EKS Service Mesh 入門ハンズオン

eksctl create cluster \
  --name mesh-handson \
  --version 1.33 \
  --region ap-northeast-1 \
  --nodegroup-name workers \
  --node-type t3.large \
  --nodes 3 \
  --managed

kubectl get nodes
# 3 ノードが Ready であることを確認

# 最新の安定版をダウンロード
curl -L https://istio.io/downloadIstio | sh -

# ダウンロードされたディレクトリに移動（バージョン番号は実際のものに合わせる）
cd istio-1.24.*/
export PATH=$PWD/bin:$PATH

# バージョン確認
istioctl version --remote=false

# PowerShell
$ISTIO_VERSION = "1.24.3"
Invoke-WebRequest -Uri "https://github.com/istio/istio/releases/download/$ISTIO_VERSION/istioctl-$ISTIO_VERSION-win-amd64.zip" -OutFile "istioctl.zip"
Expand-Archive -Path "istioctl.zip" -DestinationPath "."
$env:PATH = "$PWD;" + $env:PATH

demo プロファイルはすべての機能（Ingress/Egress Gateway 含む）を含み、学習目的に最適です。

istioctl install --set profile=demo -y

インストールに 3〜5 分かかります。

kubectl get pods -n istio-system

以下の Pod が Running になるのを確認します。

• istiod-xxx（Control Plane）
• istio-ingressgateway-xxx（Ingress Gateway）
• istio-egressgateway-xxx（Egress Gateway）

kubectl apply -f samples/addons/kiali.yaml
kubectl apply -f samples/addons/prometheus.yaml
kubectl apply -f samples/addons/grafana.yaml
kubectl apply -f samples/addons/jaeger.yaml

# 起動待ち
kubectl rollout status deployment/kiali -n istio-system --timeout=120s

kubectl label namespace default istio-injection=enabled
kubectl get namespace default --show-labels

kubectl apply -f samples/bookinfo/platform/kube/bookinfo.yaml

kubectl apply -f samples/bookinfo/networking/bookinfo-gateway.yaml

kubectl apply -f samples/bookinfo/networking/destination-rule-all.yaml

kubectl get svc istio-ingressgateway -n istio-system

EXTERNAL-IP の値が払い出されるまで 1〜2 分待ちます（EKS が NLB/ELB を作成します）。

# EXTERNAL-IP を変数に保存
export INGRESS_HOST=$(kubectl -n istio-system get service istio-ingressgateway \
  -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
echo "http://$INGRESS_HOST/productpage"

ブラウザで http://<EXTERNAL-IP>/productpage を開きます。Bookinfo の商品詳細ページが表示されます。

何度かリロードすると reviews セクションの星の表示が変わります（v1: 星なし / v2: 黒星 / v3: 赤星）。

kubectl get pods

各 Pod が 2/2（アプリコンテナ + Envoy サイドカー）になっていることを確認します。

NAME                              READY   STATUS    RESTARTS   AGE
details-v1-xxx                    2/2     Running   0          3m
productpage-v1-xxx                2/2     Running   0          3m
ratings-v1-xxx                    2/2     Running   0          3m
reviews-v1-xxx                    2/2     Running   0          3m
reviews-v2-xxx                    2/2     Running   0          3m
reviews-v3-xxx                    2/2     Running   0          3m

kubectl describe pod -l app=productpage | grep -A5 "Containers:"

istio-proxy（Envoy）コンテナが含まれていることを確認します。

# istioctl でポッドのプロキシ設定を確認
istioctl proxy-config cluster \
  $(kubectl get pod -l app=productpage -o jsonpath='{.items[0].metadata.name}') | head -20

for i in $(seq 1 30); do
  curl -s "http://$INGRESS_HOST/productpage" -o /dev/null -w "%{http_code}\n"
  sleep 1
done

istioctl proxy-status

すべての Pod の CDS・LDS・RDS・EDS が SYNCED であることを確認します。これは Istio Control Plane から Envoy への設定配布が完了していることを意味します。

istioctl authn tls-check \
  $(kubectl get pod -l app=productpage -o jsonpath='{.items[0].metadata.name}')

現在は PERMISSIVE または AUTO モードのため、mTLS と平文の両方が通過します。

kubectl apply -f - <<'EOF'
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: default
spec:
  mtls:
    mode: STRICT
EOF

istioctl authn tls-check \
  $(kubectl get pod -l app=productpage -o jsonpath='{.items[0].metadata.name}')

