השקה אפלה באיסטיו: השירותים החשאיים

"סכנה היא השם האמצעי שלי", נהג לומר אוסטין פאוורס, איש מסתורין בינלאומי. אבל מה שזוכה להערכה רבה על ידי סוכני העל ושירותי המודיעין אינו מתאים כלל לשירותי מחשוב, שבהם שעמום עדיף בהרבה על סכנה.

ו-Istio, יחד עם OpenShift ו-Kubernetes, הופכים את פריסת המיקרו-שירותים למשעממת וצפויה באמת - וזה נהדר. על זה ועוד הרבה נדבר בפוסט הרביעי והאחרון בסדרת Istio.

כשהשעמום נכון

במקרה שלנו, השעמום מתרחש רק בשלב הסופי, כאשר כל שנותר הוא לשבת ולצפות בתהליך. אבל כדי לעשות זאת, תחילה עליך להגדיר הכל, והרבה דברים מעניינים מחכים לך כאן.

בעת פריסת גרסה חדשה של התוכנה שלך, כדאי לשקול את כל האפשרויות לצמצום הסיכונים. ריצה במקביל היא דרך חזקה ומוכחת מאוד לבדיקה, ואיסטיו מאפשרת לך להשתמש ב"שירות סודי" (גרסה נסתרת של המיקרו-שירות שלך) כדי לעשות זאת מבלי להפריע למערכת הייצור. יש אפילו מונח מיוחד לכך - "השקה כהה", שבתורה מופעלת על ידי פונקציה בעלת שם מרגל באותה מידה "שיקוף תנועה".

שימו לב שהמשפט הראשון של הפסקה הקודמת משתמש במונח "פריסה" ולא "שחרור". אתה באמת אמור להיות מסוגל לפרוס - וכמובן, להשתמש - בשירות המיקרו שלך בתדירות שתרצה. שירות זה חייב להיות מסוגל לקבל ולעבד תעבורה, לייצר תוצאות וגם לכתוב ללוגים ולנטר. אבל יחד עם זאת, השירות הזה עצמו לא בהכרח צריך להיות משוחרר לייצור. פריסה ושחרור תוכנה הם לא תמיד אותו הדבר. אתה יכול לפרוס מתי שתרצה, אבל שחרר רק כשתהיה מוכן.

ארגון שעמום זה מעניין

תסתכל על כלל הניתוב הבא של Istio, שמנתב את כל בקשות ה-HTTP להמלצת המיקרו-שירות v1 (כל הדוגמאות נלקחו מ מדריך Istio ריפו של GitHub), תוך שיקוף אותם בו-זמנית למיקרו-שירות המלצה v2:

שימו לב לתווית mirror: בתחתית המסך - הוא זה שקובע את שיקוף התנועה. כן, זה כל כך פשוט!

התוצאה של כלל זה תהיה שמערכת הייצור שלך (v1) תמשיך לעבד בקשות נכנסות, אך הבקשות עצמן ישוקפו באופן אסינכרוני ל-v2, כלומר, הכפילויות המלאות שלהן יעברו לשם. כך תוכלו לבדוק את v2 בתנאים אמיתיים - על נתונים ותעבורה אמיתיים - מבלי להפריע בשום צורה לפעולה של מערכת הייצור. האם זה הופך את ארגון הבדיקות למשעמם? כן בהחלט. אבל זה נעשה בצורה מעניינת.

בואו נוסיף דרמה

שימו לב שבקוד v2 יש צורך לספק מצבים שבהם בקשות נכנסות עלולות להוביל לשינויי נתונים. הבקשות עצמן משתקפות בקלות ובשקיפות, אבל הבחירה בשיטת העיבוד בבדיקה תלויה בכם - וזה קצת מדאיג.

נחזור על נקודה חשובה

ניתן לבצע הפעלה סודית עם שיקוף תעבורה (Dark Launch/Request Mirroring) מבלי להשפיע על הקוד בשום צורה.

