⌨️ Как и следовало ожидать, к 25-му открыть бета-тест мы не успеваем, но ничего страшного, дадим себе ещё немного времени. А пока почитайте небольшой пост о том, как и зачем в проект был внедрён Istio.

Как мы внедряли Istio и (почти) не сошли с ума

👾 Всем привет! Я - Матвей, CTO и DevOps-инженер в Human Help Platform. Сегодня хочу поделиться нашей историей внедрения Istio. Это не просто техническая инструкция, а скорее рассказ о том, какие проблемы мы решили, на какие грабли наступили и почему теперь считаем, что игра стоила свеч.

Проблема: хаос в микросервисах и безопасность «на честном слове»

До Istio наша жизнь с микросервисами была полна стресса. Каждый релиз был похож на русскую рулетку: мы выкатывали новую версию сервиса сразу на 100% пользователей. Если что-то шло не так, у нас не было нормальной возможности быстрого отката, что часто приводило к даунтайму. О безопасных «канареечных» развертываниях мы могли только мечтать. А с безопасностью дела обстояли ещё хуже. Весь трафик между нашими сервисами внутри кластера ходил в абсолютно открытом виде. Никакого TLS. Мы полностью полагались на сетевую изоляцию, но сама идея, что внутренние коммуникации не зашифрованы, не давала нам покоя.

Решение: Service Mesh и наш выбор в пользу Istio

Мы поняли, что нам нужен инструмент, который закроет сразу обе дыры: возьмёт на себя шифрование трафика и даст нам гибкие возможности для управления релизами. Таким инструментом стал service mesh. Выбор пал на Istio. Он показался нам самым зрелым решением. Идея была проста: переложить головную боль с сети и безопасности с плеч разработчиков на уровень самой платформы. Что мы получили на практике?

1. Безопасность по умолчанию. Это была наша первая и самая важная победа. Мы включили автоматический mTLS (mutual TLS). Istio сам внедряет sidecar-прокси в каждый под, который шифрует и расшифровывает весь трафик. Разработчики продолжают писать код, который общается по обычному HTTP, а Istio «под капотом» обеспечивает безопасность. Проблема с незашифрованным трафиком была решена раз и навсегда.

2. Фундамент для умных релизов. Гибкое управление трафиком в Istio открыло нам дорогу к безопасным развертываниям. С помощью его правил маршрутизации (VirtualService) мы получили полный контроль над тем, кто и как получает доступ к новым версиям сервисов. Это позволило нам позже внедрить такие инструменты, как Argo Rollouts, которые используют возможности Istio для автоматизации сложных «канареечных» стратегий, анализа метрик и автоматических откатов.ф

⬆️ Начало поста об Istio ⬆️

Не без трудностей: конфликт политик

Конечно, не всё было гладко. На первых порах мы столкнулись с тем, что политики безопасности или маршрутизации не применялись или конфликтовали друг с другом. Главный урок, который мы вынесли: начинайте с простых и понятных правил, затем усложняйте итерационно.

Слово нашему разработчику

👨‍💻 Я, как backend-разработчик, был настроен скептически. Но когда пыль улеглась, я увидел главный плюс для меня лично: я наконец-то перестал быть операционщиком для своего же кода. Мне больше не нужно в каждом сервисе городить middleware для проверки JWT-токенов, парсить заголовки и вручную проверять права доступа. Всю эту рутину теперь на себя взял Istio. Я просто описываю в манифесте: «этот эндпоинт требует такой-то роли» и всё. Можно сосредоточиться на бизнес-логике, а не на бесконечном копипасте одного и того же кода безопасности из проекта в проект. Да, кривая обучения была, но теперь я пью чай, пока mesh сам разбирается с аутентификацией.

Так стоит ли вам внедрять Istio?

👾 Istio это мощный, но сложный инструмент. Если у вас пара-тройка микросервисов, возможно, он будет избыточен. Но если у вас большая распределённая система, вы хотите решить проблемы с внутренней безопасностью и заложить надёжный фундамент для продвинутых стратегий развертывания (таких как «канарейки» или A/B-тесты), то однозначно стоит присмотреться. Надеюсь, наш опыт был полезен! Задавайте вопросы в комментариях, я буду рад ответить.

Под этим постом разыгрывается подписка Telegram Premium на три месяца. Чтобы участвовать, задайте вопрос нашей команде по технологии, начните вопрос со слова «Istio», в течение 24 часов после публикации. Также нужна ваша реакция под постом и подписка на канал.

Подписывайтесь на канал DevOps // Human Help
Подписывайтесь на канал Platform // Human Help