Istio मध्ये गडद लाँच: गुप्त सेवा

"धोका हे माझे मधले नाव आहे," ऑस्टिन पॉवर्स, एक आंतरराष्ट्रीय गूढ माणूस म्हणायचे. परंतु सुपर एजंट्स आणि इंटेलिजेंस सर्व्हिसेस ज्याला उच्च मान देतात ते संगणक सेवांसाठी अजिबात योग्य नाही, जिथे कंटाळा धोक्यापेक्षा खूप चांगला आहे.

आणि Istio, OpenShift आणि Kubernetes सह एकत्रितपणे, मायक्रोसर्व्हिसेस तैनात करणे खरोखर कंटाळवाणे आणि अंदाज करण्यायोग्य बनवते - आणि ते छान आहे. इस्टिओ मालिकेतील चौथ्या आणि शेवटच्या पोस्टमध्ये आम्ही याबद्दल आणि बरेच काही बोलू.

जेव्हा कंटाळा योग्य असतो

आमच्या बाबतीत, कंटाळा फक्त शेवटच्या टप्प्यात येतो, जेव्हा फक्त बसून प्रक्रिया पाहणे बाकी असते. परंतु यासाठी तुम्हाला प्रथम सर्वकाही कॉन्फिगर करणे आवश्यक आहे आणि येथे बऱ्याच मनोरंजक गोष्टी तुमची वाट पाहत आहेत.

तुमच्या सॉफ्टवेअरची नवीन आवृत्ती उपयोजित करताना, जोखीम कमी करण्यासाठी सर्व पर्यायांचा विचार करणे योग्य आहे. समांतर चालणे हा चाचणी करण्याचा एक अतिशय शक्तिशाली आणि सिद्ध मार्ग आहे आणि Istio तुम्हाला उत्पादन प्रणालीमध्ये हस्तक्षेप न करता हे करण्यासाठी "गुप्त सेवा" (तुमच्या मायक्रोसर्व्हिसची छुपी आवृत्ती) वापरण्याची परवानगी देते. यासाठी एक विशेष संज्ञा देखील आहे - "डार्क लाँच", जे यामधून "ट्रॅफिक मिररिंग" या समान गुप्तचर नावाच्या फंक्शनद्वारे सक्रिय केले जाते.

कृपया लक्षात घ्या की मागील परिच्छेदातील पहिले वाक्य “रिलीझ” ऐवजी “डिप्लॉय” हा शब्द वापरते. तुमची मायक्रोसर्व्हिस तुम्हाला पाहिजे तितक्या वेळा तैनात करण्यास-आणि अर्थातच, वापरण्यास सक्षम असावे. ही सेवा रहदारी प्राप्त करण्यास आणि त्यावर प्रक्रिया करण्यास, परिणाम तयार करण्यास आणि लॉग आणि मॉनिटरवर लिहिण्यास सक्षम असणे आवश्यक आहे. परंतु त्याच वेळी, ही सेवा स्वतःच उत्पादनात सोडण्याची गरज नाही. सॉफ्टवेअर उपयोजित करणे आणि सोडणे नेहमीच समान नसते. तुम्हाला पाहिजे तेव्हा तुम्ही उपयोजित करू शकता, परंतु तुम्ही तयार असाल तेव्हाच सोडा.

कंटाळा आयोजित करणे मनोरंजक आहे

खालील Istio राउटिंग नियमावर एक नजर टाका, जे सर्व HTTP विनंत्या मायक्रोसर्व्हिस शिफारस v1 वर रूट करते (सर्व उदाहरणे Istio ट्यूटोरियल GitHub रेपो), त्यांना एकाच वेळी शिफारस v2 microservice वर मिरर करताना:

लेबलकडे लक्ष द्या mirror: स्क्रीनच्या तळाशी - हेच ट्रॅफिक मिररिंग सेट करते. होय, ते इतके सोपे आहे!

या नियमाचा परिणाम असा होईल की तुमची उत्पादन प्रणाली (v1) येणाऱ्या विनंत्यांवर प्रक्रिया करणे सुरू ठेवेल, परंतु विनंत्या स्वतः v2 वर असिंक्रोनस मिरर केल्या जातील, म्हणजेच त्यांची संपूर्ण डुप्लिकेट तेथे जातील. अशा प्रकारे, उत्पादन प्रणालीच्या ऑपरेशनमध्ये कोणत्याही प्रकारे हस्तक्षेप न करता - वास्तविक डेटा आणि रहदारीवर - वास्तविक परिस्थितीत v2 ची चाचणी करू शकता. यामुळे चाचणी आयोजित करणे कंटाळवाणे होते का? होय नक्कीच. पण ते मनोरंजक पद्धतीने केले आहे.

