Citadel 的健康检查

    从 Istio 0.6 开始，Citadel 具备了一个可选的健康检查功能。缺省情况下的 Istio 部署过程没有启用这一特性。目前健康检查功能通过周期性的向 API 发送 CSR 的方式，来检测 Citadel CSR 签署服务的故障。很快会实现更多的健康检查方法。

    Citadel 包含了一个检测器模块，它会周期性的检查 Citadel 的状态（目前只是 gRPC 服务器的健康情况）。如果 Citadel 是健康的，检测器客户端会更新健康状态文件（文件内容始终为空）的更新时间。否则就什么都不做。Citadel 依赖 Kubernetes 的健康和就绪检测功能，会周期性的使用命令行检查健康状态文件的更新时间。如果这个文件有一段时间不更新了，Citadel 容器就会被 Kubelet 的重新启动。

    注意：Citadel 的健康检查目前只提供了对 CSR 服务 API 的支持，如果没有使用 （这个特性需要 CSR 服务接口的支持）就没有必要使用这个功能了。

    • 根据快速开始的指引部署 Istio 并启用全局双向 TLS 支持。

    用 进行部署，设置 为 true。

    下面的命令用来部署启用健康检查的 Citadel：

    1. $ kubectl apply -f install/kubernetes/istio-citadel-with-health-check.yaml

    部署 istio-citadel 服务，这样健康检查器才能找到 CSR 服务.

    1. $ kubectl logs `kubectl get po -n istio-system | grep istio-citadel | awk '{print $1}'` -n istio-system

    会看到类似下面这样的输出：

    上面的日志表明周期性的健康检查已经启动。可以看到，缺省的健康检查的时间周期是 15 秒。

    还可以根据需要调整健康检查的配置。打开文件 install/kubernetes/istio-citadel-with-health-check.yaml，找到下面的内容（注释已汉化，非原文）：

    1. ...
    2.   - --liveness-probe-path=/tmp/ca.liveness # 健康检查状态文件的路径
    3.   - --probe-check-interval=15s    # 健康检查的周期
    4.   - --logtostderr
    5.   - --stderrthreshold
    7. livenessProbe:
    8.   exec:
    9.     command:
    10.     - /usr/local/bin/istio_ca
    11.     - probe
    12.     - --probe-path=/tmp/ca.liveness # 健康状态文件的路径
    13.   initialDelaySeconds: 60
    14.   periodSeconds: 60
    15. ...
    • liveness-probe-path 和 ：到健康状态文件的路径，在 Citadel 以及检测器上进行配置；
    • liveness-probe-interval：是更新健康状态文件的周期；
    • probe-check-interval：是 Citadel 健康检查的周期；
    • interval：从上次更新健康状态文件至今的时间，也就是检测器认为 Citadel 健康的时间段；
    • initialDelaySeconds 以及 periodSeconds：初始化延迟以及检测运行周期；
      延长 probe-check-interval 会减少健康检查的开销，但是一旦遇到故障情况，健康监测器也会更晚的得到故障信息。为了避免检测器因为临时故障重启 Citadel，检测器的 interval 应该设置为 liveness-probe-interval 的 N 倍，这样就让检测器能够容忍持续 N-1 次的检查失败。
    • 在 Citadel 上禁用健康检查：
    • 移除 Citadel：