随着Kubernetes在企业中应用的越来越广泛和普及，越来越多的公司在生产环境中运维多个集群。本文主要讲述一些关于多集群Kubernetes的思考，包括为什么选择多集群，多集群的好处以及多集群的落地方案。

从Spark 2.4 版本开始，Spark 实验性支持 Kubernetes 作为资源管理器。不过虽然是实验性质，但是已经有很多单位将之用于生产环境了，并取得很好的效果，在可移植性，可扩展性，成本等方面都取得了收益。

在云原生时代，容器取代虚拟机成为承载应用工作负载的主要形式。虚拟机生命周期相对较长，可能有数天，但是容器少则几分钟。这就要求负载均衡器必须能适应这种动态性。

2021年1月12日，Envoy 1.17.0 正式 released！本次更新值得大家关注的功能:wasm filterxds 资源 ttlskywalking tracer本文主要小试Wasm filter。Wasm扩展概述Envoy Wasm扩展是一种Filter，可通过Wasm ABI 将Envoy内部 C++ API ”翻译“ 到 Wasm 运行时。 目前Envoy 支持以下4种Wasm 运行时：NameDescriptionenvoy.wasm.run...

为了更好地管理不断增长的服务和流量，Houzz基础架构工程团队最近将Web Server服务从Amazon Elastic Compute Cloud（Amazon EC2）迁移到Kubernetes集群。这次迁移使资源减少了33%，首页延迟有了30%的改善。

尽管在诞生之初，WebAssembly（简称Wasm）目的是为浏览器带来高级编程的功能 -- 它提供了一条途径，以使得以各种语言编写的代码都可以以接近原生的速度在Web中运行。在这种情况下，以前无法以此方式运行的客户端软件都将可以运行在Web中。

利用Wasm进行软件容器化，我们创建了通用二进制文件，无需修改即可在任何地方运行，包括Linux，macOS，Windows以及Web浏览器等操作系统。 Wasm默认情况下会自动沙盒化应用程序以安全执行，从而保护主机环境免受运行中软件中的恶意代码，错误和漏洞的侵害。 Wasm还提供了一个精益执行环境，使Wasmer容器可以在Docker容器...

在 Istio 1.8中多集群支持的演变 一文中，我们介绍了4种Istio多集群部署模型，并且简单介绍了单网络 Primary-Remote部署模型的部署步骤。今天我们通过对源码分析，来介绍Istio如何支持多集群模式。

Istio在设计之初，主要面向Kubernetes当中的服务。但是在实际场景中，依旧有不少服务部署在VM上，Istio想成为Service Mesh事实上的标准，毫无疑问需要支持VM部署的服务。

Istio 作为 Service Mesh 解决方案事实上的标准，解决了开发人员和运维人员所面临的从单体应用向分布式微服务架构转变的挑战。Istio 提供了对整个服务网格的行为洞察和操作控制的能力，以及一个完整的满足微服务应用各种需求的解决方案。

VictoriaMetrics是一个快速的时间序列数据库。它支持Prometheus PromQL查询，其具有以下突出特点：对高基数数据具有非常高的写入性能。有关详细信息，请参见本文。对大量数据时具有很高的查询性能。有关详细信息，请参见本文和此电子表格。对时间序列数据具有高压缩率。在线即时快照，而不会影响数据库操作。让我们研究...

为了使服务网格正常工作，Istio需要在网格中的每个Pod中注入一个Envoy代理，然后必须通过iptables规则操纵Pod的流量，从而应用程序进出站的流量劫持到Envoy代理。由于每个Pod的iptables规则都是网络命名空间级别的，因此更改不会影响节点上的其他Pod。

在此配置中，部署了一个Istio控制平面，并且运行在不同集群上的Pod通常直接进行直接通信（集群位于同一网络上时）。Istio控制平面正在与其他集群的Kubernetes API服务器通信，以发现它们上运行的工作负载。

Istio 1.8刚刚发布，并且是迄今为止最好的Istio版本之一。新版本包含诸多有趣的实验功能，众多增强功能以​​及不推荐使用和删除的功能。但是，此版本的核心焦点是提高操作稳定性。在这篇文章中，我们将回顾Istio 1.8的新增功能，并重点介绍升级到最新版本时需要注意的一些潜在问题。