चला नाटक जोडूया

कृपया लक्षात घ्या की v2 कोडमध्ये अशा परिस्थितीत प्रदान करणे आवश्यक आहे जेथे येणाऱ्या विनंत्यांमुळे डेटा बदलू शकतात. विनंत्या स्वतः सहज आणि पारदर्शकपणे मिरर केल्या जातात, परंतु चाचणीमध्ये प्रक्रिया पद्धतीची निवड आपल्यावर अवलंबून आहे – आणि ही थोडी चिंताजनक आहे.

चला एक महत्त्वाचा मुद्दा पुन्हा करूया

ट्रॅफिक मिररिंगसह गुप्त प्रक्षेपण (डार्क लाँच/विनंती मिररिंग) कोणत्याही प्रकारे कोडवर परिणाम न करता करता येते.

विचारांसाठी अन्न

ज्या ठिकाणी विनंत्या मिरर केल्या जातात त्या ठिकाणापैकी काही v1 वर नाही तर v2 वर पाठवल्या तर? उदाहरणार्थ, सर्व विनंत्यांपैकी एक टक्का किंवा वापरकर्त्यांच्या विशिष्ट गटाकडून आलेल्या विनंत्या. आणि मग, आधीच v2 कसे कार्य करते ते पहात, हळूहळू सर्व विनंत्या नवीन आवृत्तीवर हस्तांतरित करा. किंवा त्याउलट, v1 मध्ये काहीतरी चूक झाल्यास सर्व काही v2 वर परत करा. मला वाटते याला कॅनरी डिप्लॉयमेंट म्हणतात. खाणकाम कडे परत जाते, आणि जर ते रशियन वंशाचे असेल तर कदाचित त्यात संदर्भ असेल मांजरी), आणि आता आम्ही हे अधिक तपशीलवार पाहू.

Istio मध्ये कॅनरी तैनाती: कमिशनिंग सुलभ करणे

काळजीपूर्वक आणि हळूहळू

कॅनरी डिप्लॉयमेंट डिप्लॉयमेंट मॉडेलचे सार अत्यंत सोपे आहे: जेव्हा तुम्ही तुमच्या सॉफ्टवेअरची नवीन आवृत्ती (आमच्या बाबतीत, मायक्रोसर्व्हिस) लाँच करता तेव्हा तुम्ही प्रथम वापरकर्त्यांच्या एका लहान गटाला त्यात प्रवेश देता. जर सर्व काही व्यवस्थित चालले तर, नवीन आवृत्ती कार्य करण्यास प्रारंभ होईपर्यंत तुम्ही हळूहळू हा गट वाढवा, किंवा - तसे न झाल्यास - शेवटी सर्व वापरकर्त्यांना त्यात स्थलांतरित करा. विचारपूर्वक आणि हळूहळू नवीन आवृत्ती सादर करून आणि वापरकर्त्यांना त्यावर नियंत्रित पद्धतीने स्विच करून, तुम्ही जोखीम कमी करू शकता आणि फीडबॅक वाढवू शकता.

अर्थात, इंटेलिजेंट रिक्वेस्ट रूटिंगसाठी अनेक चांगले पर्याय ऑफर करून Istio कॅनरी डिप्लॉयमेंट सुलभ करते. आणि हो, हे सर्व तुमच्या सोर्स कोडला कोणत्याही प्रकारे स्पर्श न करता करता येते.

