3. Sidecar 生命周期管理：注入、版本与健康策略

Sidecar 代理（Envoy）的生命周期管理是 Istio 数据面稳定性的核心。本章从注入方式、版本控制、健康检查与重启策略三个维度，构建完整的 Sidecar 治理体系。

3.1 Sidecar 注入方式：手动与自动

Istio 支持两种 Sidecar 注入模式，适用于不同的集群治理阶段。手动注入用于 CI/CD 管道或离线部署，自动注入则用于运行时动态扩缩容场景。

3.1.1 手动注入操作示例

# 使用 istioctl 手动注入 Sidecar 到 Deployment
istioctl kube-inject -f deployment.yaml -o deployment-injected.yaml \
  --set values.global.proxy.image=proxyv2:1.20.3 \
  --set values.global.proxy.resources.requests.cpu=100m \
  --set values.global.proxy.resources.requests.memory=128Mi

# 应用注入后的 YAML
kubectl apply -f deployment-injected.yaml

3.1.2 自动注入配置示例

# 为 Namespace 启用自动注入
kubectl label namespace production istio-injection=enabled

# 或使用 revision 标签实现多控制面注入
kubectl label namespace production istio.io/rev=canary-1-20

# 在 Pod 级别覆盖注入行为（Annotation）
metadata:
  annotations:
    sidecar.istio.io/inject: "true"
    sidecar.istio.io/proxyImage: "proxyv2:1.20.3"

3.2 Sidecar 版本管理

Sidecar 版本管理是集群升级治理的关键环节。在制品库联动场景下，需要同时管理 Sidecar 镜像版本、控制面版本与数据面版本的兼容性矩阵。

3.2.1 版本兼容性矩阵

3.2.2 制品库中的版本标签策略

# 制品库 Sidecar 镜像标签规范
# 格式：proxyv2:{istio版本}-{构建时间戳}-{commit短哈希}

# 示例标签
proxyv2:1.20.3-20240315-a1b2c3d   # 生产稳定版
proxyv2:1.20.3-20240316-e4f5g6h   # 热修复版
proxyv2:1.21.0-20240310-x7y8z9w   # 金丝雀版

# Helm Values 中引用 Sidecar 版本
global:
  proxy:
    image: proxyv2
    tag: "1.20.3-20240315-a1b2c3d"
    imagePullPolicy: IfNotPresent

3.3 Sidecar 健康检查与重启策略

Sidecar 的健康状态直接影响业务 Pod 的流量接管能力。Istio 提供了多层次的健康检查机制，并与 Kubernetes 原生重启策略协同工作。

3.3.1 健康检查层次

• Liveness 探针：检测 Envoy 进程是否存活。默认通过 /healthz/ready 端点检查，超时 1s，失败阈值 3 次。
• Readiness 探针：检测 Sidecar 是否就绪，包括 xDS 配置是否同步完成。Pod 的 Ready 状态依赖 Sidecar 和业务容器同时就绪。
• Startup 探针：用于慢启动场景，在 Sidecar 首次启动时延长检测窗口，避免因配置加载慢导致误杀。

3.3.2 默认健康检查配置

# Istio 默认注入的 Sidecar 健康检查（自动生成）
containers:
  - name: istio-proxy
    image: proxyv2:1.20.3
    ports:
      - containerPort: 15090
        name: http-envoy-prom
      - containerPort: 15021
        name: http-envoy-stats
    livenessProbe:
      httpGet:
        path: /healthz/ready
        port: 15021
      initialDelaySeconds: 1
      periodSeconds: 2
      failureThreshold: 3
    readinessProbe:
      httpGet:
        path: /healthz/ready
        port: 15021
      initialDelaySeconds: 1
      periodSeconds: 2
      failureThreshold: 30
    startupProbe:
      httpGet:
        path: /healthz/ready
        port: 15021
      initialDelaySeconds: 1
      periodSeconds: 2
      failureThreshold: 30

3.3.3 重启策略与 Sidecar 恢复

3.4 优雅关闭与排空策略

在 Sidecar 重启或 Pod 缩容时，需要确保存量请求被优雅处理，避免连接中断。Istio 提供了 terminationDrainDuration 和 EXIT_ON_ZERO_ACTIVE_CONNECTIONS 两个关键参数。

# 在 Pod Annotation 中配置优雅关闭
metadata:
  annotations:
    # 等待所有活跃连接关闭后再退出（最长等待 60s）
    sidecar.istio.io/terminationDrainDuration: "60s"
    # 当活跃连接数为 0 时立即退出
    sidecar.istio.io/exitOnZeroActiveConnections: "true"

# 在 Helm Values 中全局配置
global:
  proxy:
    terminationDrainDuration: 60s
    exitOnZeroActiveConnections: true