Module complémentaire Open Service Mesh (OSM) dans Azure Kubernetes Service (AKS)

Open Service Mesh est un maillage de services natif Cloud léger et extensible qui vous permet de gérer et de sécuriser uniformément les environnements de microservices hautement dynamiques et de bénéficier de fonctionnalités d’observabilité prêtes à l’emploi.

OSM exécute un plan de contrôle basé sur Envoy sur Kubernetes, et peut être configuré avec des API SMI. OSM fonctionne en injectant un proxy Envoy en tant que conteneur side-car avec chaque instance de votre application. Le proxy Envoy contient et exécute des règles concernant les stratégies de contrôle d’accès, implémente la configuration de routage et capture les métriques. Le plan de contrôle configure continuellement les proxys Envoy pour garantir que les stratégies et les règles de routage sont à jour et que les proxys sont intègres.

Microsoft a lancé le projet OSM, mais il est maintenant régi par la CNCF (Cloud Native Computing Foundation).

Activer le composant additionnel OSM

OSM peut être ajouté à votre cluster Azure Kubernetes Service (AKS) en activant le module complémentaire OSM à l’aide d’Azure CLI ou d’un modèle Bicep. Le module complémentaire OSM fournit une installation entièrement prise en charge d’OSM qui est intégrée à AKS.

Capacités et fonctionnalités

OSM fournit les fonctionnalités suivantes :

• Sécurisation des communications entre services grâce à l’activation mutuelle TLS (mTLS).
• Intégration des applications dans le maillage OSM grâce à l’injection automatique de side-car du proxy Envoy
• Configuration transparente du déplacement du trafic sur les déploiements
• Définition et exécution de stratégies de contrôle d’accès affinées pour les services.
• Supervision et débogage des services à l’aide de l’observation et des insights relatifs aux métriques d’application
• Chiffrement des communications entre des points de terminaison de service déployés dans le cluster
• Activation de l’autorisation du trafic HTTP/HTTPS et TCP
• Configuration de contrôles du trafic pondéré entre deux services ou plus pour les tests A/B ou déploiements Canary
• Collecte et affichage des indicateurs de performance clés du trafic de l’application
• Intégration à la gestion des certificats externes
• Effectuez l’intégration avec des solutions d’entrée existantes telles que NGINX, Contour et Routage des applications.

Pour plus d’informations sur l’entrée et OSM, consultez les articles Utilisation de l’entrée pour gérer l’accès externe aux services au sein du cluster et Intégrer OSM à Contour pour l’entrée. Pour obtenir un exemple d’intégration d’OSM à des contrôleurs d’entrée à l’aide de l’API networking.k8s.io/v1, consultez la rubrique Entrée avec le contrôleur d’entrée Kubernetes Nginx. Si vous souhaitez en savoir plus sur l’utilisation du routage des applications web qui s’intègre automatiquement avec OSM, veuillez consulter la rubrique Routage des applications.

Limites

Le module complémentaire OSM AKS présente les limitations suivantes :

• Après l’installation, vous devez activer la redirection Iptables pour l’adresse IP du port et l’exclusion de plage de ports à l’aide de kubectl patch. Pour plus d’informations, consultez la rubrique redirection iptables.
• Les pods qui doivent accéder au maillage qui doivent accéder à IMDS, à Azure DNS ou au serveur d’API Kubernetes doivent avoir leurs adresses IP dans la liste globale des plages d’adresses IP sortantes exclues avec les exclusions des plages d’adresses IP sortantes globales.

• Le module complémentaire ne fonctionne pas sur les clusters AKS qui utilisent le module complémentaire du service de maillage basé sur Istio pour AKS.

• OSM ne prend pas en charge les conteneurs Windows Server.

Étapes suivantes

Après avoir activé le module complémentaire OSM à l’aide d’Azure CLI ou d’un modèle Bicep, vous pouvez :

• Déployer un exemple d’application
• Intégrer une application existante