OpenTelemetry

Проксі Envoy можна налаштувати для експорту логів доступу у форматі OpenTelemetry. У цьому прикладі проксі надсилають логи доступу до OpenTelemetry collector, який налаштований для виведення логів у стандартний вивід. Стандартний вивід OpenTelemetry collector можна переглянути за допомогою команди kubectl logs.

Перш ніж розпочати

• Налаштуйте Istio, дотримуючися інструкцій у посібнику з встановлення.

• Розгорніть демонстраційний застосунок curl для використання як джерело тестових запитів. Якщо у вас увімкнено автоматичне додавання sidecar, виконайте наступну команду для розгортання демонстраційного застосунку:

  Zip

  $ kubectl apply -f @samples/curl/curl.yaml@

  Інакше, вручну додайте sidecar перед розгортанням застосунку curl за допомогою наступної команди:

  Zip

  $ kubectl apply -f <(istioctl kube-inject -f @samples/curl/curl.yaml@)

• Встановіть змінну середовища SOURCE_POD на імʼя вашого podʼа:

  $ export SOURCE_POD=$(kubectl get pod -l app=curl -o jsonpath={.items..metadata.name})

• Запустіть зразок httpbin.

  Якщо ви увімкнули автоматичну інʼєкцію sidecar, розгорніть сервіс httpbin:

  Zip

  $ kubectl apply -f @samples/httpbin/httpbin.yaml@

  В іншому випадку вам потрібно вручну додати sidecar перед розгортанням застосунку httpbin:

  Zip

  $ kubectl apply -f <(istioctl kube-inject -f @samples/httpbin/httpbin.yaml@)

Створіть простір імен для OpenTelemetry Collector:

$ kubectl create namespace observability

Розгорніть OpenTelemetry Collector. Ви можете використовувати цей приклад конфігурації як відправну точку.

$ kubectl apply -f @samples/open-telemetry/otel.yaml@ -n observability

Увімкнення логування доступу Envoy

Щоб увімкнути логування доступу, використовуйте Telemetry API.

Редагуйте MeshConfig, щоб додати постачальника OpenTelemetry з іменем otel. Це передбачає додавання розширення:

extensionProviders:
- name: otel
  envoyOtelAls:
    service: opentelemetry-collector.observability.svc.cluster.local
    port: 4317

Кінцева конфігурація виглядатиме приблизно так:

apiVersion: v1
kind: ConfigMap
metadata:
  name: istio
  namespace: istio-system
data:
  mesh: |-
    accessLogFile: /dev/stdout
    defaultConfig:
      discoveryAddress: istiod.istio-system.svc:15012
      proxyMetadata: {}
      tracing:
        zipkin:
          address: zipkin.istio-system:9411
    enablePrometheusMerge: true
    extensionProviders:
    - name: otel
      envoyOtelAls:
        service: opentelemetry-collector.observability.svc.cluster.local
        port: 4317
    rootNamespace: istio-system
    trustDomain: cluster.local
  meshNetworks: 'networks: {}'

Додайте ресурс Telemetry, який вказує Istio надсилати логи доступу до OpenTelemetry collector.

$ cat <<EOF | kubectl apply -n default -f -
apiVersion: telemetry.istio.io/v1
kind: Telemetry
metadata:
  name: curl-logging
spec:
  selector:
    matchLabels:
      app: curl
  accessLogging:
    - providers:
      - name: otel
EOF

Наведений приклад використовує постачальника логів otel, і ми не налаштовуємо нічого, крім стандартних параметрів.

Подібну конфігурацію можна також застосувати до окремого простору імен або робочого навантаження для точного контролю логування.

Детальнішу інформацію про використання Telemetry API можна знайти в огляді Telemetry API.

Використання Mesh Config

Якщо ви використовували конфігурацію IstioOperator для встановлення Istio, додайте наступне поле до вашої конфігурації:

spec:
  meshConfig:
    accessLogFile: /dev/stdout
    extensionProviders:
    - name: otel
      envoyOtelAls:
        service: opentelemetry-collector.observability.svc.cluster.local
        port: 4317
    defaultProviders:
      accessLogging:
      - envoy
      - otel

Інакше додайте відповідне налаштування до вашої оригінальної команди istioctl install, наприклад:

$ istioctl install -f <your-istio-operator-config-file>

Стандартний формат логу доступу

Istio використовуватиме наступний стандартний формат логу доступу, якщо параметр accessLogFormat не вказаний:

[%START_TIME%] \"%REQ(:METHOD)% %REQ(X-ENVOY-ORIGINAL-PATH?:PATH)% %PROTOCOL%\" %RESPONSE_CODE% %RESPONSE_FLAGS% %RESPONSE_CODE_DETAILS% %CONNECTION_TERMINATION_DETAILS%
\"%UPSTREAM_TRANSPORT_FAILURE_REASON%\" %BYTES_RECEIVED% %BYTES_SENT% %DURATION% %RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)% \"%REQ(X-FORWARDED-FOR)%\" \"%REQ(USER-AGENT)%\" \"%REQ(X-REQUEST-ID)%\"
\"%REQ(:AUTHORITY)%\" \"%UPSTREAM_HOST%\" %UPSTREAM_CLUSTER% %UPSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_LOCAL_ADDRESS% %DOWNSTREAM_REMOTE_ADDRESS% %REQUESTED_SERVER_NAME% %ROUTE_NAME%\n

У таблиці нижче наведено приклад використання стандартного формату логів для запиту від curl до httpbin:

Тестування журналу доступу

1. Надішліть запит з curl до httpbin:

   $ kubectl exec "$SOURCE_POD" -c curl -- curl -sS -v httpbin:8000/status/418
   ...
   < HTTP/1.1 418 Unknown
   ...
   < server: envoy
   ...
   I'm a teapot!
   ...

2. Перевірте журнал otel-collector:

   $ kubectl logs -l app=opentelemetry-collector -n observability
   [2020-11-25T21:26:18.409Z] "GET /status/418 HTTP/1.1" 418 - via_upstream - "-" 0 135 3 1 "-" "curl/7.73.0-DEV" "84961386-6d84-929d-98bd-c5aee93b5c88" "httpbin:8000" "127.0.0.1:80" inbound|8000|| 127.0.0.1:41854 10.44.1.27:80 10.44.1.23:37652 outbound_.8000_._.httpbin.foo.svc.cluster.local default

Зверніть увагу, що повідомлення, що відповідають запиту, з’являються в журналах Istio проксі як для джерела, так і для місця призначення, відповідно curl і httpbin. Ви можете побачити в журналі HTTP-дієслово (GET), HTTP-шлях (/status/418), код відповіді (418) та іншу інформацію про запит.

Очищення

Зупиніть сервіси curl і httpbin:

$ kubectl delete telemetry curl-logging
$ kubectl delete -f @samples/curl/curl.yaml@
$ kubectl delete -f @samples/httpbin/httpbin.yaml@
$ kubectl delete -f @samples/open-telemetry/otel.yaml@ -n istio-system
$ kubectl delete namespace observability

Вимкнення журналу доступу Envoy

Видаліть або встановіть значення "" для налаштувань meshConfig.extensionProviders і meshConfig.defaultProviders у конфігурації встановлення Istio.

$ istioctl install --set profile=default
✔ Istio core installed
✔ Istiod installed
✔ Ingress gateways installed
✔ Installation complete