sidecar-inject代码分析

Istio通过对serviceMesh中的每个pod注入sidecar，来实现无侵入式的服务治理能力。其中，sidecar的注入是其能力实现的重要一环（本文主要介绍在kubernetes集群中的注入方式）。sidecar注入有两种方式，一是通过创建webhook资源，利用k8s的webhook能力实现pod的自动注入，二是通过istioctl工具，对yaml文件进行手动注入。在这里对这两种方式进行简单介绍。

一、 webhook自动注入：

a) 准备条件：

i. 自动注入功能需要kubernetes 1.9或更高版本；

ii. 需要在kube-apiserver的启动参数中加入--admission-control=MutatingAdmissionWebhook，ValidatingAdmissionWebhook

iii. k8s中webhook需要签名密钥对，用于自动注入时的认证鉴权。（此处可通过install/kubernetes/webhook-create-signed-cert.sh脚本生成，这个脚本会调用kubernetes的CSR API生成一个具有K8S签名的密钥对，用于Webhook。然后建立一个secret存放证书信息。）

iv. 可通过在sidecar-injector的configmap中设置policy=disabled字段来设置是否启用自动注入，同时也可以在deployment中通过设置annotation，sidecar.istio.io/inject=true来控制pod级别的自动注入。

v. 为需要自动注入的namespace打上标签istio-injection: enabled。

vi. 确保master到node容器网络通信正常。

b) 定义webhook文件，格式如下（在helm包的sidecarInject中）。这里的语义就是，监听具有istio-injection: enabled的label的namespace下的pod资源，当发生rules（CREATE POD）的动作时，则调用services（istio-sidecar-injector.namespace的/inject接口）。

apiVersion: admissionregistration.k8s.io/v1beta1

kind: MutatingWebhookConfiguration

metadata:

name: istio-sidecar-injector

namespace: {{ .Release.Namespace }}

labels:

app: istio-sidecar-injector

webhooks:

- name: sidecar-injector.istio.io

clientConfig:

service:

name: istio-sidecar-injector

namespace: {{ .Release.Namespace }}

path: "/inject"

caBundle: ""

rules:

- operations: [ "CREATE" ]

apiGroups: [""]

apiVersions: ["v1"]

resources: ["pods"]

failurePolicy: Fail

namespaceSelector:

matchLabels:

istio-injection: enabled

c) webhook工作流程图

d) inject代码分析(代码位置pilot/pkg/kube/inject/webhook.go)：

i. sidecar-inject接收kube-master发出的自动注入请求，并校验、解析请求结构体（请求体中包含触发条件中，creating的pod的结构体。）

ii. 判断是否需要注入，筛选满足条件的pod，筛选条件包括：是否开启了hostNewWork、是否为需要注入的ns、annotation中是否指定为需要注入等条件；

iii. 若满足条件则进行注入，注入的sidecar的镜像信息、启动参数、挂载信息等内容，存储在sidecar-inject的configmap中，注入时会从configmap中提取对应的值，填到模板中，再将填好值的模板注入到pod中；

iv. 将注入好的pod信息返还给kube-master，完成自动注入。

二、 istioctl手动注入（代码位置istioctl/cmd/istioctl/inject; pilot/pkg/kube/inject/inject.go）：

a) 手动注入操作步骤：

i. 下载istioctl工具并拷贝至环境，链接 https://github.com/istio/istio/releases/ ；

ii. 将istioctl二进制拷贝至/usr/local/bin目录下

mv -f istioctl /usr/local/bin

iii. 安装Istio控制面，确认注入相关configmap已创建成功

$ kubectl get cm -n istio-system | grep istio-sidecar-injector

istio-sidecar-injector 1 15h

iv. 准备需要注入的文件test.yaml

v. 执行istioctl会在原始内容的基础上加入sidecar的配置内容，并输出到控制台。

$ istioctl kube-inject -f test.yaml

vi. 将istioctl处理之后的内容部署到kubernetes上

$ kubectl apply -f <(istioctl kube-inject -f test.yaml)

vii. 可以通过k8s命令查看pod详细内容

$ kubectl describe pod test-c9f4b55c7-np4cf

b) 代码分析：

i. 首先打开原始deploy.yaml文件或读取控制台输入，读取为文件流；

ii. 从config文件或k8s的configmap中读取sidecar模板所需的值（同上述c中第三步）。

iii. 将上步得到的值填入sidecar模板中，生成模板实例；

iv. 将模板实例注入到源deployment中，生成注入好的文件。

三、 总结：

这里更推荐自动注入的方式来实现sidecar的注入，可以通过在deployment的annotation中加入对应的key来实现自动注入的控制。而源码部分，注入的逻辑并不复杂，主要是对k8s中webhook的使用，以及通过模板，向deployment中注入相应的container资源等。