问题标签 [istio]

我在 Istio 入口上启用 CORS 时遇到问题。正如 Istio Ingress 文档所述，“ingresskubernetes.io”注释被忽略。是否可以在 Istio 入口启用 CORS？

我的配置中的入口使用虚拟主机，并且应用程序在“api.my-domain.com”上公开。如果 Web 应用程序尝试请求应用程序，则会失败并出现此错误：“请求的资源上不存在‘Access-Control-Allow-Origin’标头。因此，不允许访问 Origin (...)。”

有人可以建议解决这个问题吗？

使用 Ngnix 入口控制器，我可以使用"ingress.kubernetes.io/enable-cors": "true"，但现在这个注释将不起作用。

我看到Istio 网站提到了速率限制支持，但我只能找到全局速率限制示例。

是否可以在用户级别这样做？例如，如果我的用户登录但在一秒钟内发送了超过 50 个请求，那么我想阻止该用户，等等。在类似的情况下，如果用户没有登录，那么该设备不能发送超过 30 个请求每秒。

步骤 1. 我在没有 envoy sidecar 的情况下部署了 redis。 https://github.com/kubernetes/charts/tree/master/stable/redis

在另一个没有特使的 pod 中运行 regis-cli 时，redis 连接工作正常。=> 证明了 redis 本身的功能。

步骤 2. 在另一个具有 envoy sidecar 注入的 pod 中部署服务。

尝试从服务连接到 redis 时，无法建立连接。

规格：目的地：服务：“*”端口：-端口：6379 协议：redis

有人有建议/想法吗？

我已经使用命令行创建了路由规则istioctl create -f file.yaml。我想从自定义 GO 代码中实现相同的目标。是否有用于创建路由规则的 Istio API？

我计划在我的新 AKS 集群上安装 Istio。但是，在 Istio 的先决条件中，提到 K8S 集群应该启用 RBAC。但是，我读到 AKS ( preview ) 没有启用它。这是真的？我可以选择在 AKS 上尝试 Istio。

Istio 和 gRPC 似乎是互补的，我想在集群中同时使用它们。

问题是它们都添加了一个额外的容器，用于接收/代理 Pod / 微服务之间的通信。

是否建议在所有 pod 中同时使用两者？

如果一个人同时使用两者，是否有特殊的调整？

感谢您的任何建议！

如何在 Istio 中将 cookie 重写为 header？

背景：我们有传统的 Javascript webapp，它在 cookie 中发送授权数据。现在我们需要在 Auth 适配器（在混合器中）以及目标服务中的这些数据。Auth 适配器和目标服务都希望在 Authorization 标头中包含此数据。

我们的第一个想法是在混音器中实现额外的适配器，它将 cookie 重写为 Authorization 标头。不幸的是，这似乎是不可能的：

• 无法在实例配置中获取 cookie 的值（词汇表中没有此类属性 https://istio.io/docs/reference/config/mixer/attribute-vocabulary.html ）
• 我找不到模板种类，这将允许在处理程序中设置标题

我错过了什么？或者也许我们应该实现其他东西——不是适配器？实施此类要求的推荐方法是什么？

在此处的博客文章之后，我尝试通过 istio 在我的 aws k8s 上部署此示例服务给我“错误：没有传递给应用的对象”

设置

• aws k8s v1.7.x
• istio 0.4.0

配置

问题

kubectl apply -f <(istioctl kube-inject -f book-info-v1.yaml)

error: no objects passed to apply

我似乎在使用 istio 代理的容器中达到最大 websocket 连接数的限制

它似乎在 1024 处用完（这似乎是默认值）

我还尝试将我的 --default-ulimit for nofiles 增加到 102400:102400 但我怀疑它受 istio 限制

我也尝试添加 DestinationPolicy 但这也没有帮助

我们一直在遵循kubernetes 1.9.2 上的 istio-0.5.0 中的自动边车注入指南，但由于 api-server 上的证书问题，到目前为止还没有成功。

创建 pod 时，会调用 webhook，但 api-server 拒绝 istio-sidecar-injector/inject 提供的证书，说明：

我们的 API 服务器已配置以下标志：

证书已由 ca.pem 文件签名，我们已通过 --tls-ca-file 标志将其提供给 api-server，但仍然没有雪茄。关于我们如何让 kubernetes API 准入控制器信任 sidecar-injector 提供的证书的任何想法？