モードが STRICT に変わり、すべての通信が mTLS で暗号化されていることを確認します。

# サイドカーなしの Pod から平文で通信を試みる
kubectl run test-curl --image=curlimages/curl --restart=Never -- \
  curl -s http://productpage:9080/productpage
kubectl logs test-curl
# mTLS STRICT モードでは接続が拒否される

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v1
      weight: 100
EOF

ブラウザで productpage を何度リロードしても、reviews が常に v1（星なし）になります。

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v1
      weight: 80
    - destination:
        host: reviews
        subset: v3
      weight: 20
EOF

productpage を 10 回リロードすると、約 2 回（20%）が v3（赤星）になります。

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v3
      weight: 100
EOF

ratings サービスへのリクエストの 50% に 7 秒の遅延を注入します。

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: ratings
spec:
  hosts:
  - ratings
  http:
  - fault:
      delay:
        percentage:
          value: 50
        fixedDelay: 7s
    route:
    - destination:
        host: ratings
        subset: v1
EOF

productpage を開くと、約 50% の確率で 7 秒後に ratings が「Ratings service is currently unavailable」と表示されます。

reviews が ratings を呼び出す際のタイムアウトを 0.5 秒に設定します（遅延 7 秒 > タイムアウト 0.5 秒なので必ずタイムアウトする）。

kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: reviews
spec:
  hosts:
  - reviews
  http:
  - route:
    - destination:
        host: reviews
        subset: v2
    timeout: 0.5s
EOF

遅延を削除し、代わりにエラーレスポンスへのリトライを設定します。

# まず遅延と timeout を削除
kubectl delete virtualservice ratings
kubectl delete virtualservice reviews

# エラー注入（HTTP 500）を 100% で設定し、3 回リトライする
kubectl apply -f - <<'EOF'
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: ratings
spec:
  hosts:
  - ratings
  http:
  - fault:
      abort:
        percentage:
          value: 100
        httpStatus: 500
    retries:
      attempts: 3
      perTryTimeout: 2s
    route:
    - destination:
        host: ratings
        subset: v1
EOF

kubectl delete virtualservice ratings
kubectl delete virtualservice reviews

istioctl dashboard kiali

ブラウザが自動で開きます（http://localhost:20001）。または別ターミナルで以下を実行します。

kubectl port-forward -n istio-system svc/kiali 20001:20001

左メニューの 「Graph」 をクリックします。

• Namespace に default を選択
• Traffic（リクエスト数/秒）・Error Rate・Response Time がグラフに表示される
• サービス間の通信経路が矢印で可視化される
• 赤い矢印 = エラーが発生しているサービス間の通信

グラフのノード（サービス）をクリックすると、右パネルにそのサービスの詳細メトリクス（RPS・レイテンシ・エラー率）が表示されます。

左メニューの 「Istio Config」 から VirtualService・DestinationRule などの設定の整合性（Validation）を確認できます。設定ミスがあれば赤いアイコンで警告されます。

# Grafana（Istio アドオン）
istioctl dashboard grafana

# Jaeger（Istio アドオン）
istioctl dashboard jaeger

Grafana では Istio Service Dashboard・Istio Workload Dashboard でサービスレベルのメトリクスが確認できます。

kubectl delete -f samples/bookinfo/platform/kube/bookinfo.yaml
kubectl delete -f samples/bookinfo/networking/bookinfo-gateway.yaml
kubectl delete -f samples/bookinfo/networking/destination-rule-all.yaml

kubectl delete peerauthentication default
kubectl delete virtualservice reviews ratings 2>/dev/null; true

kubectl delete -f samples/addons/kiali.yaml
kubectl delete -f samples/addons/prometheus.yaml
kubectl delete -f samples/addons/grafana.yaml
kubectl delete -f samples/addons/jaeger.yaml

istioctl uninstall --purge -y
kubectl delete namespace istio-system

kubectl label namespace default istio-injection-

kubectl delete pod test-curl --ignore-not-found

eksctl delete cluster --name mesh-handson --region ap-northeast-1

ELB の削除を含めて 10〜15 分かかります。CloudFormation コンソールでスタックが消えたことを確認してください。