4. Istio注入Webhook详解：Sidecar Injector的工作机制、配置与常见故障模式

4.1 Sidecar Injector 架构与工作流程

Istio Sidecar Injector 本质上是一个 MutatingAdmissionWebhook，在 Pod 创建时由 kube-apiserver 发起调用。其核心职责是：将 Envoy 代理容器、istio-init 初始化容器以及相关卷挂载注入到 Pod 规约中。

4.2 注入策略与配置参数

Sidecar Injector 的注入行为由 istio-sidecar-injector ConfigMap 和 namespace label 共同控制。以下是核心配置维度：

4.3 注入过程的核心组件

一次完整的注入操作涉及以下三个关键组件：

• istio-init 容器： 负责设置 iptables 规则，将 Pod 的入站/出站流量重定向到 Envoy 代理。使用 istio/proxyv2 镜像，以 istio-iptables 命令运行。
• istio-proxy 容器： 即 Envoy 代理，作为 sidecar 运行，处理所有服务间通信。通过 pilot-agent 进程管理 Envoy 生命周期。
• istio-sidecar-injector 服务： 运行在 istio-system 命名空间，监听 443 端口，处理来自 kube-apiserver 的 AdmissionReview 请求。

4.4 常见故障模式与排查方法

在网格升级过程中，Sidecar Injector 相关的故障通常表现为 Pod 无法注入、注入后容器启动失败或流量中断。以下是高频故障模式：

4.5 手动模拟注入与调试

使用 istioctl kube-inject 命令可以在不实际创建 Pod 的情况下，预览注入后的 YAML 内容，是排查注入问题的首选工具：

# 查看注入后的完整 Pod 规约
istioctl kube-inject -f deployment.yaml

# 指定注入配置版本
istioctl kube-inject -f deployment.yaml --injectConfigFile inject-config.yaml

# 仅输出注入的 sidecar 容器部分
istioctl kube-inject -f deployment.yaml --output sidecar-only

4.6 注入策略的 YAML 配置示例

以下是一个典型的 istio-sidecar-injector ConfigMap 中策略配置片段：

apiVersion: v1
kind: ConfigMap
metadata:
  name: istio-sidecar-injector
  namespace: istio-system
data:
  config: |
    policy: enabled
    neverInjectSelector:
      - matchExpressions:
        - key: app
          operator: In
          values:
          - istio-operator
          - istio-ingressgateway
    alwaysInjectSelector:
      - matchLabels:
          sidecar.istio.io/inject: "true"
    template: |
      containers:
      - name: istio-proxy
        image: "docker.io/istio/proxyv2:1.20.0"
        args:
        - proxy
        - sidecar
        - --domain
        - $(POD_NAMESPACE).svc.cluster.local
        - --proxyLogLevel=warning
        - --proxyComponentLogLevel=misc:error
        env:
        - name: JWT_POLICY
          value: third-party-jwt
        - name: PILOT_CERT_PROVIDER
          value: istiod
        volumeMounts:
        - mountPath: /var/run/secrets/istio
          name: istiod-ca-cert
      initContainers:
      - name: istio-init
        image: "docker.io/istio/proxyv2:1.20.0"
        args:
        - istio-iptables
        - -p
        - "15001"
        - -z
        - "15006"
        - -u
        - "1337"
        - -m
        - REDIRECT
        - -i
        - '*'
        - -x
        - ""
        - -b
        - '*'
        - -d
        - "15090,15021,15020"