🥔 쿠버네티스 모니터링 [Istio, 메시 모니터링]

https://istio.io/latest/about/service-mesh/

Istio

각각 컨테이너의 트래픽을 관찰할 수 있도록 프록시를 구성하는 애플리케이션

• 다수 컨테이너 환경에서 각 컨테이너의 트래픽 관찰이 정상 동작하는지 모니터링 하기 어려움
• 개발자는 이식성을 위해 MSA를 사용하여 아키텍처를 설계하고, 운영자는 해당 컨테이너들을 다양한 클러스터에 배포하고 관리
• 서비스 메시의 크기와 복잡성이 커짐에 따라 이해하고 관리하기 어려워짐 (로드밸런싱, 장애복구, 메트릭 & 모니터링 등)

1. Istio 다운로드

https://istio.io/latest/docs/setup/getting-started/#download

curl -L https://istio.io/downloadIstio | sh -
cd istio-1.19.3
export PATH=$PWD/bin:$PATH

istioctl: istio는 kubectl 을 내부적으로 사용함

2. Istio 설치

https://istio.io/latest/docs/setup/getting-started/#install

1. demo configuration prpofile 사용.

• 플랫폼에 vendor-config profile이 있는 경우 demo 프로필 대신 다른 것을 사용
  istioctl install --set profile=demo -y

2. 애플리케이션을 배포할 때 Envoy 사이드카 프록시를 자동으로 삽입하도록 Istio에 네임스페이스 라벨을 추가
   kubectl label namespace default istio-injection=enabled

• 이후 배치되는 포드에 사이드카 프록시가 구성이됨
  

3. sample 앱 디플로이 & 배포 확인

kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml
kubectl get services
kubectl get pods
kubectl exec "$(kubectl get pod -l app=ratings -o jsonpath='{.items[0].metadata.name}')" -c ratings -- curl -sS productpage:9080/productpage | grep -o "<title>.*</title>"

istioctl install 안하고 앱 드필로이 시 에러 발생

Warning  FailedCreate  2s (x13 over 23s)  replicaset-controller  Error creating: Internal error occurred: failed calling webhook "namespace.sidecar-injector.istio.io": failed to call webhook: Post "https://istiod.istio-system.svc:443/inject?timeout=10s": service "istiod" not found

4. 애플리케이션 외부 트래픽

1. Istio 인그레스 게이트웨이 생성
   kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml
2. istioctl 이상 없나 확인
   istioctl analyze
   

게이트웨이 생성 전 3. 앱 디플로이 완성되어야함

$ kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml
Error from server (InternalError): error when creating "samples/bookinfo/networking/bookinfo-gateway.yaml": Internal error occurred: failed calling webhook "validation.istio.io": failed to call webhook: Post "https://istiod.istio-system.svc:443/validate?timeout=10s": service "istiod" not found

5. 인그레서 IP, 포트 설정

https://istio.io/latest/docs/setup/getting-started/#determining-the-ingress-ip-and-ports

5-1) kubectl get svc istio-ingressgateway -n istio-system 를 통해 External Ip를 할당된 걸 보고 로드밸런싱이 작동하는지 확인.

• 로드 밸런서가 존재하지 않는다면 NodePort를 통해 접속 가능함.

5-2) 로드 밸런서를 사용하는 인그레스 IP, 포트 설정

export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].ip}')
export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].port}')
export SECURE_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="https")].port}')

특정 환경에서 Ingress가 External IP가 아닌 hostname을 통해서 expose 된다면,
export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.status.loadBalancer.ingress[0].hostname}') 를 통해서 INGRESS_HOST변수를 설정할것.

5-3) 노드포트를 사용하는 인그레스 IP, 포트 설정

export INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="http2")].nodePort}')
export SECURE_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="https")].nodePort}')
export INGRESS_HOST=worker-node-address

GKE 환경에서 방화벽 제거 할것
gcloud compute firewall-rules create allow-gateway-http --allow "tcp:$INGRESS_PORT"
gcloud compute firewall-rules create allow-gateway-https --allow "tcp:$SECURE_INGRESS_PORT"

5-4) 게이트웨이 URL 설정

export GATEWAY_URL=$INGRESS_HOST:$INGRESS_PORT
echo "$GATEWAY_URL"

5-5) 외부 접근 확인

echo "http://$GATEWAY_URL/productpage" : 결과를 웹 브라우저에 붙여넣기 해서 페이지가 뜨는지 확인

• 
• 

6. 대시보드 보기

6-1) Kiali, Addons를 사용해 배포

kubectl apply -f samples/addons
kubectl rollout status deployment/kiali -n istio-system

6-2) Kiali 대시보드 접근

istioctl dashboard kiali

6-3) 네비게이션 설정

• Graph -> Namespace -> default 선택

6-4)

To see trace data, you must send requests to your service. The number of requests depends on Istio’s sampling rate and can be configured using the Telemetry API. With the default sampling rate of 1%, you need to send at least 100 requests before the first trace is visible. To send a 100 requests to the productpage service, use the following command:

$ for i in $(seq 1 100); do curl -s -o /dev/null "http://$GATEWAY_URL/productpage"; done