3. 服务网格治理策略：流量管理、安全策略、可观测性三大支柱

服务网格（Service Mesh）的核心价值在于将分布式应用的治理能力从业务代码中剥离，下沉至基础设施层。Istio、Linkerd 等主流网格通过统一的控制面与数据面，围绕流量管理、安全策略与可观测性三大支柱构建治理体系。本章将逐一拆解这三大支柱的核心能力、配置模式及其在 CI/CD 流水线中的集成要点。

3.1 流量管理：精细化路由与韧性工程

流量管理是服务网格最直观的治理能力，它允许运维人员在不修改代码的情况下，通过配置规则控制服务间的请求流向。核心资源包括 VirtualService、DestinationRule 和 Gateway。

3.1.1 核心功能对比

3.1.2 金丝雀发布流量配置示例

以下是一个典型的金丝雀发布配置，将 10% 的流量导向新版本 v2：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews-vs
spec:
  hosts:
  - reviews
  http:
  - match:
    - headers:
        end-user:
          exact: jason
    route:
    - destination:
        host: reviews
        subset: v2
  - route:
    - destination:
        host: reviews
        subset: v1
      weight: 90
    - destination:
        host: reviews
        subset: v2
      weight: 10
---
apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: reviews-dr
spec:
  host: reviews
  subsets:
  - name: v1
    labels:
      version: v1
  - name: v2
    labels:
      version: v2

3.2 安全策略：零信任通信与身份认证

服务网格将安全能力从应用层解耦，通过 mTLS、RBAC 和授权策略实现零信任架构。安全策略是回滚护栏中最敏感的部分，错误的配置可能导致全链路中断。

3.2.1 安全策略分层模型

3.2.2 安全策略配置示例

以下配置强制命名空间 prod 内的服务间通信使用严格 mTLS，并仅允许 frontend 服务访问 backend 的 /api 路径：

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: prod
spec:
  mtls:
    mode: STRICT
---
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: backend-policy
  namespace: prod
spec:
  selector:
    matchLabels:
      app: backend
  action: ALLOW
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/prod/sa/frontend-sa"]
    to:
    - operation:
        paths: ["/api/*"]
        methods: ["GET"]

3.3 可观测性：全链路监控与故障定位

可观测性是服务网格治理的“眼睛”，通过统一的指标、日志和链路追踪数据，为运维人员提供实时的系统健康视图。在回滚场景中，可观测性数据是判断回滚时机和验证回滚效果的核心依据。

3.3.1 三大可观测性信号

3.3.2 可观测性配置示例

启用 Envoy 访问日志并配置指标采集：

apiVersion: telemetry.istio.io/v1alpha1
kind: Telemetry
metadata:
  name: mesh-default
  namespace: istio-system
spec:
  accessLogging:
  - providers:
    - name: envoy
  metrics:
  - providers:
    - name: prometheus
  tracing:
  - providers:
    - name: zipkin
    randomSamplingPercentage: 100.0

3.4 三大支柱的协同与回滚护栏

流量管理、安全策略和可观测性并非独立运作，它们共同构成服务网格治理的闭环。在回滚护栏设计中，需要从以下维度进行协同验证：

• 变更影响范围：流量策略变更可能影响安全策略的生效范围（例如路由到新版本后，新版本的 mTLS 配置是否一致）。
• 依赖关系：安全策略的 AuthorizationPolicy 依赖服务账号（ServiceAccount），而服务账号的变更通常由部署流水线触发，需确保策略与版本同步。
• 可观测性反馈：任何治理策略的变更都应通过可观测性指标进行“金丝雀验证”，例如在灰度期间对比新旧版本的错误率和延迟。