1

我们在集群中设置并运行了 Istio，默认情况下启用自动注入，并在少数命名空间中启用。现在我们想对其他一些命名空间中的一些pod进行自动注入，但是遇到了一个问题，如果没有为整个命名空间启用，似乎不可能对指定的pod进行自动注入。我们使用 Argo 工作流自动创建 pod，因此我们sidecar.istio.io/inject: "true"在 Argo 工作流中指定，以便生成的 pod 在其元数据中显示带有此注释：

...
metadata:
  annotations:
    sidecar.istio.io/inject: "true"
...

不幸的是，Istio 仍然不会注入 sidecar，除非命名空间的istio-injection标签明确设置为enabled，从而将 sidecar 添加到在那里运行的所有 pod。

我们也不能使用手动注入，因为 Pod 是由 Argo 服务自动创建的，并且我们希望 Sidecar 仅根据工作流定义注入特定的 Pod。

那么有没有可能的方法来克服这个问题呢？谢谢！

完整的 Argo 工作流程：

apiVersion: argoproj.io/v1alpha1
kind: Workflow
metadata:
  generateName: presto-sql-pipeline-
  annotations: {pipelines.kubeflow.org/kfp_sdk_version: 0.5.1, pipelines.kubeflow.org/pipeline_compilation_time: '2020-05-16T16:07:29.173967',
    pipelines.kubeflow.org/pipeline_spec: '{"description": "Simple demo of Presto
      SQL operator PrestoSQLOp", "name": "Presto SQL Pipeline"}'}
  labels: {pipelines.kubeflow.org/kfp_sdk_version: 0.5.1}
spec:
  entrypoint: presto-sql-pipeline
  templates:
  - name: presto-demo
    container:
      args:
      - --source-name
      - '{{workflow.namespace}}.{{workflow.name}}.presto-demo'
      - --query-sql
      - "SELECT 1;"
      image: gcr.io/our-data-warehouse/presto-cli:latest
      volumeMounts:
      - {mountPath: /mnt/secrets, name: presto-local-vol}
    metadata:
      annotations:
        sidecar.istio.io/inject: "true"
      labels: {pipelines.kubeflow.org/pipeline-sdk-type: kfp}
    volumes:
    - name: presto-local-vol
      secret: {secretName: presto-local}
  - name: presto-sql-pipeline
    dag:
      tasks:
      - {name: presto-demo, template: presto-demo}
  arguments:
    parameters: []
  serviceAccountName: argo
4

1 回答 1

3

我有一个类似的要求 - Istio 应该仅在 pod 指定时注入代理，并忽略所有其他 pod 的自动注入。Istio 的官方文档中没有提到该解决方案，但可以这样做。

正如在这个用户定义的自定义矩阵中给出的那样，当满足以下条件时，我们可以让 Istio 遵循这种行为：

  • 命名空间有标签istio-injection=enabled
  • Istio 全局代理自动注入策略已禁用（对于 helm 图表值：如此处global.proxy.autoInject给出）。
  • 需要代理的 pod 有注解sidecar.istio.io/inject: "true"。

所有其他 pod 都没有 Istio 代理。

于 2021-12-08T20:15:59.363 回答