Istio 证书管理之植入 CA 证书

本文介绍管理员如何使用根证书、签发证书及秘钥为 Istio 配置 CA（证书颁发机构）。Istio CA 使用由中间 CA 签发的私钥及证书，而中间 CA 由根 CA 签发。这样，Istio CA 即可为工作负载签发根证书及私钥。CA 层次结构图如下。

Istio 流量管理之安全 Gateway

上文“Istio 流量管理之 Ingress Gateway”介绍了如何使用 Gateway 将一个 7 层 HTTP 服务暴露给外部使用。本文将介绍如何为 Gateway 配置单向或双向 TLS 从而暴露一个安全的 HTTPS 服务给外部访问。关于 Istio 安装等环境准备，请参阅“Istio 安装使用”。

Istio 流量管理之 Ingress Gateway

Istio Ingress Gateway 是允许外部流量进入 Istio 服务网格的边缘服务。其比 Kubernetes Ingress 更具扩展性。且使用 Istio Ingress Gateway，使得 Istio 对于入口流量同样具有策略控制能力及可观察性。

Istio 流量管理之流量镜像

本文介绍一下 Istio 的流量镜像功能，即使用 Istio 可以将某一服务的实时流量拷贝一份并镜像到另一个服务。该特性对线上调试特别有用。

Istio 流量管理之熔断

熔断是创建弹性微服务应用的重要特性，使用熔断可以对并发连接太多，请求过频等做出主动防御，避免服务链条因单一故障问题而出现雪崩效应。

因熔断设置针对的是具体的目标主机，所以 Istio 使用 Destination Rule 来进行配置。

Istio 流量管理之请求超时

可以使用 Istio 在路由中设置请求超时时间。下面使用 Bookinfo 样例测试一下。

Istio 流量管理之 TCP 流量转移

在上文“Istio 流量管理之流量转移”中，我们使用 Istio 为 7 层 HTTP 应用作了流量按比例分配测试。本文使用 Istio 自带的 tcp-echo 样例对 4 层 TCP 应用作一下测试。

Istio 流量管理之流量转移

在日常的持续部署中，我们一般使用滚动升级的方式来进行微服务升级。若使用 Kubernetes 容器编排平台进行微服务滚动升级，其一般通过控制实例数的方式来实现。将旧版本下线，将新版本启动，新实例健康检查通过后，统一将流量打到新版本。

而使用 Istio，不用控制实例数，且可以更细粒度的控制流量打到各个版本的百分比，从而实现按比例将流量逐渐迁移到新版本来实现升级。

Istio 流量管理之故障注入

在微服务架构中，若一个服务不可用，会不会导致调用其 API 的上游服务也不可用，上游服务有没有针对该种情形做容错处理，这对应用的整体可用性来说是很关键的。Istio 可以在对微服务无侵入的情况下来模拟其发生故障，以帮助我们测试应用整体的容错能力。

Istio 主要使用 Virtual Service 提供两种故障注入能力：响应延迟与服务中止。

Istio 流量管理之请求路由

在上文“Istio 安装使用”中，我们对 Istio 进行了安装，并对 Bookinfo 样例进行了部署测试。本文接着上文，对 Istio 流量管理中的请求路由进行概念学习及样例测试。