Введение
Istio – открытая платформа service mesh, разработанная совместно Google, IBM и Lyft и выпущенная в 2017 году. Istio является наиболее функциональным и широко используемым решением в классе service mesh, предоставляя возможности управления трафиком, безопасности (mTLS) и observability для микросервисных приложений в Kubernetes без изменения кода сервисов.
В сентябре 2022 года Istio был передан в CNCF (Cloud Native Computing Foundation) и в 2023 году получил статус Graduated – высшую степень зрелости проекта CNCF. Версия 1.0 была выпущена в июле 2018 года.
История и контекст
Истоки Istio уходят в Envoy proxy, разработанный в Lyft для управления микросервисным трафиком. Google использовал собственные внутренние инструменты Stubby и Borgmaster для аналогичных задач. В 2017 году компании объединили усилия и создали Istio, использовав Envoy как data plane.
Ранние версии Istio (0.x, 1.0-1.5) имели разделённую control plane: Pilot, Citadel, Galley, Mixer. В версии 1.5 (2020) control plane была консолидирована в единый компонент Istiod, что значительно упростило развёртывание и уменьшило накладные расходы. В 2022 году был представлен Ambient Mode – архитектура без sidecar-прокси, снижающая ресурсные затраты.
Как это работает
Архитектура Istio состоит из двух плоскостей:
- Data Plane: прокси Envoy, автоматически внедряемые как sidecar-контейнеры в каждый Pod (при включённом автовнедрении для namespace). Envoy перехватывает весь входящий и исходящий трафик Pod'а через iptables-правила.
- Control Plane (Istiod): единый компонент, выполняющий три функции: распределение конфигурации на Envoy-прокси через xDS API (Pilot), управление сертификатами и ключами mTLS (Citadel), валидация конфигурации (Galley).
Ключевые ресурсы конфигурации Istio:
- VirtualService: определяет правила маршрутизации трафика – weighted routing, fault injection, timeout, retry, URL-rewrite. Например: 90% трафика → v1, 10% → v2 (canary).
- DestinationRule: определяет политики для трафика, направленного к конкретному сервису – load balancing алгоритм, circuit breaker (outlier detection), mTLS режим, connection pool.
- Gateway: управляет входящим (ingress) и исходящим (egress) трафиком для mesh.
- PeerAuthentication: политика mTLS для namespace или сервиса (STRICT, PERMISSIVE, DISABLE).
- AuthorizationPolicy: fine-grained авторизация на уровне L4/L7 – разрешить/запретить трафик по source principal, IP, HTTP method, path.
Ambient Mode (доступен начиная с Istio 1.18, beta): вместо sidecar использует:
- ztunnel (zero-trust tunnel) – DaemonSet на каждом узле для L4 mTLS и авторизации.
- Waypoint proxy – опциональный компонент для L7 обработки (routing, observability).
Безопасность в Istio
Istio реализует концепцию Zero Trust networking:
- mTLS: автоматическое взаимное TLS-аутентификация между всеми сервисами. Istiod выступает Certificate Authority, выпуская краткосрочные сертификаты (по умолчанию 24 часа), привязанные к SPIFFE-идентификаторам.
- SPIFFE/SPIRE: каждый сервис получает криптографическую идентичность в формате SPIFFE URI (
spiffe://cluster.local/ns/default/sa/my-service). - AuthorizationPolicy: гранулярное управление доступом. Возможность запретить всё кроме явно разрешённого.
Где применяется
- Финансовый сектор: Сбербанк, ВТБ и другие крупные банки используют Istio для микросегментации и соответствия требованиям по безопасности.
- E-commerce платформы: Canary-деплойменты и A/B тестирование без даунтайма.
- Телеком: управление трафиком в 5G core-приложениях.
- SaaS-продукты: автоматическая observability для десятков и сотен микросервисов.
Связь с другими понятиями
- Service Mesh – Istio является наиболее популярной реализацией концепции service mesh.
- Sidecar – классическая архитектура Istio строится на паттерне sidecar (Envoy рядом с каждым Pod'ом).
- Envoy – высокопроизводительный прокси, написанный на C++, используемый как data plane Istio.
- gRPC – Istio обеспечивает L7-балансировку для gRPC-трафика, что критично для правильного распределения нагрузки.
- OpenTelemetry – Istio генерирует трассировки, совместимые с OpenTelemetry/Zipkin/Jaeger.
- Kubernetes Operator – Istio Operator упрощает установку и обновление Istio в Kubernetes.
