古法编程

在 Kubernetes 中实现 Linkerd 服务网格的生产级配置

通过一套标准化的生产模式，解决 Kubernetes 环境下服务间通信的可见性、安全性和流量控制问题，实现从基础安装到高级金丝雀部署的快速落地。

为什么需要这个技能

在微服务架构中，服务间的通信（东西向流量）往往是一个黑盒。传统的方案需要开发者在代码中手动实现重试、超时控制和身份验证，不仅增加了开发负担，且难以统一维护。

Linkerd 作为一个轻量级的服务网格（Service Mesh），通过 Sidecar 代理模式在不侵入代码的情况下，自动为集群提供 mTLS 加密、细粒度的可观测性以及强大的流量调度能力。掌握 Linkerd 的生产模式可以让你快速构建一个安全且可观测的底层网络，而无需深陷于复杂的配置细节。

适用场景

  • 零信任安全升级：需要快速实现全集群服务间的自动 mTLS 双向加密。
  • 金丝雀/蓝绿发布：通过 TrafficSplit 精确控制流量比例，降低新版本上线风险。
  • 精细化监控：需要针对具体 API 路由（Per-route）获取成功率、延迟和吞吐量指标。
  • 高可用容错：配置统一的重试预算（Retry Budget）和超时机制，防止级联失效。
  • 多集群扩展：将多个 K8s 集群互联，实现跨集群的服务调用。

核心工作流

1. 基础设施部署与注入

首先安装 CLI 工具并部署控制平面。通过在命名空间或 Deployment 中添加 linkerd.io/inject: enabled 注解，让 Linkerd 自动将代理注入 Pod。

# 安装 CLI 并验证集群
curl --proto '=https' --tlsv1.2 -sSfL https://run.linkerd.io/install | sh
linkerd check --pre

# 安装 CRDs 与控制平面
linkerd install --crds | kubectl apply -f -
linkerd install | kubectl apply -f -

2. 流量治理与可观测性

使用 ServiceProfile 定义路由级别的指标和重试策略，利用 TrafficSplit 实现金丝雀发布。

# 流量拆分示例：90% 流量至稳定版，10% 至金丝雀版
apiVersion: split.smi-spec.io/v1alpha1
kind: TrafficSplit
metadata:
  name: my-service-canary
spec:
  service: my-service
  backends:
    - service: my-service-stable
      weight: 900m
    - service: my-service-canary
      weight: 100m

3. 安全策略实施

通过 Server 和 ServerAuthorization 定义访问控制策略，限制仅允许特定服务账户访问敏感接口。

4. 状态验证与调试

使用 linkerd viz 系列命令实时监控流量拓扑和服务健康状况，通过 linkerd tap 抓取实时请求流进行故障排查。

下载和安装

下载 linkerd-patterns 中文版 Skill ZIP

解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。

你可能还需要

暂无推荐