第 2 章 Service Mesh 架构

服务网格（service mesh）是一个微服务网络，它用于在一个分布式的微服务架构中构成应用程序，并提供不同微服务间的交互功能。当服务网格的规模和复杂性增大时，了解和管理它就会变得非常困难。

Red Hat OpenShift Service Mesh 基于开源 Istio 项目，它在不需要修改服务代码的情况下，为现有的分布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您可以使用 control plane 功能配置和管理 Service Mesh。

Red Hat OpenShift Service Mesh 可让您轻松创建部署的服务网络，该网络提供：

Red Hat OpenShift Service Mesh 还提供更复杂的操作功能，其中包括：

Red Hat OpenShift Service Mesh 在逻辑上被分成一个 data plane 和一个 control plane：

data plane 是一组作为 sidecar 部署的智能代理。这些代理会接收并控制服务网格内不同微服务之间的所有入站和出站网络数据。Sidecar 代理还和 Mixer（通用的策略和遥测系统） 进行沟通。

control plane 可以为路由流量管理和配置代理，并配置 Mixer 来强制执行策略并收集遥测数据。

Red Hat OpenShift Service Mesh 还使用 istio-operator 来管理 control plane 的安装。Operator 是一个软件，它可让您实现和自动化 OpenShift 集群中的常见操作。它相当于一个控制器，用于设置或更改集群中对象的所需状态。

默认情况下，Red Hat OpenShift Service Mesh 会安装多租户 control plane。您可以指定可以访问 Service Mesh 的项目，并将 Service Mesh 与其他 control plane 实例隔离。

多租户安装和集群范围安装之间的主要区别在于 control plane 部署使用的权限范围，比如 Galley 和 Pilot。组件不再使用集群范围的 RBAC（Role Based Access Control）资源 ClusterRoleBinding ，而是依赖项目范围内的 binding。

members 列表中的每个项目对与 control plane 相关联的每个服务帐户都有一个 RoleBinding，每个 control plane 部署只会监视这些成员项目。每个成员项目都有一个 maistra.io/member-of 标签，其中 member-of 值是包含 control plane 安装的项目。

Red Hat OpenShift Service Mesh 配置每个成员项目以确保自身、control plane 和其它成员项目间的网络连接。具体的配置根据 OpenShift 软件定义的网络 (SDN) 配置的不同而有所不同。更多详情请参阅“关于 OpenShift SDN”。

如果 OpenShift Container Platform 集群被配置为使用 SDN 插件：

上游 Istio 社区安装会在您标记的项目中自动将 sidecar 注入 pod。

Red Hat OpenShift Service Mesh 不会自动将 sidecar 注入任何 pod，而要求您指定 sidecar.istio.io/inject 注解，如“自动 sidecar 注入”部分所示。

Istio 基于角色的访问控制 (RBAC) 提供了可用来控制对某个服务的访问控制机制。您可以根据用户名或者指定一组属性来识别对象，并相应地应用访问控制。

上游 Istio 社区安装提供的选项包括：标头精确匹配、匹配标头中的通配符，或匹配标头中包括的特定前缀或后缀。

Red Hat OpenShift Service Mesh 使用正则表达式来扩展与请求标头匹配的功能。使用正则表达式指定 request.regex.headers 的属性键。

apiVersion: "rbac.istio.io/v1alpha1"
kind: ServiceRoleBinding
metadata:
  name: httpbin-client-binding
  namespace: httpbin
spec:
  subjects:
  - user: "cluster.local/ns/istio-system/sa/istio-ingressgateway-service-account"
    properties:
      request.headers[<header>]: "value"

apiVersion: "rbac.istio.io/v1alpha1"
kind: ServiceRoleBinding
metadata:
  name: httpbin-client-binding
  namespace: httpbin
spec:
  subjects:
  - user: "cluster.local/ns/istio-system/sa/istio-ingressgateway-service-account"
    properties:
      request.regex.headers[<header>]: "<regular expression>"

Red Hat OpenShift Service Mesh 将 BoringSSL 替换为 OpenSSL。OpenSSL 是包含安全套接字层 (SSL) 和传输层 (TLS) 协议的开源实现的软件库。Red Hat OpenShift Service Mesh Proxy 二进制代码动态地将 OpenSSL 库（libssl 和 libcrypto）与底层的 Red Hat Enterprise Linux 操作系统进行链接。

Red Hat OpenShift Service Mesh 包括 CNI 插件，它为您提供了配置应用程序 pod 网络的替代方法。CNI 插件替代了 init-container 网络配置，可在不需要提高访问权限的情况下赋予服务帐户和项目对安全上下文约束 (SCC) 的访问。