6.8. 将 Service Mesh 与 OpenShift Serverless 集成

流程

1. 创建为 Knative 服务签名的 root 证书和私钥：

   $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
       -subj '/O=Example Inc./CN=example.com' \
       -keyout root.key \
       -out root.crt

2. 创建通配符证书：

   $ openssl req -nodes -newkey rsa:2048 \
       -subj "/CN=*.apps.openshift.example.com/O=Example Inc." \
       -keyout wildcard.key \
       -out wildcard.csr

3. 为通配符证书签名：

   $ openssl x509 -req -days 365 -set_serial 0 \
       -CA root.crt \
       -CAkey root.key \
       -in wildcard.csr \
       -out wildcard.crt

4. 使用通配符证书创建 secret：

   $ oc create -n istio-system secret tls wildcard-certs \
       --key=wildcard.key \
       --cert=wildcard.crt

   此证书由 OpenShift Serverless 与 Service Mesh 集成时创建的网关获取，以便入口网关使用此证书提供流量。

流程

1. 在 istio-system 命名空间中创建 ServiceMeshControlPlane 对象。如果要使用 mTLS 功能，则必须为 istio-system 命名空间启用此功能。

2. 将您要与 Service Mesh 集成的命名空间作为成员添加到 ServiceMeshMemberRoll 对象中：

   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
     namespace: istio-system
   spec:
     members: 1
       - knative-serving
       - <namespace>

   1

   要与 Service Mesh 集成的命名空间列表。

   重要

   此命名空间列表必须包含 knative-serving 命名空间。

3. 应用 ServiceMeshMemberRoll 资源：

   $ oc apply -f <filename>

4. 创建必要的网关，以便 Service Mesh 可以接受流量：

   使用 HTTP 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-ingress-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs> 1
   ---
   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
    name: knative-local-gateway
    namespace: knative-serving
   spec:
    selector:
      istio: ingressgateway
    servers:
      - port:
          number: 8081
          name: http
          protocol: HTTP 2
        hosts:
          - "*"
   ---
   apiVersion: v1
   kind: Service
   metadata:
    name: knative-local-gateway
    namespace: istio-system
    labels:
      experimental.istio.io/disable-gateway-port-translation: "true"
   spec:
    type: ClusterIP
    selector:
      istio: ingressgateway
    ports:
      - name: http2
        port: 80
        targetPort: 8081

   1

   添加通配符证书的名称。

   2

   knative-local-gateway 提供 HTTP 流量。使用 HTTP 表示来自 Service Mesh 外部的流量不会加密，但使用内部主机名，如 example.default.svc.cluster.local。您可以通过创建另一个通配符证书和使用不同的 protocol spec 的额外网关来为这个路径设置加密。

   使用 HTTPS 的 knative-local-gateway 对象示例

   apiVersion: networking.istio.io/v1alpha3
   kind: Gateway
   metadata:
     name: knative-local-gateway
     namespace: knative-serving
   spec:
     selector:
       istio: ingressgateway
     servers:
       - port:
           number: 443
           name: https
           protocol: HTTPS
         hosts:
           - "*"
         tls:
           mode: SIMPLE
           credentialName: <wildcard_certs>

5. 应用 Gateway 资源：

   $ oc apply -f <filename>

6. 通过创建以下 KnativeServing 自定义资源定义 (CRD) 来安装 Knative Serving，该定义还启用了 Istio 集成：

   apiVersion: operator.knative.dev/v1alpha1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
   spec:
     ingress:
       istio:
         enabled: true 1
     deployments: 2
     - name: activator
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"
     - name: autoscaler
       annotations:
         "sidecar.istio.io/inject": "true"
         "sidecar.istio.io/rewriteAppHTTPProbers": "true"

   1

   启用 Istio 集成。

   2

   为 Knative Serving data plane pod 启用 sidecar 注入。

7. 应用 KnativeServing 资源：

   $ oc apply -f <filename>

8. 创建一个启用了 sidecar 注入并使用 pass-through 路由的 Knative Service：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: <service_name>
     namespace: <namespace> 1
     annotations:
       serving.knative.openshift.io/enablePassthrough: "true" 2
   spec:
     template:
       metadata:
         annotations:
           sidecar.istio.io/inject: "true" 3
           sidecar.istio.io/rewriteAppHTTPProbers: "true"
       spec:
         containers:
         - image: <image_url>

   1

   作为 Service Mesh member roll 一部分的命名空间。

   2

   指示 Knative Serving 生成 OpenShift Container Platform 直通启用路由，以便您已生成的证书直接通过 ingress 网关提供。

   3

   将 Service Mesh sidecar 注入 Knative 服务 pod。

9. 应用 Service 资源：

   $ oc apply -f <filename>

流程

1. 在 Knative Serving 自定义资源 (CR) 的 observability spec 中将 prometheus 指定为 metrics.backend-destination ：

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
   spec:
     config:
       observability:
         metrics.backend-destination: "prometheus"

   此步骤可防止默认禁用指标。

2. 应用以下网络策略来允许来自 Prometheus 命名空间中的流量：

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-from-openshift-monitoring-ns
     namespace: knative-serving
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             name: "openshift-monitoring"
     podSelector: {}

3. 修改并重新应用 istio-system 命名空间中的默认 Service Mesh control plane，使其包含以下 spec：

   spec:
     proxy:
       networking:
         trafficControl:
           inbound:
             excludedPorts:
             - 8444