3. Sidecar 生命周期管理：注入、启动、健康检查、优雅关闭与重启机制

在 Istio 服务网格中，Sidecar 代理（Envoy）的生命周期管理直接决定了数据平面的稳定性与升级效率。本章围绕 Sidecar 从注入到终止的完整生命周期，深入剖析每个阶段的关键机制与最佳实践。

3.1 Sidecar 注入机制

Sidecar 注入分为手动注入与自动注入两种方式。自动注入基于 Kubernetes 的 MutatingAdmissionWebhook，在 Pod 创建时由 istiod 动态注入 Envoy 容器与初始化容器（istio-init）。

3.2 Sidecar 启动流程

Sidecar 启动遵循严格的顺序依赖，确保业务容器启动前网络代理已就绪。启动流程包含以下关键步骤：

1. istio-init 初始化容器：配置 iptables 规则，将入站与出站流量劫持到 Envoy 端口（默认 15001/15006）。
2. Envoy 容器启动：从 istiod 拉取引导配置（Bootstrap Config），建立 xDS 连接。
3. Pilot 代理就绪：Envoy 完成初始配置加载，监听 15000 管理端口。
4. 业务容器启动：依赖 Sidecar 就绪状态，通过 holdApplicationUntilProxyStarts 特性确保顺序。

3.3 健康检查机制

Istio 为 Sidecar 提供了三层健康检查体系，确保代理状态可观测、可自愈：

3.4 优雅关闭机制

Sidecar 的优雅关闭是保证零流量丢失的关键。Istio 通过 terminationGracePeriodSeconds 与 Envoy 的 drain 机制协同实现：

1. 接收 SIGTERM 信号：Kubernetes 向 Envoy 发送终止信号。
2. 启动 drain 阶段：Envoy 开始主动关闭连接，向已连接的客户端发送 GOAWAY 帧（HTTP/2）或连接重置（HTTP/1.1）。
3. 等待活跃请求完成：默认 drain 时长 45 秒，可通过 terminationDrainDuration 配置。
4. 强制关闭：超过 terminationGracePeriodSeconds 后，未完成的连接被强制终止。

3.5 重启机制与升级策略

Sidecar 重启主要发生在以下场景：配置热更新、版本升级、故障恢复。Istio 提供了多种重启策略：

3.6 生命周期配置清单

以下为 Sidecar 生命周期关键配置项，建议在 IstioOperator 或 Deployment 中显式设置：

# IstioOperator 配置示例
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      terminationDrainDuration: 45s
      proxyMetadata:
        ISTIO_META_DNS_CAPTURE: "true"
  components:
    pilot:
      k8s:
        env:
        - name: PILOT_ENABLE_PROTOCOL_SNIFFING
          value: "true"
---
# Deployment 注解配置
apiVersion: apps/v1
kind: Deployment
metadata:
  annotations:
    sidecar.istio.io/inject: "true"
    sidecar.istio.io/proxyCPULimit: "1000m"
    sidecar.istio.io/proxyMemoryLimit: "512Mi"
spec:
  template:
    spec:
      terminationGracePeriodSeconds: 60
      containers:
      - name: istio-proxy
        lifecycle:
          preStop:
            exec:
              command: ["/bin/sh", "-c", "sleep 15"]