REX mise en place d'Istio sur Kubernetes

Le déploiement d'une application sous forme de micro-services dans Docker ou Kubernetes est de nos jours une évidence. En revanche, du fait de l'abstraction apporté par Kubernetes, le métier d'administrateur système est profondément changé. En effet, des opérations auparavant triviales peuvent devenir parfois très compliqué :

- Espionnage du trafic réseau
- Mise en place de firewall
- Chiffrement des communications

Nous verrons en quoi Istio peut répondre à ces questions et les problèmes que j'ai rencontré à sa mise en place. Nous prendrons un peu de temps durant la conférence pour faire une démonstration de déploiement.

Nous verrons également toutes les fonctionnalités d'Istio et comment s'en servir dans votre contexte.

Transcript

1. Powered by REX Istio sur Kubernetes
2. Yannig Perré Consultation DevOps, AIOS #ContainerDayFR @YannigPerre https://www.linkedin.com/in/yannigperre/
4. #ContainerDayFR Un peu de contexte
5. Mon outillage #ContainerDayFR
6. #ContainerDayFR Arrivée des containers
7. Architecture application #ContainerDayFR
9. #ContainerDayFR Besoin d’outillage
10. #ContainerDayFR Mise en place des briques techniques
11. #ContainerDayFR Mise en place des briques techniques Service A Service B Application Healthcheck Circuit breaker Prometheus Zipkin
12. #ContainerDayFR
13. #ContainerDayFR Istio
14. #ContainerDayFR Application avec sidecar Istio Service A Service B Application Healthcheck Circuit breaker Prometheus Zipkin
15. #ContainerDayFR Présentation Istio
16. #ContainerDayFR Avantages à l’arrivée d’Istio
17. Source démo #ContainerDayFR https://github.com/Yannig/pcd-2019-istio-kube https://github.com/weaveworks/eksctl/issues/745
18. Application #ContainerDayFR Gateway VirtualService Service Pods LB istio-system espace de nom applicatif LB Nginx nginx-ingress Ingress
19. #ContainerDayFR Le sidecar
20. #ContainerDayFR Activation d’Istio pour une application YAML API
21. #ContainerDayFR Kiali/Grafana/Jaeger
22. Interface de consultation #ContainerDayFR
23. #ContainerDayFR Activation mTLS
24. Principe migration #ContainerDayFR http + mTLS http
25. Activation mTLS #ContainerDayFR http + mTLS http
26. Blocage #ContainerDayFR http + mTLS http
27. #ContainerDayFR Les difficultés
28. Quelques exemples de difficultés #ContainerDayFR
29. Quelques exemples de difficultés - Rabbit #ContainerDayFR ports: - name: epmd containerPort: 4369 protocol: TCP - name: amqp containerPort: 5672 protocol: TCP - name: stats containerPort: 15672 protocol: TCP - name: dist containerPort: 25672 protocol: TCP - name: stomp containerPort: 61613 protocol: TCP
30. Attention ce n’est pas magique #ContainerDayFR diff --git a/pom.xml b/pom.xml index a8741e4..cde661a 100644 --- a/pom.xml +++ b/pom.xml @@ -24,6 +24,7 @@ <kotlin.version>1.3.11</kotlin.version> <mockk.version>1.8.10.kotlin13</mockk.version> <logstash-logback-encoder.version>5.2</logstash-logback-encoder.version> + <spring-cloud-starter-sleuth.version>2.0.2.RELEASE</spring-cloud-starter-sleuth.version> </properties> <dependencies> @@ -51,6 +52,11 @@ <groupId>org.jetbrains.kotlin</groupId> <artifactId>kotlin-reflect</artifactId> </dependency> + <dependency> + <groupId>org.springframework.cloud</groupId> + <artifactId>spring-cloud-starter-sleuth</artifactId> + <version>${spring-cloud-starter-sleuth.version}</version> + </dependency> <dependency> <groupId>org.springframework.boot</groupId>
31. Quelques exemples de difficultés - BDD/Keycloak #ContainerDayFR
32. Modification headers #ContainerDayFR apiVersion: networking.istio.io/v1alpha3 kind: EnvoyFilter metadata: name: set-https spec: workloadLabels: app: keycloak filters: - listenerMatch: portNumber: 8080 listenerType: SIDECAR_INBOUND filterName: envoy.lua filterType: HTTP filterConfig: inlineCode: | function envoy_on_request(request_handle) request_handle:headers():replace("x-forwarded-proto", "https") end function envoy_on_response(response_handle) end
33. Lancement de job - suppression injection sidecar #ContainerDayFR apiVersion: batch/v1beta1 kind: CronJob metadata: name: export labels: app: export spec: schedule: "0 2 * * *" concurrencyPolicy: "Forbid" successfulJobsHistoryLimit: 1 jobTemplate: spec: template: metadata: annotations: sidecar.istio.io/inject: "false" labels: app: export spec: restartPolicy: OnFailure volumes: - name: backup persistentVolumeClaim: claimName: backup
34. Gateway / Ingress #ContainerDayFR Ingress Gateway VirtualService Service Pods
35. Quelques exemples de difficultés #ContainerDayFR Blocage accès externes sauvages tzurl.org geo.api.gouv.fr metadata cloud Services de récupération de Metadata sidecar.istio.io/inject: false
36. #ContainerDayFR Conclusion
37. Still loving you #ContainerDayFR $ kubectl krew install sniff $ kubectl sniff -p pod-name
38. Travaux en cours #ContainerDayFR
39. Ce qui manque un peu #ContainerDayFR
41. AIOS RECRUTE !
42. #ContainerDayFR Questions ?
43. Merci à nos sponsors Pour en être informé, suivez nous sur : @ContainerDayFR La vidéo de cette conférence sera prochainement sur paris-container-day.fr