如何创建自定义istio入口网关控制器？

Question

我们的GKE集群共享给公司的多个团队。每个团队可以有不同的公共域（因此希望有不同的CA证书设置和不同的入口网关控制器）。在Istio怎么做？Istio网站上的所有教程/介绍文章都使用了共享入口网关。请参见ISTIO-1.0.0安装的共享入口网关示例:https://istio.io/docs/tasks/traffic-management/secure-ingress/

spec:
  selector:
    istio: ingressgateway # use istio default ingress gateway

Answer 1

好的，我找到了答案后，看了代码的Istio安装通过Helm。因此，基本上istio有一个官方的方法（但在他们的readme.md文件中没有真正记录）来添加额外的网关（入口和出口网关）。我知道这一点，因为我在他们的github repo中找到了这个yaml文件，并阅读了注释（还查看了gateway图表模板代码，以了解规范及其逻辑）。

因此，我通过定义这个values-custom-gateway.yaml文件来解决这个问题：

# Gateways Configuration
# By default (if enabled) a pair of Ingress and Egress Gateways will be created for the mesh.
# You can add more gateways in addition to the defaults but make sure those are uniquely named
# and that NodePorts are not conflicting.
# Disable specifc gateway by setting the `enabled` to false.
#
gateways:
  enabled: true

  agung-ingressgateway:
    namespace: agung-ns
    enabled: true
    labels:
      app: agung-istio-ingressgateway
      istio: agung-ingressgateway
    replicaCount: 1
    autoscaleMin: 1
    autoscaleMax: 2
    resources: {}
      # limits:
      #  cpu: 100m
      #  memory: 128Mi
      #requests:
      #  cpu: 1800m
      #  memory: 256Mi

    loadBalancerIP: ""
    serviceAnnotations: {}
    type: LoadBalancer #change to NodePort, ClusterIP or LoadBalancer if need be

    ports:
      ## You can add custom gateway ports
    - port: 80
      targetPort: 80
      name: http2
      # nodePort: 31380
    - port: 443
      name: https
      # nodePort: 31390
    - port: 31400
      name: tcp
    secretVolumes:
    - name: ingressgateway-certs
      secretName: istio-ingressgateway-certs
      mountPath: /etc/istio/ingressgateway-certs
    - name: ingressgateway-ca-certs
      secretName: istio-ingressgateway-ca-certs
      mountPath: /etc/istio/ingressgateway-ca-certs

如果您看一下上面的yaml文件，我指定了命名空间，而不是istio-systemns。在这种情况下，我们可以有一种方法来定制定制网关使用的TLS和ca证书。此外，Agung-IngressGateway作为自定义网关控制器规范的持有者，被用作网关控制器的名称。

helm upgrade my-istio-release-name <istio-chart-folder> --install

一旦成功升级，我就可以将自定义选择器指定到我的网关:

---
apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: agung-gateway
  namespace: agung-ns
spec:
  selector:
    app: agung-istio-ingressgateway # use custom gateway
    # istio: ingressgateway # use Istio default gateway implementation
  servers:
  - port:
      number: 80
      name: http
      protocol: HTTP
    hosts:
    - "*"
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      serverCertificate: /etc/istio/ingressgateway-certs/tls.crt
      privateKey: /etc/istio/ingressgateway-certs/tls.key
    hosts:
    - "*"