ब्राउझर फिल्टर करत आहे

सर्वात सोपा रूटिंग निकषांपैकी एक ब्राउझर-आधारित पुनर्निर्देशन आहे. समजा तुम्हाला फक्त सफारी ब्राउझरकडून v2 वर जाण्यासाठी विनंत्या हव्या आहेत. ते कसे केले जाते ते येथे आहे:

चला हा राउटिंग नियम लागू करू आणि नंतर कमांड वापरू curl आम्ही लूपमध्ये मायक्रोसर्व्हिसच्या वास्तविक विनंत्या अनुकरण करू. जसे आपण स्क्रीनशॉटमध्ये पाहू शकता, ते सर्व v1 वर जातात:

v2 वर रहदारी कुठे आहे? आमच्या उदाहरणात सर्व विनंत्या केवळ आमच्या स्वतःच्या कमांड लाइनवरून आल्या असल्याने, ते अस्तित्वात नाही. परंतु वरील स्क्रीनमधील तळाशी असलेल्या ओळींकडे लक्ष द्या: आम्ही सफारी ब्राउझरकडून विनंती अंमलात आणली या वस्तुस्थितीची ही प्रतिक्रिया आहे, ज्याने हे तयार केले:

अमर्यादित शक्ती

आम्ही आधीच लिहिले आहे की रेग्युलर एक्सप्रेशन्स राउटिंग विनंतीसाठी खूप शक्तिशाली क्षमता प्रदान करतात. खालील उदाहरणावर एक नजर टाका (आम्हाला वाटते की ते काय करते ते तुम्हाला समजेल):

आतापर्यंत तुम्हाला कदाचित रेग्युलर एक्सप्रेशन्स काय करू शकतात याची कल्पना आली असेल.

स्मार्ट कृती करा

स्मार्ट राउटिंग, विशेषत: रेग्युलर एक्स्प्रेशन्स वापरून पॅकेट हेडरवर प्रक्रिया करणे, तुम्हाला तुमच्या इच्छेनुसार रहदारी चालविण्यास अनुमती देते. आणि हे नवीन कोडची अंमलबजावणी मोठ्या प्रमाणात सुलभ करते - हे सोपे आहे, त्यासाठी कोड स्वतः बदलण्याची आवश्यकता नाही आणि आवश्यक असल्यास, सर्वकाही जसे होते तसे त्वरीत परत केले जाऊ शकते.

स्वारस्य आहे?

तुम्ही तुमच्या संगणकावर Istio, Kubernetes आणि OpenShift सह प्रयोग करण्यास उत्सुक आहात का? संघ रेड हॅट डेव्हलपर टीम उत्कृष्ट तयार केले पाठ्यपुस्तक या विषयावर आणि सोबतच्या सर्व फाईल्स सार्वजनिकरीत्या उपलब्ध करून दिल्या. म्हणून पुढे जा आणि स्वतःला काहीही नाकारू नका.
 

Istio Egress: स्मरणिका दुकानातून बाहेर पडा

Red Hat OpenShift आणि Kubernetes सोबत Istio वापरून, तुम्ही मायक्रोसर्व्हिसेससह तुमचे जीवन खूप सोपे बनवू शकता. Istio ची सेवा जाळी Kubernetes पॉड्समध्ये लपलेली असते आणि तुमचा कोड (बहुतेक) अलगावमध्ये चालतो. कार्यप्रदर्शन, बदलाची सुलभता, ट्रेसिंग इ. – साइडकार कंटेनरच्या वापरामुळे हे सर्व वापरणे सोपे आहे. पण तुमच्या मायक्रोसर्व्हिसला तुमच्या OpenShift-Kubernetes सिस्टीमच्या बाहेर असलेल्या इतर सेवांशी संवाद साधण्याची आवश्यकता असल्यास?

येथेच इस्टिओ एग्रेस बचावासाठी येतो. थोडक्यात, ते तुम्हाला तुमच्या कुबर्नेट्स पॉड्सच्या सिस्टमचा भाग नसलेल्या संसाधनांमध्ये (वाचा: “सेवा”) प्रवेश करण्याची परवानगी देते. जर तुम्ही अतिरिक्त कॉन्फिगरेशन केले नाही, तर Istio Egress वातावरणात ट्रॅफिक फक्त पॉड्सच्या क्लस्टरमध्ये आणि अंतर्गत IP टेबल्सवर आधारित अशा क्लस्टरमध्ये राउट केले जाते. आणि जोपर्यंत आपल्याला बाहेरून सेवांमध्ये प्रवेश करण्याची आवश्यकता नाही तोपर्यंत असे प्युपेशन उत्तम कार्य करते.

Egress तुम्हाला वरील IP सारण्यांना बायपास करण्याची परवानगी देते, एकतर Egress नियमांवर आधारित किंवा IP पत्त्यांच्या श्रेणीवर.

