使用 Helm 升级

请参阅本指南使用 Helm 升级和配置 Istio 网格。 本指南假设您已经使用 Helm 安装了 Istio 的前一个小版本或补丁版本。

本指南中使用 的 Helm charts 与通过 IstioctlOperator 安装 Istio 时 使用的底层 charts 相同。

此功能目前被认为是 alpha

先决条件

  1. 执行任何必要的特定于平台的设置

  2. 检查 Pod 和服务的要求

  3. 安装 Helm 客户端 3.6 或更高的版本。

  4. 配置 Helm 存储库:

$ helm repo add istio https://istio-release.storage.googleapis.com/charts
$ helm repo update

升级步骤

升级 Istio 之前,推荐运行 istioctl x precheck 命令以确保升级能与您的环境兼容。

$ istioctl x precheck
✔ No issues found when checking the cluster. Istio is safe to install or upgrade!
  To get started, check out <https://istio.io/latest/docs/setup/getting-started/>

金丝雀升级(推荐)

您可以使用以下步骤,安装金丝雀版本的 Istio 控制平面来校验新版本是否与您现有的配置和数据平面兼容:

  1. 升级 Kubernetes CRD

    $ kubectl apply -f manifests/charts/base/crds
    
  2. 通过设置修订版的值来安装金丝雀版本的 Istio 发现 Chart:

    $ helm install istiod-canary istio/istiod \
        --set revision=canary \
        -n istio-system
    
  3. 验证您已经将两个 istiod 版本安装到了您的集群中:

    $ kubectl get pods -l app=istiod -L istio.io/rev -n istio-system
      NAME                            READY   STATUS    RESTARTS   AGE   REV
      istiod-5649c48ddc-dlkh8         1/1     Running   0          71m   default
      istiod-canary-9cc9fd96f-jpc7n   1/1     Running   0          34m   canary
    
  4. 遵循此处的步骤来测试和迁移现有工作负载,以使用金丝雀控制平面。

  5. 一旦您已经验证并迁移了要使用金丝雀控制平面的工作负载,您就可以卸载旧的控制平面:

    $ helm delete istiod -n istio-system
    
  6. 升级 Istio base chart,将新的修订版作为默认值。

    $ helm upgrade istio-base istio/base --set defaultRevision=canary -n istio-system --skip-crds
    

稳定修订标签(实验特性)

在将命名空间移动到新版本时,手动的重新标记命名空间可能既乏味又容易出错。 修订标签解决了这个问题。 修订标签是指向修订的稳定标识符,可用于避免重新标记命名空间。网格管理员可以简单地更改标签以指向新的修订版,而不是重新标记命名空间。所有标有该标签的命名空间将同时更新。

用法

考虑到一个安装了 1-9-51-10-0 两个修订版本的集群。集群管理员创建了一个 prod-stable 修订标签, 以指向较旧的 1-9-5 稳定版本,并创建一个 prod-canary 修订标签,用以指向较新的 1-10-0 修订版本。 可以通过以下命令达到该状态:
$ helm template istiod istio/istiod -s templates/revision-tags.yaml --set revisionTags="{prod-stable}" --set revision=1-9-5 -n istio-system | kubectl apply -f -
$ helm template istiod istio/istiod -s templates/revision-tags.yaml --set revisionTags="{prod-canary}" --set revision=1-10-0 -n istio-system | kubectl apply -f -

修订、标签和命名空间之间的结果映射如下所示:

Two namespaces pointed to prod-stable and one pointed to prod-canary
Two namespaces pointed to prod-stable and one pointed to prod-canary

除了标记的命名空间之外,集群管理员还可以通过以下 istioctl tag list 命令查看此映射:

$ istioctl tag list
TAG         REVISION NAMESPACES
prod-canary 1-10-0   ...
prod-stable 1-9-5    ...

当集群管理员对标记为 prod-canary 的控制面、命名空间的稳定性感到满意后, istio.io/rev=prod-stable 可以通过修改 prod-stable 修订标记来更新, 以指向更新的 1-10-0 修订版本。

$ helm template istiod istio/istiod -s templates/revision-tags.yaml --set revisionTags="{prod-stable}" --set revision=1-10-0 -n istio-system | kubectl apply -f -

现在,情况如下:

Namespace labels unchanged but now all namespaces pointed to 1-10-0
Namespace labels unchanged but now all namespaces pointed to 1-10-0

当在带有 prod-stable 标签的命名空间中重新启动注入工作负载,将导致这些工作负载使用 1-10-0 控制平面。 请注意,将工作负载迁移到新版本时不需要重新标记名称空间。

默认标记

标签 default 指向的修订版本被认为是默认的修订版本,并具有额外的语义含义。 默认版本的功能如下:

  • istio-injection=enabled 命名空间选择器,sidecar.istio.io/inject=true 对象选择器 和 istio.io/rev=default 选择器注入 sidecars。
  • 验证 Istio 资源。
  • 从非默认的修订版本中窃取 leader 锁并执行单例网格任务(例如更新资源状态)。

执行以下命令,修改默认版本为 1-10-0

$ helm template istiod istio/istiod -s templates/revision-tags.yaml --set revisionTags="{default}" --set revision=1-10-0 -n istio-system | kubectl apply -f -
当使用 default 标签和现有的未修订版本的 Istio 安装方式一起使用时, 建议删除旧的 MutatingWebhookConfiguration(通常称为 istio-sidecar-injector), 以避免新旧控制平面同时尝试注入。

原地升级

您可以使用 Helm 升级工作流在您的集群中对 Istio 执行原地升级。

  1. 升级 Kubernetes CRD

    $ kubectl apply -f manifests/charts/base/crds
    
  2. 升级 Istio base chart:

    $ helm upgrade istio-base manifests/charts/base -n istio-system --skip-crds
    
  3. 升级 Istio discovery chart:

    $ helm upgrade istiod istio/istiod -n istio-system
    
  4. (可选)升级集群中安装的 gateway chart:

    $ helm upgrade istio-ingress istio/gateway -n istio-ingress
    

卸载

请参阅 Helm 安装指南中的卸载章节。

这些信息有用吗?
Do you have any suggestions for improvement?

Thanks for your feedback!