使用Helm依赖图表单包安装Istio组件，如何控制安装顺序？

Helm 默认不支持显式控制依赖图表的安装顺序，所有依赖会被并行调度安装，这也是你遇到网关因istiod未就绪而安装失败的原因。针对这类强依赖场景，有以下几种可行的解决办法：

1. 拆分安装步骤，手动控制顺序 #

直接将三个组件拆分为独立的Helm安装命令，按依赖顺序执行：

• 先安装基础组件：

  helm install istio-base base/ --namespace istio-system --create-namespace
  

• 再安装istiod，等待其就绪后安装网关：

  helm install istiod istiod/ --namespace istio-system
  # 可选：等待istiod就绪
  kubectl wait deployment/istiod --for=condition=available --timeout=300s -n istio-system
  helm install gateway gateway/ --namespace istio-system
  

这种方式最直接，也符合Istio官方推荐的安装流程。

2. 为网关添加预安装钩子，检查istiod就绪状态 #

在gateway的Chart中添加一个pre-install钩子，通过Job检查istiod的核心资源（比如Deployment）是否就绪，只有检查通过后才继续安装网关资源。

在gateway的templates目录下新建wait-for-istiod-hook.yaml，内容如下：

apiVersion: batch/v1
kind: Job
metadata:
  name: wait-for-istiod
  annotations:
    "helm.sh/hook": pre-install
    "helm.sh/hook-weight": "1"
    "helm.sh/hook-delete-policy": hook-succeeded
spec:
  template:
    spec:
      serviceAccountName: {{ .Values.serviceAccount.name | default "default" }}
      containers:
      - name: wait-for-istiod
        image: bitnami/kubectl:latest
        command:
        - sh
        - -c
        - |
          until kubectl wait deployment/istiod --for=condition=available --timeout=300s -n {{ .Release.Namespace }}; do
            echo "Waiting for istiod deployment to be ready..."
            sleep 5
          done
      restartPolicy: OnFailure

• helm.sh/hook: pre-install 标记该Job为预安装钩子，会在网关的主资源安装前执行
• helm.sh/hook-weight 确保钩子的执行优先级高于主资源
• 钩子会持续检查istiod的Deployment是否处于可用状态，超时时间可根据实际情况调整

3. 调整依赖结构（可选） #

如果一定要用单包安装，可以将istiod设为gateway的依赖，同时在istiod的Chart中添加对base的依赖，但这依然无法解决并行安装的问题，最终还是需要结合钩子来做就绪检查，因此不如直接拆分安装步骤高效。

内容的提问来源于stack exchange，提问作者Karthiknathan.C