[AWS] istio

Istio

Istio는 클라우드 네이티브 애플리케이션에서 마이크로서비스 아키텍처를 관리하기 위해 설계된 서비스 메쉬 플랫폼임.

Istio는 서비스 간 통신, 트래픽 관리, 보안, 관찰 가능성 등을 지원하여 복잡한 분산 시스템의 운영을 단순화함.

 

Istio의 기본 개념

1. 서비스 메쉬

서비스 메쉬는 애플리케이션 레벨에서 네트워크 통신을 관리하기 위한 레이어임.

각 서비스 간 통신을 추상화하고 제어할 수 있게 함.

Istio는 서비스 메쉬의 대표적인 구현체로, 서비스 간 데이터 플레인과 제어 플레인을 제공함.

 

2. 주요 목표

A. 트래픽 관리: 서비스 간 트래픽 라우팅, 로드 밸런싱, 장애 복구 등 제어.

B. 보안: 서비스 간 통신 암호화(TLS) 및 인증/인가 제공.

C. 관찰 가능성: 서비스 메트릭, 로그, 트레이싱 수집.

D. 정책 제어: 세분화된 서비스 액세스 정책 설정.

 

Istio 아키텍처

1. 데이터 플레인

데이터 플레인은 실제 트래픽을 처리하는 레이어임.

Istio는 이를 위해 각 서비스 인스턴스에 프록시를 배포함.

대표적인 데이터 플레인 구현체는 Envoy 프록시입니다.

 

A. Envoy: 서비스와 네트워크 사이에 위치하여 트래픽을 가로채고, 라우팅, 인증, TLS 종료, 모니터링 등을 수행.

 

2. 제어 플레인

제어 플레인은 데이터 플레인의 동작을 관리하고 정책을 설정함.

 

A. Pilot: 서비스 간 트래픽 라우팅 및 설정을 Envoy에 전달.

B. Istiod: Istio의 메인 컨트롤러로, Pilot, Mixer, Citadel 기능을 통합.

C. Citadel: 서비스 간 보안을 위한 인증서 발급 및 키 관리.

D. Galley: 초기 Istio의 설정 및 검증 관리 (최근 Istio에서 삭제됨).

E. Telemetry: 메트릭, 로그, 트레이스 데이터를 수집하여 관찰 가능성을 제공.

 

주요 기능

1. 트래픽 관리

A. 로드 밸런싱: HTTP/1.1, HTTP/2, gRPC 등 다양한 프로토콜 지원.

B. 트래픽 라우팅: 요청 기반 라우팅, 버전별 롤아웃.

C. 폴백 및 재시도 설정.

D. 회로 차단기: 서비스 장애 시 안전한 복구 제공.

 

2. 보안

A. 서비스 간 암호화: 서비스 간 통신을 자동으로 암호화.

B. 인증: JWT 기반 인증 지원.

C. 인가: Role-Based Access Control 정책.

 

3. 관찰 가능성

A. 분산 트레이싱: Zipkin, Jaeger와 같은 도구를 통합.

B. 메트릭: Prometheus와 연동하여 트래픽과 성능 모니터링.

C. 로그 수집: 각 서비스의 통신 로그를 중앙에서 관리.

 

4. 정책 관리

A. 트래픽 제한.

B. 지연 삽입 테스트.

C. 특정 요청 차단 및 승인.

 

Istio 사용 사례

1. 마이크로서비스 통합

서비스 간 통신 패턴을 표준화.

서비스 별로 다양한 배포 전략 수행.

 

2. 서비스 모니터링

복잡한 네트워크에서 장애 원인 분석.

사용자 요청의 흐름을 시각화하여 성능 최적화.

 

3. 보안 강화

데이터 암호화 및 세분화된 접근 제어.

클라우드 환경에서의 다중 테넌트 환경 보호.

 

Istio 설치 및 구성

1. Istio CLI(istioctl) 설치.

2. Istio 구성 요소 설치 (istioctl install).

3. 네임스페이스에 Istio 사이드카 주입 설정 (istio-injection=enabled).

4. 서비스 및 네트워크 트래픽 라우팅 설정.

 

Istio 장단점

1. 장점

A. 표준화: 마이크로서비스 환경에서 통합된 네트워크 관리.

B. 확장성: 다양한 클라우드 및 온프레미스 환경에서 동작.

C. 유연성: 다양한 트래픽 정책과 설정 제공.

 

2. 단점

A. 복잡성: 작은 프로젝트에서는 과도한 설정 오버헤드.

B. 성능 부담: 사이드카 프록시 추가로 인한 네트워크 및 CPU 사용량 증가.

 

Istio 최신 동향

Istio는 CNCF 프로젝트로서 지속적인 발전을 이루고 있음.

2023년에는 Ambient Mesh라는 새로운 모드가 도입됨.

기존의 사이드카 방식에서 벗어나 성능을 최적화하고 복잡성을 줄이는 방식을 제안함.