Kubernetes Service Mesh — Traffic-Management mit Istio

In diesem 115-Minuten-Modul verlasst ihr die Kubernetes-Bordmittel für Traffic-Steuerung und lernt ein Service Mesh als eigene Infrastruktur-Schicht kennen. Istio setzt neben jeden Pod einen Envoy-Sidecar-Proxy: die Control-Plane istiod konfiguriert diese Proxies zentral, während die eigentliche Datenweiterleitung – die Data-Plane – vollständig dezentral in den Sidecars passiert, ohne dass ein einziger Request-Pfad durch den kube-proxy führt. Genau diese Abgrenzung steht am Anfang: kube-proxy routet auf Layer 4 grob über iptables/IPVS-Regeln zwischen Pod-IPs, ein Envoy-Sidecar entscheidet auf Layer 7 pro Request – mit Wissen über HTTP-Header, Pfade und exakte Prozentsätze, unabhängig von der Pod-Anzahl. Im ersten Hands-on installiert ihr Istio lokal per istioctl in eurem Minikube-Cluster und aktiviert die automatische Sidecar-Injection für einen Namespace – jeder neu erstellte Pod bekommt ab diesem Moment automatisch seinen Envoy-Sidecar, sichtbar an 2/2 statt 1/1 Containern. Im zweiten Hands-on baut ihr mit VirtualService und DestinationRule ein gewichtetes Traffic-Splitting zwischen zwei Versionen auf und vergleicht es direkt mit der pod-basierten setWeight -Steuerung aus dem Modul Kubernetes Progressive Delivery — Canary & Blue-Green mit Argo Rollouts: Wo Argo Rollouts Prozentsätze nur in Schritten von 1/replicas erreicht, setzt eine VirtualService-Route exakte Prozentsätze unabhängig von der Pod-Zahl. Als Sicherheitsaspekt ordnet ihr anschließend mTLS zwischen Services ein – eine PeerAuthentication-Ressource erzwingt verschlüsselte, gegenseitig authentifizierte Verbindungen zwischen allen Sidecars, als Ergänzung zu Pod Security Admission aus dem Modul Kubernetes Security Vertiefung — Pod Security Admission & Secrets-Härtung. Ein kurzer Ausblick ohne eigenes Hands-on rundet ab: Kiali als Observability-Dashboard für den Service-Graph – die Installation samt Prometheus-Anbindung und ein Hands-on zur Fehlerdiagnose im Graph liefert das eigenständige Aufbaumodul Kubernetes Service Mesh Observability — Kiali & der Service-Graph –, sowie Multi-Cluster-Mesh als Aufbaustufe über mehrere Cluster hinweg. Ausdrücklich NICHT Teil dieses Kurses: Kiali-Installation (eigenes Aufbaumodul, siehe oben), Multi-Cluster-Mesh-Aufbau, Circuit-Breaking als eigene Übung und CI/Image-Build – eine gezielte Fault-Injection-Übung liefert erst das Kiali-Aufbaumodul. Voraussetzung sind die Module “Kubernetes Networking Vertiefung” (Service-/DNS-Grundlagen) und “Kubernetes Progressive Delivery — Canary & Blue-Green mit Argo Rollouts” (pod-basierte Traffic-Steuerung als Vergleichsbasis) – beide werden hier vorausgesetzt und nicht wiederholt. Die Session läuft komplett lokal über Minikube (–driver=docker), Istio selbst läuft rein containerisiert im Cluster, ohne Cloud-Account und ohne Kostenwirkung.