Alibaba Cloud Service Mesh：入門樣本

ASM 1.21及以下版本

使用Kubernetes Gateway API，可以為bookinfo-productpage服務賬戶部署Waypoint代理，該代理用於productpage服務。任何流向productpage服務的流量都將由該7層代理路由。

1. 執行以下命令，為bookinfo-productpage服務賬戶部署Waypoint代理。

   istioctl x waypoint apply --service-account bookinfo-productpage

2. 執行以下命令，查看productpage的Waypoint代理程式狀態。

   kubectl get gtw bookinfo-productpage -o yaml

   展開查看預期輸出

   apiVersion: gateway.networking.k8s.io/v1beta1
   kind: Gateway
   metadata:
     annotations:
       gateway.istio.io/controller-version: "5"
       istio.io/for-service-account: bookinfo-productpage
     creationTimestamp: "2023-08-10T08:35:51Z"
     generation: 1
     name: bookinfo-productpage
     namespace: default
     resourceVersion: "7828921"
     uid: c085b788-a8fa-4a2c-8376-18d08689****
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - allowedRoutes:
         namespaces:
           from: Same
       name: mesh
       port: 15008
       protocol: HBONE
   status:
     conditions:
     - lastTransitionTime: "2023-08-10T08:35:51Z"
       message: Handled by Istio controller
       observedGeneration: 1
       reason: Accepted
       status: "True"
       type: Accepted

3. 修改AuthorizationPolicy。

   1. 將productpage-viewer.yaml檔案修改為如下內容，明確允許sleep和網關服務賬戶通過GET方式訪問productpage服務，但不允許執行其他動作。

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
       name: productpage-viewer
       namespace: default
      spec:
       selector:
         matchLabels:
           istio.io/gateway-name: bookinfo-productpage
       action: ALLOW
       rules:
       - from:
         - source:
             principals:
             - cluster.local/ns/default/sa/sleep
             - cluster.local/ns/istio-system/sa/istio-ingressgateway
         to:
         - operation:
             methods: ["GET"]

   2. 執行以下命令，重新部署AuthorizationPolicy。

      kubectl apply -f productpage-viewer.yaml

4. 驗證授權策略是否生效。

   1. 執行以下命令：

      kubectl exec deploy/sleep -- curl -s "http://$GATEWAY_HOST/productpage" -X DELETE

      預期輸出：

       RBAC: access denied                                                                                                       

   2. 執行以下命令：

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      預期輸出：

        RBAC: access denied

   3. 執行以下命令：

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      預期輸出：

       <title>Simple Bookstore App</title>

      以上結果表明授權策略生效。

ASM 1.22及以上版本

要在Ambient模式下使用L7能力，首先需要為指定服務或工作負載啟用Waypoint代理。

如何為指定服務或工作負載啟用Waypoint代理？

為了支援更加靈活的在不同範圍內啟用Waypoint，1.22使用了新的配置Waypoint的方法。配置主要分為兩部分：

1. 首先您需要建立一個Waypoint代理，在Waypoint上通過label指定要生效的流量。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

   1. 這個Gateway資源的gatewayClassName欄位為istio-waypoint，聲明建立的是Waypoint。

   2. 它帶有一個特殊的labelistio.io/waypoint-for: service，表明這個Waypoint專為Service的Cellular Data Package。除了service之外，還支援配置：workload（專用於Pod）以及all（Service和Workload）。

2. 指定哪些流量要被Waypoint代理。需要在Service、Namespace或者Pod上加上istio.io/use-waypoint這個label，label的值是要使用的Waypoint代理名稱。

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       app: httpbin
       service: httpbin
       istio.io/use-waypoint: waypoint
     name: httpbin
     namespace: default
   spec:
     ports:
     - name: http
       port: 8000
       protocol: TCP
       targetPort: 80
     selector:
       app: httpbin
     type: ClusterIP

示範

接下來，繼續在本文的環境下示範如何使用L7授權策略。

1. 使用ACK kubeconfig，將以下Waypoint代理的內容部署到default命名空間。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

2. 使用ACK叢集kubeconfig執行以下命令，為productpage對應的Service添加label，讓對應流量被waypoint代理。

   kubectl label service productpage istio.io/use-waypoint=waypoint

3. 使用以下內容更新AuthorizationPolicy。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-viewer
     namespace: default
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/default/sa/sleep
       to:
       - operation:
           methods: ["GET"]

   明確指出只允許slepp使用GET訪問productpage服務，其餘請求都將被拒絕。

   說明

   如果直接apply上述授權策略失敗，請刪除原有授權策略後重新apply。

4. 驗證授權策略是否生效

   1. 使用ACK kubeconfig，執行以下命令使用GET方法訪問productpage服務。

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      預期輸出：

      <title>Simple Bookstore App</title>

   2. 執行以下命令，使用DELETE方法訪問productpage服務。

      kubectl exec deploy/sleep -- curl -XDELETE -s http://productpage:9080/

      預期輸出：

      RBAC: access denied

   3. 執行以下命令，使用GET方法訪問productpage服務。

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      預期輸出：

      RBAC: access denied

   以上結果表明授權策略生效。