作为分布式云服务的托管服务网格 - Gerg Huszty & Tong Li

分布式云服务背景
云提供商将服务扩展至用户数据中心或边缘环境，用户无需管理服务控制平面，由提供商负责管理、扩展和升级，以减少用户侧管理实体。

Istio 分裂控制平面模型
Istio 采用拆分部署模型，将控制平面（Istiod）和数据平面分离，控制平面可部署在独立集群或与数据平面同集群，需通过网关处理边缘流量。

实施挑战

• 控制平面暴露：需安全暴露 Istiod 的 L3-L7 网关、DNS、TLS 证书管理等功能，但可能受提供商网络限制。
• 数据平面集群 API 访问：Istiod 需访问数据平面集群 API，该 API 可位于网格集群内或外，需解决网络和权限问题。
• 生命周期管理：需通过 K8S Operator 安装网格组件，但若 Operator 未在网格集群运行，则需额外代理或外部控制器。
• 多租户支持：控制平面需支持多租户，如通过 Kiali 监控跨集群工作负载，需解决单一 kubeConfig 访问多个集群的冲突（如部署多个 Kiali 实例导致管理复杂）。

解决方案

• 代理机制：通过代理公开控制平面端点，解决网络限制问题。
• K8S Operator 远程管理：在主题集群外运行 Operator，或通过代理访问网格集群 API。
• 多租户与监控：设计主控制器按需编排资源，Kiali 通过代理聚合跨集群指标，避免重复部署。

关键结论
分布式云环境下，Istio 控制平面的部署需克服网络隔离、跨集群访问和监控复杂性，通过代理和 Operator 机制可优化管理，但需进一步解决多租户和跨集群监控的挑战。