समजा आमच्याकडे जावा प्रोग्राम आहे जो httpbin.org/headers ला GET विनंती करतो.

(httpbin.org आउटगोइंग सेवा विनंत्या तपासण्यासाठी फक्त एक सोयीस्कर संसाधन आहे.)

आपण कमांड लाइनवर प्रविष्ट केल्यास curl http://httpbin.org/headers, आम्ही खालील पाहू:

किंवा तुम्ही तोच पत्ता ब्राउझरमध्ये उघडू शकता:

जसे आपण पाहू शकता, तेथे असलेली सेवा फक्त त्यावर पास केलेले शीर्षलेख परत करते.

आयात प्रतिस्थापन हेड-ऑन

आता या सेवेचा जावा कोड घेऊ, जो आमच्या सिस्टीमसाठी बाह्य आहे आणि तो स्वतः चालवू, जिथे, रिकॉल, Istio स्थापित आहे. (तुम्ही संपर्क करून हे स्वतः करू शकता आमचे Istio ट्यूटोरियल.) योग्य प्रतिमा तयार केल्यावर आणि ती OpenShift प्लॅटफॉर्मवर लॉन्च केल्यावर, आम्ही या सेवेला कमांडसह कॉल करू. curl egresshttpbin-istioegress.$(minishift ip).nip.io, ज्यानंतर आपण हे स्क्रीनवर पाहू:

अरेरे, काय झाले? सर्व काही फक्त काम केले. नॉट फाउंड म्हणजे काय? आम्ही फक्त त्याच्यासाठी हे केले curl.

संपूर्ण इंटरनेटवर IP सारण्यांचा विस्तार करणे

यासाठी इस्टिओला दोष दिला पाहिजे (किंवा आभार मानले पाहिजेत). शेवटी, इस्टिओ हे फक्त साइडकार कंटेनर आहेत जे शोध आणि मार्गासाठी जबाबदार आहेत (आणि इतर बऱ्याच गोष्टी ज्याबद्दल आम्ही आधी बोललो होतो). या कारणास्तव, तुमच्या क्लस्टर सिस्टीममध्ये काय आहे हे फक्त IP सारण्यांनाच कळते. आणि httpbin.org बाहेर स्थित आहे आणि त्यामुळे प्रवेश करण्यायोग्य नाही. आणि इथेच Istio Egress बचावासाठी येतो - तुमच्या सोर्स कोडमध्ये थोडासाही बदल न करता.

खालील Egress नियम Istio ला आवश्यक सेवेसाठी (आवश्यक असल्यास, संपूर्ण इंटरनेटवर) शोधण्यास भाग पाडतो, या प्रकरणात, httpbin.org. तुम्ही या फाइलमधून (egress_httpbin.yml) पाहू शकता, येथे कार्यक्षमता अगदी सोपी आहे:

हा नियम लागू करणे बाकी आहे:

istioctl create -f egress_httpbin.yml -n istioegress

तुम्ही कमांडसह Egress नियम पाहू शकता istioctl get egressrules:

आणि शेवटी, आम्ही पुन्हा कमांड चालवतो केस कुरळे करणे - आणि आम्ही पाहतो की सर्वकाही कार्य करते:

आम्ही खुलेपणाने विचार करतो

तुम्ही बघू शकता, Istio तुम्हाला बाहेरील जगाशी सुसंवाद आयोजित करण्याची परवानगी देतो. दुसऱ्या शब्दांत, तुम्ही अजूनही OpenShift सेवा तयार करू शकता आणि कुबर्नेट्सद्वारे त्या व्यवस्थापित करू शकता, सर्व काही पॉड्समध्ये ठेवू शकता जे आवश्यकतेनुसार वर आणि खाली स्केल करतात. आणि त्याच वेळी, तुम्ही तुमच्या वातावरणातील बाह्य सेवांमध्ये सुरक्षितपणे प्रवेश करू शकता. आणि हो, आम्ही पुन्हा एकदा सांगतो की हे सर्व तुमच्या कोडला कोणत्याही प्रकारे स्पर्श न करता करता येते.

इस्टिओवरील मालिकेतील ही शेवटची पोस्ट होती. संपर्कात रहा - पुढे बऱ्याच मनोरंजक गोष्टी आहेत!

स्त्रोत: www.habr.com