后记

在Istio比较早期的版本中,自签名Ca证书有效期只有一年时间,如果使用老版本Istio超过一年,就会遇到这个问题。当证书过期之后,我们创建新的虚拟服务或者pod,都会因为CA证书过期而失败。而这时如果Citadel重启,它会读取过期证书并验证其有效性,就会出现以上Cidatel不能启动的问题。

这个Ca证书在K8s集群中,是以istio-ca-secret命名的secret,我们可以使用openssl解码证书来查看有效期。这个问题比较简单的处理方法,就是删除这个Secret,并重启Citadel,这时Citadel会走向新建和验证自签名Ca证书的逻辑并刷新Ca证书。或者参考以下官网处理方式。

 

istio sidecar使用自定义镜像
Istio 和 sidecar 配置保存在 istio 和 istio-sidecar-injector 这两个 ConfigMap 中,其中包含了 Go template,所谓自动 sidecar 注入就是将生成 Pod 配置从应用 YAML 文件期间转移到 mutable webhook 中。
所以直接更改 istio-sidecar-injector configmap 就可以了。 具体修改内容如下:

values: |- 下面

“hub”: “docker.mirrors.ustc.edu.cn/istio”,
“image”: “proxyv2”, # image 有2个
“tag”: “1.5.4”,
————————————————
版权声明:本文为CSDN博主「lswzw」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/lswzw/article/details/106563546

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注