2. Istio 安装与配置：使用 istioctl 安装、Operator 安装、Profile 选择、自定义配置

在生产环境中部署 Istio 服务网格时，安装方式的选择直接决定了后续运维的复杂度与灵活性。本章将系统讲解四种核心安装路径：istioctl CLI 安装、Operator 安装、Profile 选择策略以及自定义配置覆盖。每种方式都有其适用场景与权衡，理解其底层机制是故障排查的基础。

2.1 安装方式对比与选型

2.2 使用 istioctl 安装与 Profile 选择

istioctl 是 Istio 官方提供的命令行工具，支持通过 install 命令直接部署控制平面与数据平面。安装时需指定 Profile，Profile 是一组预定义的配置集合，控制着安装组件的范围与资源规格。

2.2.1 内置 Profile 一览

2.2.2 安装命令示例

# 下载 istioctl（以 1.21.0 为例）
curl -L https://istio.io/downloadIstio | ISTIO_VERSION=1.21.0 sh -
cd istio-1.21.0
export PATH=$PWD/bin:$PATH

# 使用 default profile 安装
istioctl install --set profile=default -y

# 使用 demo profile 安装（包含 Kiali、Prometheus、Grafana 等 addons）
istioctl install --set profile=demo -y

# 使用 minimal profile 安装（仅控制平面）
istioctl install --set profile=minimal -y

2.3 Operator 安装与声明式管理

Istio Operator 将 Istio 的生命周期管理抽象为 Kubernetes 原生资源 IstioOperator。Operator 会持续协调集群状态，确保实际部署与 CR 声明一致。这种方式特别适合 GitOps 工作流与多集群统一管理。

2.3.1 Operator 安装步骤

1. 部署 Operator 本身：使用 istioctl 或 Helm 将 Operator 组件安装到 istio-operator 命名空间。
2. 创建 IstioOperator CR：编写 YAML 文件定义控制平面配置。
3. Operator 自动协调：Operator 检测到 CR 后，自动执行安装或升级。

# 使用 istioctl 安装 Operator
istioctl operator init

# 查看 Operator Pod 是否就绪
kubectl get pods -n istio-operator

# 创建 IstioOperator CR（保存为 iop-default.yaml）
cat <<EOF | kubectl apply -f -
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: istio-system
  name: example-istiocontrolplane
spec:
  profile: default
  components:
    ingressGateways:
      - name: istio-ingressgateway
        enabled: true
        k8s:
          resources:
            requests:
              cpu: 500m
              memory: 512Mi
            limits:
              cpu: 1000m
              memory: 1Gi
EOF

2.3.2 Operator 架构示意

2.4 自定义配置与覆盖策略

无论是 istioctl 还是 Operator，都支持通过 Overlay（覆盖） 机制修改默认配置。覆盖配置可以精细到单个组件的资源限制、副本数、端口映射、环境变量等。

2.4.1 配置覆盖层级

• 全局配置（meshConfig）：影响所有 sidecar 和网关，如默认 mTLS 模式、访问日志格式、追踪采样率。
• 组件配置（components）：针对 istiod、ingressgateway、egressgateway 的独立设置。
• K8s 资源覆盖（k8s）：直接透传 Kubernetes 原生字段，如 resources、affinity、tolerations、hpaSpec。
• 附加组件（addons）：集成 Prometheus、Kiali、Grafana、Jaeger 时的自定义配置。

2.4.2 自定义配置示例

# 使用 istioctl 安装时通过 --set 覆盖
istioctl install --set profile=default \
  --set meshConfig.enableTracing=true \
  --set meshConfig.defaultConfig.tracingSampling=10.0 \
  --set components.ingressGateways[0].k8s.resources.requests.cpu=200m \
  --set components.ingressGateways[0].k8s.resources.requests.memory=256Mi

# 使用 Operator CR 进行声明式覆盖
cat <<EOF | kubectl apply -f -
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: istio-system
  name: production-config
spec:
  profile: default
  meshConfig:
    enableTracing: true
    defaultConfig:
      tracingSampling: 10.0
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"
  components:
    pilot:
      k8s:
        replicaCount: 3
        resources:
          requests:
            cpu: 1000m
            memory: 2Gi
          limits:
            cpu: 2000m
            memory: 4Gi
        hpaSpec:
          maxReplicas: 5
          metrics:
            - type: Resource
              resource:
                name: cpu
                targetAverageUtilization: 80
    ingressGateways:
      - name: istio-ingressgateway
        enabled: true
        k8s:
          serviceAnnotations:
            service.beta.kubernetes.io/aws-load-balancer-type: "nlb"
          resources:
            requests:
              cpu: 500m
              memory: 512Mi
  values:
    global:
      proxy:
        resources:
          requests:
            cpu: 100m
            memory: 128Mi
          limits:
            cpu: 500m
            memory: 512Mi
EOF

2.5 安装验证与常见故障

2.5.1 验证命令

# 检查控制平面 Pod 状态
kubectl get pods -n istio-system

# 检查 Istio 版本与组件健康
istioctl version

# 检查 sidecar 注入状态
kubectl get namespace -L istio-injection

# 检查数据平面 sidecar 是否正常
istioctl proxy-status

# 检查配置是否生效
istioctl describe pod <pod-name> -n <namespace>

2.5.2 常见安装故障排查

2.6 安装配置决策流程