数据面相关诊断项说明

异常示例

您可能看到以下错误：

Warn [IST0102] (Namespace default) The namespace is not enabled for Istio injection. Run 'kubectl label namespace default istio-injection=enabled' to enable it, or 'kubectl label namespace default istio-injection=disabled' to explicitly mark it as not needing injection Error: Analyzer found issues.

修复方式

请您使用标签明确声明您是否希望命名空间被自动注入。例如：

kubectl label namespace <namespace-name> istio-injection=enabled

异常示例

例如以下Service:

apiVersion: v1
kind: Service
metadata:
  name: productpage-tcp-v1
spec:
  ports:
    - port: 9080
      name: tcp
      protocol: TCP
  selector:
    app: productpage
---
apiVersion: v1
kind: Service
metadata:
  name: productpage-http-v1
spec:
  ports:
    - port: 9080
      name: http
      protocol: HTTP
  selector:
    app: productpage

这个示例展示了使用 HTTP 和 TCP 协议的同时关联到了 9080 端口。不可以存在两个 Service 在同一个端口上使用不同协议。

异常示例

当您的集群有以下 Service 时：

apiVersion: v1
kind: Service
metadata:
  name: httpbin
  labels:
    app: httpbin
spec:
  ports:
  - name: foo-http
    port: 8000
    targetPort: 80
  selector:
    app: httpbin

在这个示例中，端口名 foo-http 不符合命名语法：name: <protocol>[-<suffix>]。

您将收到以下消息：

Info [IST0118] (Service httpbin.default) Port name foo-http (port: 80, targetPort: 80) doesn't follow the naming convention of Istio port.

修复方式

• 如果您知道 Service 端口的协议，将端口重命名为 <protocol>[-<suffix>] 格式就行；

• 如果您不知道 Service 端口的协议，您需要从 Prometheus 查询指标

  • 查询 istio_requests_total{reporter="destination",destination_service_name="SERVICE_NAME",response_code="200"}[TIME_RANGE]。 如果您使用遥测指标覆盖，也可以查询 istio_requests_total{reporter="destination",destination_service_name="SERVICE_NAME",response_code="200",destination_port="TARGET_PORT"}[TIME_RANGE]。

  • 如果有输出，您可以从记录中找到 request_protocol。例如， 如果 request_protocol 是 http，则将端口重命名为 http-foo；

  • 如果没有输出，您可以将端口保持原样。

异常示例

当集群有下面的命名空间时：

apiVersion: v1
kind: Namespace
metadata:
  name: busted
  labels:
    istio-injection: enabled
    istio.io/rev: canary

您会收到这条消息：

Warning [IST0123] (Namespace busted) The namespace has both new and legacy injection labels. Run 'kubectl label namespace busted istio.io/rev-' or 'kubectl label namespace busted istio-injection-'

此示例中，命名空间 busted 同时使用了新老版本的注入标签。

修复方式

• 移除 istio-injection 标签

• 移除 istio.io/rev 标签

异常示例

当集群包含以下资源时：

apiVersion: v1
kind: Service
metadata:
  name: httpbin
  labels:
    app: httpbin
  annotations:
    # 没有这种 Istio 注解
    networking.istio.io/exportTwo: bar
spec:
  ports:
  - name: http
    port: 8000
    targetPort: 80
  selector:
    app: httpbin

您会收到此消息：

Warning [IST0108] (Service httpbin.default) Unknown annotation: networking.istio.io/exportTwo

此示例中，Service httpbin 想要使用 networking.istio.io/exportTwo 代替 networking.istio.io/exportTo。

修复方式

• 删除或重命名未知的注解

• 修改不允许的值

修复方式

当 Istio 控制平面升级时可能会出现此消息。在升级之前，请移除或使用替代方案替换相关注解。

修复方式

使用 Alpha 级别的注解并不是问题。这可能是体验 Istio 实验性功能的最好方法。建议您仅在测试环境使用，并在切换到生产环境前改为GA级别的注解。

异常示例

以此Service为例：

apiVersion: v1
kind: Service
metadata:
  name: nginx-a
spec:
  ports:
    - port: 8080
      protocol: TCP
      targetPort: 80
  selector:
    app: nginx
---
apiVersion: v1
kind: Service
metadata:
  name: nginx-b
spec:
  ports:
    - port: 80
      protocol: TCP
      targetPort: 80
  selector:
    app: nginx

在这个示例中，Service nginx-a 和 nginx-b 选择了工作负载 nginx 的同一个目标端口 80，但是它们对应的服务端口（port）却不一致。