חומר למחשבה

מה אם המקום שבו בקשות משוקפות שולח חלק מהן לא ל-v1, אלא ל-v2? לדוגמה, אחוז אחד מכל הבקשות או רק בקשות מקבוצת משתמשים מסוימת. ואז, כבר מסתכלים על איך v2 עובד, העבירו בהדרגה את כל הבקשות לגרסה החדשה. או להיפך, החזר הכל ל-v1 אם משהו משתבש ב-v2. אני חושב שזה נקרא Canary Deployment. חוזר לכרייה, ואם זה היה ממוצא רוסי, זה כנראה היה מכיל התייחסות ל חתולים), ועכשיו נסתכל על זה ביתר פירוט.

פריסה קנרית באיסטיו: פישוט ההפעלה

בזהירות ובהדרגה

המהות של מודל הפריסה של Canary Deployment היא פשוטה ביותר: כאשר אתה משיק גרסה חדשה של התוכנה שלך (במקרה שלנו, שירות מיקרו), אתה קודם כל נותן גישה אליה לקבוצה קטנה של משתמשים. אם הכל ילך כשורה, אתה מגדיל לאט את הקבוצה הזו עד שהגרסה החדשה מתחילה לפעול, או - אם לא - בסופו של דבר מעבירים אליה את כל המשתמשים. על ידי הצגת גרסה חדשה באופן מתחשב ובהדרגה והחלפת משתמשים אליה בצורה מבוקרת, תוכל להפחית סיכונים ולמקסם את המשוב.

כמובן, Istio מפשט את הפריסה הקנרית על ידי הצעת מספר אפשרויות טובות לניתוב בקשות חכם. וכן, כל זה יכול להיעשות מבלי לגעת בקוד המקור שלך בשום אופן.

סינון הדפדפן

אחד מקריטריוני הניתוב הפשוטים ביותר הוא ניתוב מחדש מבוסס דפדפן. נניח שאתה רוצה רק בקשות מדפדפני Safari לעבור לגרסה 2. הנה איך זה נעשה:

הבה נחיל את כלל הניתוב הזה ולאחר מכן נשתמש בפקודה curl נדמה בקשות אמיתיות לשירות המיקרו בלולאה. כפי שניתן לראות בצילום המסך, כולם עוברים ל-v1:

איפה התעבורה ב-v2? מכיוון שבדוגמה שלנו כל הבקשות הגיעו רק משורת הפקודה שלנו, היא פשוט לא קיימת. אבל שימו לב לשורות התחתונות במסך למעלה: זו תגובה לעובדה שביצענו בקשה מדפדפן ספארי, שבתורו הפיק את זה:

כוח בלתי מוגבל

כבר כתבנו שביטויים רגולריים מספקים יכולות חזקות מאוד לניתוב בקשות. תסתכל על הדוגמה הבאה (אנחנו חושבים שתבין מה היא עושה):

עכשיו כנראה יש לך מושג מה ביטויים רגולריים יכולים לעשות.

תתנהג חכם

ניתוב חכם, בפרט עיבוד כותרות מנות באמצעות ביטויים רגולריים, מאפשר לך לנווט את התעבורה כמו שאתה רוצה. וזה מאוד מפשט את היישום של קוד חדש - זה פשוט, זה לא מצריך שינוי הקוד עצמו, ואם יש צורך, הכל ניתן להחזיר במהירות כפי שהיה.

מעוניין?

האם אתה להוט להתנסות עם Istio, Kubernetes ו-OpenShift במחשב שלך? קְבוּצָה צוות מפתחים של Red Hat הכין מצוין ספר לימוד על נושא זה והפך את כל הקבצים הנלווים לזמינים לציבור. אז קדימה אל תתכחש לעצמך כלום.
 

Istio Egress: יציאה דרך חנות המזכרות

על ידי שימוש ב-Istio יחד עם Red Hat OpenShift ו-Kubernetes, אתה יכול לעשות את החיים שלך עם שירותי מיקרו להרבה יותר קלים. רשת השירות של Istio מוסתרת בתוך תרמילים של Kubernetes, והקוד שלך פועל (בעיקר) בבידוד. ביצועים, קלות שינוי, מעקב וכו' – כל זה קל לשימוש הודות לשימוש במיכלי צד. אבל מה אם המיקרו-שירות שלך צריך לתקשר עם שירותים אחרים שממוקמים מחוץ למערכת OpenShift-Kubernetes שלך?