可观察性是Istio4大特性之一。在 Istio可观察性--Metrcis篇 文中我们讲到，Istio会为Istio服务网格内，外所有服务流量生成指标。这些度量标准提供有关行为的信息，例如总流量，流量中的错误率以及请求的响应时间。

Istio的流量路由规则可让您轻松控制服务之间的流量和API调用。 Istio简化了诸如断路器，超时和重试之类的服务级别属性的配置，并使其易于设置重要任务（如A / B测试，canary部署和基于百分比的流量拆分的分段部署）。它还提供了开箱即用的故障恢复功能，有助于使您的应用程序更强大，以防止相关服务或网络的故障。

默认情况下，来自启用Istio的Pod的所有出站流量都会重定向到其Sidecar代理，因此集群外部URL的可访问性取决于代理的配置。网格中的工作负载想要访问网格外的服务时，有以下三种方法：

双向认证是指双方同时进行认证，这是某些协议的默认认证方式。以前称为“相互实体认证” ，因为两个或多个实体在传输任何数据或信息之前会验证对方的合法性。

在Istio体系中，数据平面主要组件是istio proxy(envoy)，关于istio proxy，有两个问题我们比较关注：请求延迟资源消耗关于请求延迟我们很好理解，毕竟我们的业务在mesh中，多了一层代理。今天我们主要讲述Istio代理的资源消耗以及如何使用新的Sidecar自定义资源来减少消耗。Sidecar 自定义资源与 VirtualService 和 Dest...

Istio是一种具备流量管理，安全性，可观察性，可扩展的服务网格解决方案。那么Istio的授权模型是什么？其如何实现对网格中的工作负载进行访问控制的？

传统上，Kubernetes使用Ingress控制器来处理从外部进入集群的流量。使用Istio时，情况不再如此。 Istio已用新的Gateway和VirtualServices资源替换了熟悉的Ingress资源。它们协同工作，将流量路由到网格中。在网格内部，不需要Gateway，因为服务可以通过集群本地服务名称相互访问。

Istio安全功能提供强大的身份，强大的策略，透明的TLS加密以及身份验证，授权和审核(AAA)工具，以保护您的服务和数据。 Istio安全性的目标是：

为了利用Istio的所有功能，网格中的Pod必须运行Istio Sidecar代理。下面介绍了两种将Istio Sidecar注入到容器中的方法：手动使用istioctl命令或通过在容器的命名空间中启用自动Istio Sidecar注入。

WebAssembly是一种沙箱技术，可用于扩展Istio代理(Envoy)。 Proxy-Wasm 沙箱API取代了Mixer，成为Istio中的主要扩展机制。 Istio 1.6将为Proxy-Wasm插件提供统一的配置API。

Istio为网格内的所有服务通信生成详细的遥测。这种遥测功能提供了服务行为的可观察性，使运维同学可以对应用程序进行故障排除，维护和优化，而不会给服务开发人员带来任何额外负担。通过Istio，可以全面了解受监控的服务如何与其他服务以及与Istio组件本身进行交互。

Istio为网格内的所有服务通信生成详细的遥测。这种遥测功能提供了服务行为的可观察性，使运维同学可以对应用程序进行故障排除，维护和优化，而不会给服务开发人员带来任何额外负担。通过Istio，可以全面了解受监控的服务如何与其他服务以及与Istio组件本身进行交互。

Istio为网格内的所有服务通信生成详细的遥测。这种遥测功能提供了服务行为的可观察性，使运维同学可以对应用程序进行故障排除，维护和优化，而不会给服务开发人员带来任何额外负担。通过Istio，可以全面了解受监控的服务如何与其他服务以及与Istio组件本身进行交互。

数据平面由部署为Sidecar的一组智能代理(Envoy+Polit-agent)组成。这些代理承载并控制微服务之间的所有网络通信。他们还收集并报告所有服务网格流量的遥测。

在此配置中，每个集群都具有自己的Istio控制平面部署，而不是使用共享的Istio控制平面来管理网格，每个集群管理自己的端点。为了执行策略和确保安全，所有集群都处于共享的管理控制之下。

在共享控制平面部署模型下，多个Kubernetes远程集群连接到在主集群中运行的共享Istio控制平面。远程群集可以与主群集位于同一网络中，也可以位于不同网络中。连接一个或多个远程集群后，主集群的控制平面将管理所有服务端点上的服务网格。