概述

应用服务网格基于K8s webhook技术拦截pod创建过程，并将sidecar容器注入到pod中，实现边车代理注入。服务网格支持灵活的sidecar注入策略，本文说明注入策略配置及sidecar注入过程。

Sidecar注入策略

服务网格支持根据pod及其所在的命名空间的标签、注解以及一些特殊规则决定是否注入sidecar。当前支持的注入策略配置说明如下：

在不同注入策略设置下，对于各种Pod所在命名空间标签以及Pod自身注解情况，Pod最终注入策略生效结果参考下表（表中的“Pod所在命名空间需要满足的条件”列中“包含标签”表示包含istio-inject:enabled设置；“不包含标签”表示不包含istio-inject:disabled设置。同理“Pod自身的注解/标签需要满足的条件”列中的“包含标签”表示包含sidecar.istio.io/inject:true设置；“不包含标签”表示不包含sidecar.istio.io/inject:false设置）：

为工作负载安装sidecar

1. 进入服务网格控制台 -> sidecar管理 -> 注入策略配置，将注入策略配置为

   1. pod所在的命名空间需要包含istio-injection:enabled标签

   2. pod自身不包含sidecar.istio.io/inject:false标签或注解

2. 创建测试命名空间并部署测试工作负载

   # kubectl get ns demo -o yaml
   apiVersion: v1
   kind: Namespace
   metadata:
     creationTimestamp: "2025-02-13T03:32:09Z"
     labels:
       istio-injection: enabled
       kubernetes.io/metadata.name: demo
     name: demo
     resourceVersion: "5968"
     uid: 1e324ef3-1d72-473c-a865-21c4dfda78e4
   spec:
     finalizers:
     - kubernetes
   status:
     phase: Active
   
   # cat httpbin.yaml
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: httpbin
   ---
   apiVersion: v1
   kind: Service
   metadata:
     name: httpbin
     labels:
       app: httpbin
       service: httpbin
   spec:
     ports:
     - name: http
       port: 8000
       targetPort: 80
     selector:
       app: httpbin
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: httpbin
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: httpbin
         version: v1
     template:
       metadata:
         labels:
           app: httpbin
           version: v1
       spec:
         serviceAccountName: httpbin
         containers:
         - image: registry-vpc-crs-huanan2.cnsp-internal.ctyun.cn/library/httpbin:stable
           imagePullPolicy: IfNotPresent
           name: httpbin
           ports:
           - containerPort: 80
   
   # kubectl apply -f httpbin.yaml -n demo
   serviceaccount/httpbin configured
   service/httpbin configured
   deployment.apps/httpbin configured
   # kubectl get po -n demo
   NAME                       READY   STATUS        RESTARTS   AGE
   httpbin-655587688-m5dql    2/2     Running       0          10s