概述

应用服务网格基于K8s webhook技术，通过给业务pod内增加sidecar容器实现治理能力注入；sidecar注入策略受多种配置影响，包括pod所在命名空间的标签、pod注解、自动注入匹配、特殊匹配规则等，您可以在服务网格控制台sidecar管理->注入策略配置菜单配置，如下图所示：

只有当Pod所在的命名空间标签和Pod自身的标签/注解同时满足注入策略配置中的设置时，才能够实现Pod的sidecar注入。配置说明如下：

说明
AlwaysInjectSelector和NeverInjectSelector分别看作为匹配的Pod添加sidecar.istio.io/inject:true和sidecar.istio.io/inject:false，但是这个添加的标签优先级低于Pod原本的标签。也就是说，即使 Pod 匹配 NeverInjectSelector，但 Pod 本身具有 sidecar.istio.io/inject:true 标签时，仍然会被视为只包含 sidecar.istio.io/inject:true 标签。

在不同注入策略设置下，对于各种Pod所在命名空间标签以及Pod自身注解情况，Pod最终注入策略生效结果参考下表（表中的“Pod所在命名空间需要满足的条件”列中“包含标签”表示包含istio-inject:enabled设置；“不包含标签”表示不包含istio-inject:disabled设置。同理“Pod自身的注解/标签需要满足的条件”列中的“包含标签”表示包含sidecar.istio.io/inject:true设置；“不包含标签”表示不包含sidecar.istio.io/inject:false设置）：