修复方式

修复此问题有两个选择：

• 两个 Service 使用相同的端口（port）。需要重新配置客户端以连接到修改之后的服务端口。

• 两个 Service 使用不同的目标端口（targetPort）。 需要修改工作负载的 Pod 监听到修改之后的目标端口以提供服务。

异常示例

此示例Deployment使用 UID 1337 在 Pod 级别或容器级别运行：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: deploy-con-sec-uid
  labels:
    app: helloworld
    version: v1
spec:
  replicas: 1
  selector:
    matchLabels:
      app: helloworld
      version: v1
  template:
    metadata:
      labels:
        app: helloworld
        version: v1
    spec:
      securityContext:
        runAsUser: 1337
      containers:
      - name: helloworld
        image: docker.io/istio/examples-helloworld-v1
        securityContext:
          runAsUser: 1337
        resources:
          requests:
            cpu: "100m"
        imagePullPolicy: IfNotPresent #Always
        ports:
        - containerPort: 5000

修复方式

由于 User ID (UID) 1337 是为 Sidecar 代理保留的，所以您可以为您的工作负载使用除了 1337 以外的 User ID (UID)，例如 1338。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: deploy-con-sec-uid
  labels:
    app: helloworld
    version: v1
spec:
  replicas: 1
  selector:
    matchLabels:
      app: helloworld
      version: v1
  template:
    metadata:
      labels:
        app: helloworld
        version: v1
    spec:
      securityContext:
        runAsUser: 1338
      containers:
      - name: helloworld
        image: docker.io/istio/examples-helloworld-v1
        securityContext:
          runAsUser: 1338
        resources:
          requests:
            cpu: "100m"
        imagePullPolicy: IfNotPresent #Always
        ports:
        - containerPort: 5000

异常示例

当您的集群有以下服务时：

apiVersion: v1
kind: Service
metadata:
  name: nginx
spec:
  externalName: nginx.example.com
  ports:
  - name: tcp
    port: 443
    protocol: TCP
    targetPort: 443
  type: ExternalName

您将收到以下信息：

Warning [IST0150] (Service nginx.default) Port name for ExternalName service is invalid. Proxy may prevent tcp named ports and unmatched traffic for ports serving TCP protocol from being forwarded correctly.

修复方式

如果您有一个服务类型为 ExternalName 并且服务协议为 TCP，那么将端口重命名为 <protocol>[-<suffix>] 或者 <protocol> ，其中协议指的是 https 或者 tls。

修复方式

请使用正常滚动策略重新部署应用程序来更新其 Sidecar 版本。 对于 Kubernetes Deployment：

• 如果您正在使用 Kubernetes 1.15 或更高版本， 您可以运行 kubectl rollout restart <my-deployment> 来触发一次新的滚动操作。

• 或者，您可以修改 Deployment 的 ’template’ 字段来强制执行一次新的滚动操作。 该操作通常会通过在 Pod 定义模板中添加一个如同 force-redeploy=<current-timestamp> 的标签来完成。

异常示例

当您的集群具有以下 ValidatingWebhookConfiguration 和 MutatingWebhookConfiguration时：

apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: istio-validator-external-istiod
webhooks:
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://test.com:15017/validate
  name: rev.validation.istio.io

---
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingWebhookConfiguration
metadata:
  name: istiod-default-validator
webhooks:
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://test.com:15017/validate
  failurePolicy: Ignore
  name: validation.istio.io

---
apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: istio-sidecar-injector-external-istiod
webhooks:
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://999.999.999.999:5100/inject/cluster/your-cluster-name/net/network1
  failurePolicy: Fail
  name: rev.namespace.sidecar-injector.istio.io
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://test.com/inject/cluster/your-cluster-name/net/network1
  failurePolicy: Fail
  name: rev.object.sidecar-injector.istio.io
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://test.com/inject/cluster/your-cluster-name/net/network1
  failurePolicy: Fail
  name: namespace.sidecar-injector.istio.io
- admissionReviewVersions:
  - v1beta1
  - v1
  clientConfig:
    url: https://test.com/inject/cluster/your-cluster-name/net/network1
  failurePolicy: Fail
  name: object.sidecar-injector.istio.io

您将收到消息：

Info [IST0164] (MutatingWebhookConfiguration istio-sidecar-injector-external-istiod testing.yml:28) The address (https://999.999.999.999:5100/inject/cluster/your-cluster-name/net/network1) that was provided for the webhook (rev.namespace.sidecar-injector.istio.io) to reach the ingress gateway on the external control plane cluster is an IP address. This is not recommended for a production environment.

修复方式

不建议在生产环境中为在外部控制平面中运行的入口网关使用 IP 地址而不是主机名。

如果您使用的是生产环境，修复这条信息类消息的方式为：将此地址更改为一个有效的主机名， 将其解析为入口网关的 IP 地址。