זה המקום שבו Istio Egress בא להציל. בקיצור, זה פשוט מאפשר לך לגשת למשאבים (קרא: "שירותים") שאינם חלק ממערכת הפודים של Kubernetes שלך. אם לא תבצע תצורה נוספת, אז בסביבת Istio Egress התעבורה מנותבת רק בתוך אשכול של פודים ובין אשכולות כאלה על סמך טבלאות IP פנימיות. וגולם כזה עובד מצוין כל עוד אתה לא צריך גישה לשירותים מבחוץ.

Egress מאפשר לך לעקוף את טבלאות ה-IP שלעיל, על סמך כללי Egress או על טווח של כתובות IP.

נניח שיש לנו תוכנית Java שמבצעת בקשת GET אל httpbin.org/headers.

(httpbin.org הוא רק משאב נוח לבדיקת בקשות שירות יוצאות.)

אם אתה נכנס בשורת הפקודה curl http://httpbin.org/headers, נראה את הדברים הבאים:

או שאתה יכול לפתוח את אותה כתובת בדפדפן:

כפי שאתה יכול לראות, השירות שנמצא שם פשוט מחזיר את הכותרות שהועברו אליו.

אנחנו מחליפים יבוא חזיתית

עכשיו בואו ניקח את קוד הג'אווה של שירות זה, חיצוני למערכת שלנו, ונפעיל אותו בעצמנו, שם, כזכור, מותקן Istio. (תוכל לעשות זאת בעצמך על ידי יצירת קשר הדרכה של Istio שלנו.) לאחר שבנו את התמונה המתאימה והשקנו אותה בפלטפורמת OpenShift, נתקשר לשירות זה עם הפקודה curl egresshttpbin-istioegress.$(minishift ip).nip.io, לאחר מכן נראה את זה על המסך:

אופס, מה קרה? הכל פשוט עבד. מה המשמעות של לא נמצא? פשוט עשינו את זה בשבילו curl.

הרחבת טבלאות IP לכל האינטרנט

יש להאשים (או להודות) את איסטיו על כך. אחרי הכל, Istio זה רק מכולות צדדיות שאחראיות על איתור וניתוב (ועוד הרבה דברים שדיברנו עליהם קודם). מסיבה זו, טבלאות IP יודעות רק מה יש בתוך מערכת האשכולות שלך. ו-httpbin.org ממוקם בחוץ ולכן לא נגיש. וכאן Istio Egress מגיע להצלה - ללא כל שינוי בקוד המקור שלך.

כלל ה- Egress להלן מאלץ את Istio לחפש (במידת הצורך, אז בכל האינטרנט) אחר השירות הנדרש, במקרה זה, httpbin.org. כפי שניתן לראות מהקובץ הזה (egress_httpbin.yml), הפונקציונליות כאן די פשוטה:

כל מה שנותר הוא ליישם את הכלל הזה:

istioctl create -f egress_httpbin.yml -n istioegress

אתה יכול להציג כללי Egress עם הפקודה istioctl get egressrules:

ולבסוף, אנו מריצים את הפקודה שוב תלתל – ואנחנו רואים שהכל עובד:

אנחנו חושבים בפתיחות

כפי שאתה יכול לראות, Istio מאפשר לך לארגן אינטראקציה עם העולם החיצון. במילים אחרות, אתה עדיין יכול ליצור שירותי OpenShift ולנהל אותם דרך Kubernetes, תוך שמירה על הכל בפודים שמתרחבים ומקטינים לפי הצורך. ובמקביל, אתה יכול לגשת בבטחה לשירותים חיצוניים לסביבה שלך. וכן, אנו חוזרים שוב על כך שניתן לעשות את כל זה מבלי לגעת בקוד שלך בשום צורה.

זה היה הפוסט האחרון בסדרה על Istio. הישארו מעודכנים - יש הרבה דברים מעניינים לפניכם!

מקור: www.habr.com