金丝雀升级

    安装 Istio 时， 安装设置可用于同时部署多个独立的控制平面。升级的金丝雀版本可以通过使用不同的 revision，在旧版本的旁边安装启动新版本的 Istio 控制平面。每个修订都是一个完整的 Istio 控制平面实现，具有自己的 Deployment、Service 等。

    要安装名为 canary 的新修订版本，您可以按照如下所示设置 revision 字段：

    在生产环境中，更好的修订名称将对应 Istio 的版本。但是您必须替换修订名称的 . 字符，例如 revision=1-6-8 表示 Istio 1.6.8，因为 . 不是一个有效的修订名称字符。

    运行该命令后，您将有两个并行运行的控制平面 Deployment 和 Service：

    1. $ kubectl get pods -n istio-system -l app=istiod
    2. NAME                                    READY   STATUS    RESTARTS   AGE
    3. istiod-786779888b-p9s5n                 1/1     Running   0          114m
    1. $ kubectl get svc -n istio-system -l app=istiod
    2. NAME            TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)                                                AGE
    3. istiod          ClusterIP   10.32.5.247   <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP                  33d
    4. istiod-canary   ClusterIP   10.32.6.58    <none>        15010/TCP,15012/TCP,443/TCP,15014/TCP,53/UDP,853/TCP   12m

    您还将看到包括新版本在内的两个 Sidecar 注入配置。

    2. NAME                            WEBHOOKS   AGE
    3. istio-sidecar-injector          1          7m56s

    由于在安装过程中创建 ValidatingWebhookConfiguration 时存在 一个BUG，因此初始安装 Istio 不能 指定修订版本。作为临时的解决方法，为使 Istio 资源验证在删除未经修订的 Istio 安装后继续工作，istiod 必须将 Service 手动指向应处理验证的修订版本。

    与 Istiod 不同，Istio Gateway 不运行特定修订版本的实例，而是就地升级以使用新的控制平面修订版本。 您可以通过运行以下命令来验证 istio-ingress Gateway 是否正在使用 canary 修订版本：

    1. $ istioctl proxy-status | grep $(kubectl -n istio-system get pod -l app=istio-ingressgateway -o jsonpath='{.items..metadata.name}') | awk '{print $8}'
    2. istiod-canary-6956db645c-vwhsk

    但是，仅安装新版本不会对现有的 Sidecar 代理产生影响。要升级它们，必须将它们配置为指向新的 istiod-canary 控制平面。这是在基于命名空间标签的 Sidecar 注入期间控制的 istio.io/rev。

    要升级名称空间 test-ns，请删除 istio-injection 标签，然后添加 istio.io/rev 标签以指向 修订版本。istio-injection 标签必须移除，因为它的优先级高于 istio.io/rev，此标签用于向后兼容性。

    1. $ kubectl label namespace test-ns istio-injection- istio.io/rev=canary

    命名空间更新后，您需要重新启动 Pod 才能触发重新注入。一种方法是使用：

    1. $ kubectl rollout restart deployment -n test-ns

    当 Pod 被重新注入时，它们将被配置为指向 istiod-canary 控制平面。你可以查看 Pod 标签验证这一点。

    例如，运行以下命令将显示使用 canary 修订版本的所有 Pod：

    1. $ istioctl proxy-status | grep ${pod_name} | awk '{print $8}'
    2. istiod-canary-6956db645c-vwhsk

    输出确认 Pod 正在使用 istiod-canary 控制平面的修订版本。

    升级控制平面和数据平面之后，您可以卸载旧的控制平面。例如，以下命令卸载修订版本的控制平面 1-6-5：

    1. $ istioctl x uninstall --revision 1-6-5

    如果旧的控制平面没有修订版本标签，请使用其原始安装选项将其卸载，例如：

      确认旧的控制平面已被移除，并且集群中仅存在新的控制平面：

      请注意，以上说明仅删除了用于指定控制平面修订版的资源，而未删除与其他控制平面共享的群集作用域资源。要完全卸载 Istio，请参阅 。

      如果您决定回滚到旧的控制平面，而不是完成 Canary 升级，则可以使用 istioctl x uninstall --revision=canary 卸载 Canary 修订版。

      确保使用与 旧控制平面相对应的版本来重新安装旧网关，并且为避免停机，请确保旧网关已启动并正在运行，然后再进行金丝雀卸载。