如何使用Terraform在AKS生产工作负载上安装Istio？相关疑问解答

1. 该Terraform脚本是否满足AKS生产工作负载的Istio部署需求？ #

不满足，存在明显错误和生产级配置缺失：

• 命名空间配置冲突：kubernetes_namespace.istio-system的metadata.name设为istio-namespace，但后续所有Helm Release都指定部署到istio-system命名空间，会导致Helm因目标命名空间不存在而报错，需将metadata.name改为istio-system。
• Release名称重复：istio-egress的name字段错误写为istio-ingress，与前面的Ingress Gateway Release重名，会触发Terraform资源冲突。
• 生产核心配置缺失：
  • 未设置资源请求/限制：生产环境必须为istiod、网关组件配置CPU和内存的request/limit，防止集群资源被耗尽。
  • 未启用强制mTLS：AKS生产集群应强制服务间加密通信，需在istiod的values中配置global.mtls.enabled=true。
  • 缺失依赖声明：istiod依赖istio-base完成CRD安装，网关依赖istiod同步配置，脚本未添加depends_on，可能因并行部署导致资源创建失败。
  • 未适配AKS RBAC细节：虽然Istio Chart默认生成RBAC资源，但生产环境需根据实际权限范围调整，比如限制istiod对特定命名空间的访问。
  • 无遥测组件集成：生产环境需要监控（Prometheus、Grafana）、链路追踪（Jaeger）等组件，当前脚本未包含相关部署。
  • 未锁定Chart版本：本地Chart未指定版本，后续执行Terraform时可能因版本变更导致部署不一致。

2. 是否需要在执行代码的机器上下载相关Helm Chart？ #

需要。脚本中所有helm_release的chart字段使用本地路径（如./manifests/charts/base），Terraform会直接读取本地文件系统中的Chart目录，因此必须确保执行机器上存在这些文件。

3. 如何获取所需的Helm Chart？ #

有两种常用方式：

• 通过Helm仓库拉取：
  先添加Istio官方仓库，再拉取对应Chart到指定本地目录：

  # 添加Istio仓库并更新
  helm repo add istio https://istio-release.storage.googleapis.com/charts
  helm repo update
  # 拉取istio-base到指定目录
  helm pull istio/base --untar --untardir ./manifests/charts
  # 拉取istiod
  helm pull istio/istiod --untar --untardir ./manifests/charts/istio-control
  # 拉取网关Chart（Ingress和Egress共用同一个Chart）
  helm pull istio/gateway --untar --untardir ./manifests/charts/gateways
  

• 下载Istio安装包解压：
  下载对应版本的Istio安装压缩包，解压后manifests/charts目录下包含所有所需Chart文件，直接将该目录复制到Terraform工作目录即可。

内容的提问来源于stack exchange，提问作者One Developer