1` 中开放控制平面

在安装 cluster2 之前，我们需要开放 cluster1 的控制平面，以便 cluster2 中的服务能访问到服务发现：

Zip

$ kubectl apply --context="${CTX_CLUSTER1}" -f \
    @samples/multicluster/expose-istiod.yaml@

配置 API 服务器到 `cluster2` 的访问

在配置从集群之前，我们必须先授予 cluster1 控制平面到 cluster2 API 服务器的访问权限。这将执行以下操作：

开启控制平面的身份认证功能，以验证 cluster2 中工作负载的连接请求。如果没有 API 服务器的访问权限，控制平面将会拒绝该请求。
在 cluster2 中启用服务发现的服务端点。

要提供到 cluster2 API 服务器的访问，我们要生成一个从集群的 secret，并把它应用到 cluster1。

$ istioctl x create-remote-secret \
    --context="${CTX_CLUSTER2}" \
    --name=cluster2 | \
    kubectl apply -f - --context="${CTX_CLUSTER1}"

将 `cluster2` 设为从集群

保存 cluster1 东西向网关的地址。

$ export DISCOVERY_ADDRESS=$(kubectl \
    --context="${CTX_CLUSTER1}" \
    -n istio-system get svc istio-eastwestgateway \
    -o jsonpath='{.status.loadBalancer.ingress[0].ip}')

现在，为 cluster2 创建一个从集群配置：

$ cat <<EOF > cluster2.yaml
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  profile: remote
  values:
    global:
      meshID: mesh1
      multiCluster:
        clusterName: cluster2
      network: network1
      remotePilotAddress: ${DISCOVERY_ADDRESS}
EOF

将此配置应用到 cluster2

$ istioctl install --context="${CTX_CLUSTER2}" -f cluster2.yaml

恭喜! 你已经成功地安装了跨主-从集群的 Istio 网格！

后续步骤

现在，你可以验证此次安装.

主-从架构的安装

主-从架构的安装

将 cluster1 设为主集群

在 cluster1 安装东西向网关

在 cluster1 中开放控制平面

配置 API 服务器到 cluster2 的访问

将 cluster2 设为从集群

后续步骤

相关内容

将 `cluster1` 设为主集群

在 `cluster1` 安装东西向网关

在 `cluster1` 中开放控制平面

配置 API 服务器到 `cluster2` 的访问

将 `cluster2` 设为从集群