多团队K8s Namespaces场景下Istio Gateways配置咨询

首先明确：不需要为每个Namespace单独创建Istio Gateway。Gateway是集群级别的入口资源，负责监听外部流量并处理TLS终止，而流量的路由决策由VirtualService和DestinationRule完成，这才是实现多团队Namespace隔离的核心。

1. 配置全局共享Istio Gateway #

在istio-system这类全局管理Namespace下创建一个Gateway，统一接收dev.mydomain.com的HTTPS流量：

apiVersion: networking.istio.io/v1alpha3
kind: Gateway
metadata:
  name: dev-gateway
  namespace: istio-system
spec:
  selector:
    istio: ingressgateway # 匹配Istio默认的入口网关Pod标签
  servers:
  - port:
      number: 443
      name: https
      protocol: HTTPS
    tls:
      mode: SIMPLE
      credentialName: dev-mydomain-tls # 提前在istio-system创建好的TLS证书Secret
    hosts:
    - "dev.mydomain.com"

2. 各团队Namespace配置独立VirtualService #

每个团队在自己的Namespace下创建VirtualService，通过路径前缀匹配，将对应/APIs/teamName的流量路由到本团队的服务：

以team-a团队为例（Namespace为team-a）：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: team-a-api-vs
  namespace: team-a
spec:
  hosts:
  - "dev.mydomain.com"
  gateways:
  - istio-system/dev-gateway # 指定使用全局Gateway
  http:
  - match:
    - uri:
        prefix: "/APIs/team-a"
    route:
    - destination:
        host: team-a-api-service.team-a.svc.cluster.local # 本团队的Service全地址
        port:
          number: 80

同理，team-b和team-c团队只需复制上述配置，修改prefix路径和destination.host指向各自Namespace的服务即可。

3. 流量路由的逻辑说明 #

Istio Gateway仅负责接收和预处理流量，真正的路由规则由所有匹配hosts的VirtualService共同决定：

• 当外部流量https://dev.mydomain.com/APIs/team-a进入Gateway后，Istio会遍历所有VirtualService的match规则
• 找到匹配/APIs/team-a前缀的规则后，将流量转发到对应Namespace的服务
• 由于各团队的路径前缀唯一，不会出现路由冲突

4. 额外隔离优化建议 #

• 为每个团队Namespace配置NetworkPolicy，禁止跨Namespace的非必要访问，强化安全隔离
• 全局Gateway由运维团队统一维护，各团队仅负责自身Namespace内的VirtualService配置，实现权限解耦

内容的提问来源于stack exchange，提问作者Annio