情感分析应用的架构

我们将会继续使用Kubernetes入门文章中的样例，它较为复杂，足以通过实践展示Istio的特性。

这个应用由四个微服务组成：

SA-Frontend服务：前端的Reactjs应用；
SA-WebApp服务：处理情感分析的请求；
SA-Logic服务：执行情感分析；
SA-Feedback服务：接收用户关于分析精确性的反馈。

图6 情感分析的微服务

在图6中，除了服务之外，我们还看到了Ingress Controller，在Kubernetes中，它会将传入的请求路由至对应的服务，Istio采用了类似的概念，名为Ingress Gateway，在本文后续的内容中，我们将会对其进行介绍。

使用Istio代理运行应用

如果要要跟着本文一起练习的话，读者可以clone该GitHub仓库 istio-mastery，其中包含了适用于Kubernetes和Istio的应用程序与manifest。

Sidecar注入

注入可以自动或手动完成。如果要启用自动化的Sidecar注入，我们需要使用istio-injection=enabled来标记命名空间，这可以通过执行如下的命令来实现：

$ kubectl label namespace default istio-injection=enabled
namespace/default labeled

现在，默认命名空间中部署的所有pod都将会被注入sidecar。切换至[istio-mastery]仓库的根目录，并执行如下的命令：

$ kubectl apply -f resource-manifests/kube
persistentvolumeclaim/sqlite-pvc created 
deployment.extensions/sa-feedback created 
service/sa-feedback created 
deployment.extensions/sa-frontend created
service/sa-frontend created 
deployment.extensions/sa-logic created 
service/sa-logic created 
deployment.extensions/sa-web-app created 
service/sa-web-app created

执行如下的命令并检查Ready列，我们会看到“2/2”，这表明第二个容器已经注入进来了。

$ kubectl get pods
NAME                         READY STATUS   RESTARTS   AGE 
sa-feedback-55f5dc4d9c-c9wfv 2/2    Running  0         12m 
sa-frontend-558f8986-hhkj9   2/2    Running  0         12m
sa-logic-568498cb4d-s9ngt   2/2     Running  0         12m 
sa-web-app-599cf47c7c-s7cvd 2/2     Running  0         12m

服务已经启动并运行了，每个容器都包含了sidecar代理，如图7所示。

图7 某个Pod中的Envoy代理

但是，要访问服务，我们需要允许传入的流量进入集群，也就是所谓的Ingress流量。

Ingress网关

允许流量进入集群的一个最佳实践就是使用Istio的Ingress网关，它处于集群的边缘并且靠近传入的流量，它能够实现Istio的多项特性，比如路由、安全和监控。

在Istio安装的时候，Ingress网关组件以及将其暴露给外部的服务已经安装到了集群中，我们可以通过如下的命令获取它的外部IP：

$ kubectl get svc -n istio-system -l istio=ingressgateway
NAME                   TYPE           CLUSTER-IP     EXTERNAL-IP    PORT(S)
istio-ingressgateway   LoadBalancer   10.0.132.127   13.93.30.120   80:31380/TCP,443[...]

在本文后续的内容中，我们将会通过该IP（将其称为EXTERNAL-IP）访问应用程序，为了便利起见，我们通过下面的命令将其保存到变量中：

$ EXTERNAL_IP=$(kubectl get svc -n istio-system \
			-l app=istio-ingressgateway \
			-o jsonpath='{.items[0].status.loadBalancer.ingress[0].ip}')

如果你在浏览器中访问该IP的话，将会看到服务不可用的错误，默认情况下，在我们定义网关之前，Istio会阻止所有传入的流量。

网关资源

网关是一种Kubernetes自定义资源定义（Kubernetes Custom Resource Definition），它是我们在集群中安装Istio时所定义的，借助它，我们能够指定允许传入流量的端口、协议和主机。

在我们的场景中，我们想要为所有主机开放80端口。我们可以通过如下的定义来进行配置：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: http-gateway
spec:
  selector:
    istio: ingressgateway
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
	hosts: 
	- "*"

除了istio: ingressgateway选择器之外，所有配置项的含义均不言自明。通过使用这个选择器，我们可以指定哪个Ingress网关使用该配置，在我们的场景中，也就是在Istio安装时的默认Ingress网关控制器。

通过执行如下的命令，应用该配置：

$ kubectl apply -f resource-manifests/istio/http-gateway.yaml
gateway.networking.istio.io "http-gateway" created

网关允许我们访问80端口，但是它还不知道要将请求路由至何处，而这一功能是通过Virtual Service来实现的。

VirtualService资源

VirtualService能够指导Ingress网关如何路由允许进入集群的请求。

对于我们的应用来说，通过http-gateway的请求必须要路由至sa-frontend、sa-web-app和sa-feedback服务（如图8所示）。

图8 通过VirtualService配置路由

现在，我们拆分一下应该路由至SA-Frontend的请求：

精确的路径“/”应该路由至SA-Frontend以便于获取Index.html；
带有“/static/*”前缀的路径应该路由至SA-Frontend，以便于获取前端所需的静态文件，比如级联样式表和JavaScript文件；
匹配正则表达式“^.*\.(ico|png|jpg)$”的路径应该路由至SA-Frontend，因为它代表的是页面展现所需的图片。

这样，我们就会得到如下的配置：

kind: VirtualService 
metadata:
	name: sa-external-services 
spec:
  hosts:
  - "*"
  gateways:
  - http-gateway      # 1
  http:
  - match:
    - uri:
        exact: /
    - uri:
        exact: /callback
    - uri:
        prefix: /static
    - uri:
		regex: '^.*\.(ico|png|jpg)$' 
	route:
	- destination:
  		host: sa-frontend    # 2
    	port:
			number: 80

这里的重点在于：

VirtualService将会应用于通过http-gateway的请求；
destination定义了请求要路由至哪个服务。

注意：上面的配置在sa-virtualservice-external.yaml文件中，它还包含了路由至SA-WebApp和SA-Feedback的配置，但是简洁期间，我们将其省略了。

通过执行如下的命令，应用VirtualService：

$ kubectl apply -f resource-manifests/istio/sa-virtualservice-external.yaml
virtualservice.networking.istio.io "sa-external-services" created

注意：当我们应用该资源时（其实所有的Istio资源均如此），Kubernetes API Server会创建一个新的事件，该事件会被Istio的控制平面接收到，然后会将新的配置应用到每个pod的envoy代理上。Ingress Gateway控制器是Control Plane配置的另外一个Envoy，如图9所示。

图9 配置Istio-IngressGateway来路由请求

现在，我们可以通过http://{{EXTERNAL-IP}}/访问情感分析应用了。如果你遇到Not Found状态的话，请不要担心，有时候配置生效并更新envoy缓存会耗费一点时间。

在转入下一部分之前，你需要使用该应用生成一些流量。

系列回顾

通过 Istio 重新实现微服务 (一)：认识 Istio

通过 Istio 重新实现微服务 (二)：Istio 实践

创作场景

通过 Istio 重新实现微服务 (三)：使用 Istio 代理运行应用