📚 课程目录第3章 Istio安装与部署

3. Istio 安装与部署：istioctl、Helm、Operator 及 Profile 选择

Istio 的安装方式直接影响网格的运维复杂度与生产可用性。本章围绕三种主流安装工具——istioctl、Helm、Operator，以及四个内置 Profile——default、demo、minimal、remote，展开对比与实操指导。选择正确的组合，是控制平面接口调用优化的第一步。

3.1 安装工具对比与选型

工具	安装方式	适用场景	升级复杂度	生产推荐度
istioctl	CLI 命令 + YAML 覆盖	CI/CD 集成、快速验证、单集群	低（原地升级）	★★★★☆
Helm	Chart + values.yaml	多环境管理、GitOps 工作流	中（需管理 release）	★★★★★
Operator	CRD + 控制器循环	自动化运维、生命周期管理	高（需处理 CR 状态）	★★★☆☆

选型建议：生产环境优先使用 Helm 或 istioctl 配合 GitOps。Operator 虽然自动化程度高，但在版本升级和故障排查时引入额外复杂度，建议仅在团队有 Operator 运维经验时采用。

3.2 Profile 选择策略

Profile 本质是一组预定义的 IstioOperator CR 配置，控制安装组件的开关与资源规格。错误选择 Profile 会导致控制平面资源浪费或功能缺失。

Profile	核心组件	资源开销	典型用途
default	istiod + ingressgateway + egressgateway	中	生产最小功能集
demo	default + 所有 addon（Kiali、Prometheus、Grafana、Jaeger）	高	开发测试、功能演示
minimal	仅 istiod	低	控制平面性能测试、边缘集群
remote	仅 ingressgateway（无 istiod）	极低	多集群主-从架构中的从集群

生产警告：切勿在生产集群使用 demo Profile。它会自动部署所有 addon 组件，且不配置持久化存储与资源限制，极易导致控制平面 OOM 或存储爆炸。

3.3 安装流程与关键命令

3.3.1 使用 istioctl 安装 default Profile

# 下载并安装 istioctl
curl -L https://istio.io/downloadIstio | sh -
cd istio-1.22.0
export PATH=$PWD/bin:$PATH

# 安装 default Profile
istioctl install --set profile=default -y

# 验证安装
istioctl verify-install

3.3.2 使用 Helm 安装 minimal Profile

# 添加 Istio Helm 仓库
helm repo add istio https://istio-release.storage.googleapis.com/charts
helm repo update

# 安装 istio-base（CRD）
helm install istio-base istio/base -n istio-system --create-namespace

# 安装 istiod（minimal Profile 仅需此 chart）
helm install istiod istio/istiod \
  --namespace istio-system \
  --set profile=minimal \
  --set meshConfig.accessLogFile=/dev/stdout

# 可选：安装 ingressgateway
helm install istio-ingress istio/gateway \
  --namespace istio-system \
  --set service.type=LoadBalancer

3.3.3 使用 Operator 安装 demo Profile（仅测试环境）

# 安装 Istio Operator
istioctl operator init

# 创建 IstioOperator CR
cat <<EOF | kubectl apply -f -
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  name: demo-install
  namespace: istio-system
spec:
  profile: demo
  components:
    ingressGateways:
    - name: istio-ingressgateway
      enabled: true
      k8s:
        resources:
          requests:
            cpu: 500m
            memory: 512Mi
EOF

3.4 安装架构与组件关系

下图展示了三种安装工具与 Profile 选择如何影响控制平面组件的部署拓扑。箭头表示组件间的依赖与配置传递关系。

3.5 生产环境 Profile 定制建议

内置 Profile 仅作为起点。生产环境应基于 default 或 minimal 进行定制，通过 --set 或 values.yaml 覆盖资源限制、HPA、PodDisruptionBudget 等关键参数。

  性能基线参考（基于 1000 个 Sidecar 的集群）：

  • minimal Profile：istiod 内存 1.2Gi，CPU 500m，P50 配置下发延迟 80ms

  • default Profile：istiod 内存 1.8Gi，CPU 800m，P50 配置下发延迟 120ms

  • demo Profile：istiod 内存 3.5Gi，CPU 1.5C，P50 配置下发延迟 200ms（含 addon 干扰）

3.6 安装后验证清单

Pod 状态检查：kubectl get pods -n istio-system — 所有 Pod 应为 Running 状态。
控制平面健康：istioctl proxy-status — 所有代理应显示为 SYNCED。
Sidecar 注入验证：kubectl label namespace default istio-injection=enabled 后部署测试 Pod，确认 Sidecar 容器存在。
接口调用延迟基线：使用 istioctl experimental describe pod <pod-name> 查看控制平面与代理的 gRPC 连接延迟。