章 章 SERVICE MESH 2.X 65 添加了对嵌套 JSON Web Token(JWT)声明的支持。 EnvoyFilter 破坏更改> 必须使用 typed_config XDS v2 不再被支持 弃用的过滤器名称 较旧版本的代理可能会在从更新的代理接收 1xx 或 204 状态代码时报告 503 状态代码。 1.11.4.3. 升 升级 级 Service Mesh "http://localhost:8080/auth/realms/master" jwksUri: "http://keycloak.default.svc:8080/auth/realms/master/protocol/openid-connect/certs" apiVersion: "security.istio.io/v1beta1" kind: "AuthorizationPolicy" metadata: ingressgateway # use istio default controller servers: - port: number: 443 name: https protocol: HTTPS hosts: - ext-host.example.com tls: mode: SIMPLE serverCertificate:

路由，而不适用于 edge-terminated 或 insecure 路由。存在这个限制的原因是，在与后端协商使用 HTTP/2 时，HAProxy 要使用 ALPN（Application-Level Protocol Negotiation），它是一个 TLS 的扩展。这意味着，端到端的 HTTP/2 适用于 passthrough 和 re-encrypt 路由，而不适用于 nsecure 或 edge-terminated ategy.hostNetwork.protocol 子字段设置为 PROXY： hostNetwork 配置 配置为 为 PROXY 的示例 的示例 如果您的 Ingress Controller 使用 NodePortService 端点发布策略类型，将 spec.endpointPublishingStrategy.nodePort.protocol 子字段设置为 PROXY： nodePort endpointPublishingStrategy: hostNetwork: protocol: PROXY type: HostNetwork spec: endpointPublishingStrategy: nodePort: protocol: PROXY type: NodePortService 第 第 6 章

路由，而不适用于 edge-terminated 或 insecure 路由。存在这个限制的原因是，在与后端协商使用 HTTP/2 时，HAProxy 要使用 ALPN（Application-Level Protocol Negotiation），它是一个 TLS 的扩展。这意味着，端到端的 HTTP/2 适用于 passthrough 和 re-encrypt 路由，而不适用于 nsecure 或 edge-terminated pod、服务和网络策略的协议。Service 对象必须通过将 type 参数 设置为 ClusterIP 或 NodePort 值来定义。 8.1.1. 使用 SCTP 协议的示例配置 您可以通过将 pod 或服务对象中的 protocol 参数设置为 SCTP 来将 pod 或服务配置为使用 SCTP。 在以下示例中，pod 被配置为使用 SCTP: 在以下示例中，服务被配置为使用 SCTP: 在以下示例中，NetworkPolicy name: sctpserver protocol: SCTP apiVersion: v1 kind: Service metadata: namespace: project1 name: sctpserver spec: ... ports: - name: sctpserver protocol: SCTP port: 30100

字段： loadBalancer.scope loadbalancer.providerParameters.gcp.clientAccess hostNetwork.protocol nodePort.protocol defaultCertificate defaultCertificate 的值是一个到包括由 Ingress controller 提供的默认证书的 secret 的指代。当 路由，而不适用于 edge-terminated 或 insecure 路由。存在这个限制的原因是，在与后端协商使用 HTTP/2 时，HAProxy 要使用 ALPN（Application-Level Protocol Negotiation），它是一个 TLS 的扩展。这意味着，端到端的 HTTP/2 适用于 passthrough 和 re-encrypt 路由，而不适用于 nsecure 或 edge-terminated 如果您的 Ingress Controller 使用 hostNetwork 端点发布策略类型，将 spec.endpointPublishingStrategy.hostNetwork.protocol 子字段设置为 PROXY： hostNetwork 配置为 PROXY 的示例 apiVersion: config.openshift.io/v1 kind: Ingress metadata:

image: acme/myapp:myversion ports: - containerPort: 8080 protocol: TCP - name: jaeger-agent image: registry.redhat.io/distributed-tracing/jaege name: zk-compact-trft protocol: UDP - containerPort: 5778 name: config-rest protocol: TCP - containerPort: 6831 OpenTelemetry 收集器自定 收集器自定义资 义资源文件示例 源文件示例 protocol: UDP - containerPort: 6832 name: jg-binary-trft protocol: UDP - containerPort: 14271

image: acme/myapp:myversion ports: - containerPort: 8080 protocol: TCP - name: jaeger-agent image: registry.redhat.io/distributed-tracing/jaege name: zk-compact-trft protocol: UDP - containerPort: 5778 name: config-rest protocol: TCP - containerPort: 6831 name: jg-compact-trft protocol: UDP - containerPort: 6832 name: jg-binary-trft protocol: UDP - containerPort: 14271

等提供分布式追踪工 具。 Jaeger Agent （Server Queue, Processor Workers）- Jaeger 代理是一个网络守护进程，它会 监听通过 User Datagram Protocol (UDP) 发送的 span，并发送到收集程序。这个代理应被放置 在要管理的应用程序的同一主机上。这通常是通过如 Kubernetes 等容器环境中的 sidecar 来实现 的。 Jaeger selector: istio: ingressgateway servers: - port: number: 80 name: http protocol: HTTP hosts: - www.bookinfo.com - bookinfo.example.com 然后，会自动创建以下 OpenShift 路由。您可以使用以下命令来检查是否创建了路由： ingressgateway # use istio default controller servers: - port: number: 443 name: https protocol: HTTPS hosts: - ext-host.example.com tls: mode: SIMPLE serverCertificate:

- MKNOD procMount: Default ports: - containerPort: 8080 protocol: TCP imagePullPolicy: Always volumeMounts: 5 - name: default-token-wbqsl beta.openshift.io/serving-cert-secret-name: my-cert 1 spec: selector: app: MyApp ports: - protocol: TCP port: 80 targetPort: 9376 $ oc create -f .yaml $ oc get secrets NAME imagePullPolicy: Always name: registry ports: - containerPort: 80 protocol: TCP 第 第 4 章 章 使用作 使用作业 业和 和 DAEMONSET 157 1 2 3 决定哪些 pod 属于守护进程集的标签选择器。 pod 模板的标签选择器。必须与上述标签选择器匹配。

Ref: ExternalApiTargetGroup LoadBalancerArn: Ref: ExtApiElb Port: 6443 Protocol: TCP ExternalApiTargetGroup: Type: AWS::ElasticLoadBalancingV2::TargetGroup Properties: HealthCheckProtocol: HTTPS HealthyThresholdCount: 2 UnhealthyThresholdCount: 2 Port: 6443 Protocol: TCP TargetType: ip VpcId: Ref: VpcId TargetGroupAttributes: - Key: Ref: InternalApiTargetGroup LoadBalancerArn: Ref: IntApiElb Port: 6443 Protocol: TCP InternalApiTargetGroup: Type: AWS::ElasticLoadBalancingV2::TargetGroup Properties:

Ref: ExternalApiTargetGroup LoadBalancerArn: Ref: ExtApiElb Port: 6443 Protocol: TCP ExternalApiTargetGroup: Type: AWS::ElasticLoadBalancingV2::TargetGroup Properties: HealthCheckProtocol: HTTPS HealthyThresholdCount: 2 UnhealthyThresholdCount: 2 Port: 6443 Protocol: TCP TargetType: ip VpcId: Ref: VpcId TargetGroupAttributes: - Key: Ref: InternalApiTargetGroup LoadBalancerArn: Ref: IntApiElb Port: 6443 Protocol: TCP InternalApiTargetGroup: Type: AWS::ElasticLoadBalancingV2::TargetGroup Properties: