AKS环境下Istio Sidecar未注入问题排查求助

• 存量Pod未触发重新创建：如果测试应用的Pod是在AKS Istio插件启用前部署的，Istio不会自动给已存在的Pod注入Sidecar。需要删除Pod让控制器重建，或者执行kubectl rollout restart deployment <deployment-name>触发滚动更新。
• 资源显式禁用注入：检查应用YAML的Pod模板或Deployment层级，是否存在sidecar.istio.io/inject: "false"注解——这个配置会直接覆盖命名空间的注入开关。
• Istio注入Webhook异常：Istio依赖MutatingWebhookConfiguration实现自动注入，先确认istio-sidecar-injector配置存在且正常：执行kubectl get mutatingwebhookconfigurations；再检查Istio控制平面组件状态：kubectl get pods -n istio-system，确保istiod等Pod都处于Running状态。
• 命名空间标签生效时机问题：如果istio-injection=enabled标签是在Pod创建后才添加到命名空间的，现有Pod不会自动触发注入，同样需要重启Pod。
• Istio控制平面日志异常：查看istiod组件的日志排查注入错误：kubectl logs -n istio-system -l app=istiod，比如是否有RBAC权限不足、网络通信受阻等问题。
• Pod特殊配置阻止注入：如果Pod使用了hostNetwork、hostPID模式，或者securityContext设置了过于严格的权限，Istio默认会跳过这类Pod的Sidecar注入。

内容的提问来源于stack exchange，提问作者Y H