Istio とは？

マイクロサービスが増えると、リトライ、タイムアウト、暗号化、認証みたいな通信まわりの処理を各サービスに作り込むのが大変になるんだ。Istioは通信をプロキシ経由にして、こうした処理をアプリのコードを変えずに設定で追加できるようにするんだよ。

①トラフィック制御（例えば新バージョンに25%だけ流すカナリアリリース、トラフィックのミラーリング）、②セキュリティ（mTLSによる暗号化とサービスの身元にもとづく認証）、③可観測性（メトリクス・ログ・トレースの自動収集）が代表的だよ。

サイドカーモードでは、既定のPERMISSIVEだとmTLSと平文の両方を受け付けるよ。移行中にプロキシのないサービスともつながるようにするためだね。mTLSを必須にしたいならPeerAuthenticationでSTRICTを設定する。一方、アンビエントモードではノード上のztunnelが通信を仲介し、プロキシ間はmTLSで暗号化される。こちらのSTRICTは、メッシュを迂回する接続を防ぐためにも使うんだ。モードごとの条件を分けて確認しようね。

VirtualService、DestinationRule、Gatewayといった独自のリソースを理解する必要があって、学習コストはかかるよ。サイドカーモードは各Podにプロキシが増えるぶんCPU・メモリも必要になる。公式ドキュメントは、この負担を減らす選択肢として、ノードごとのプロキシを使うアンビエントモードも用意しているよ。

例えばLinkerdは、Rust製の専用プロキシを使うサービスメッシュで、CNCFの卒業プロジェクトでもあるよ。必要な機能、運用体制、対応する環境を比べて選ぼうね。