如何优雅等待Open Service Mesh识别新增命名空间？

针对用Helmfile部署OSM及应用时，需要等待OSM识别带注解的命名空间的场景，完全可以通过检查OSM处理后的资源状态来替代不可靠的Sleep，以下是几种可行方案：

方案一：等待命名空间的Sidecar注入标签生效 #

OSM在成功识别并启用目标命名空间的Sidecar注入后，会自动给该命名空间添加openservicemesh.io/sidecar-injection: enabled标签（部分旧版本可能用openservicemesh.io/injection: enabled，请根据你的OSM版本调整）。

可以直接用kubectl wait命令等待该标签出现：

kubectl wait namespace/<你的命名空间名> \
  --for=jsonpath='{.metadata.labels.openservicemesh\.io/sidecar-injection}'=enabled \
  --timeout=300s

如果超时时间不够，可以调整--timeout参数（单位支持s/m/h）。

方案二：检查Mesh资源的已监控命名空间列表 #

OSM的核心Mesh资源（默认名称为osm）会维护已纳入监控的命名空间列表，状态字段中会包含这些命名空间。可以通过等待目标命名空间出现在该列表中来确认注册完成：

kubectl wait mesh/osm \
  --for=jsonpath='{.status.namespaces}'=*<你的命名空间名>* \
  --timeout=300s

注意：不同OSM版本的Mesh资源状态结构可能略有差异，如果上述命令不生效，可以先运行kubectl get mesh osm -o yaml查看实际的状态字段路径，再调整jsonpath表达式。

方案三：验证Sidecar注入Webhook的作用范围 #

OSM的Sidecar注入依赖MutatingWebhookConfiguration，当命名空间被成功注册后，该Webhook的命名空间选择器会包含目标命名空间。可以通过检查Webhook配置来确认：

# 循环检查直到目标命名空间出现在Webhook的作用范围内
until kubectl get mutatingwebhookconfiguration osm-sidecar-injector \
  -o jsonpath='{.webhooks[0].namespaceSelector.matchExpressions[*].values}' | grep -q <你的命名空间名>; do
  echo "等待OSM注册命名空间..."
  sleep 2
done

这种方式适合需要更细粒度控制的场景，比如结合Helmfile的hooks来执行该脚本。

在Helmfile中集成的方式 #

你可以在创建命名空间的Helmfile配置中添加post-install hook，执行上述等待命令，确保后续安装应用的Helmfile只有在命名空间注册完成后才会运行。示例片段：

releases:
- name: app-namespace
  chart: ./charts/namespace
  values:
    name: my-app-ns
    annotations:
      openservicemesh.io/monitored-by: osm-system
  hooks:
  - events: ["post-install"]
    command: "/bin/sh"
    args:
    - "-c"
    - |
      kubectl wait namespace/my-app-ns --for=jsonpath='{.metadata.labels.openservicemesh\.io/sidecar-injection}'=enabled --timeout=300s

内容的提问来源于stack exchange，提问作者Tom