Istio Sidecar文档描述与集群实际行为不符问题咨询

文档规则与预期 #

• 带workloadSelector的Sidecar配置，优先级高于无选择器的命名空间默认Sidecar
• Sidecar未指定egress字段时，应继承命名空间或全局默认Sidecar的系统检测默认值

实际部署配置 #

在default命名空间的Bookinfo示例中，部署了两个Sidecar：

1. 无选择器的命名空间默认Sidecar，通过egress限制出站连接：

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: default-sidecar
  namespace: default
spec:
  egress:
    - hosts:
      - "./details.default.svc.cluster.local"
      - "./ratings.default.svc.cluster.local"

2. 带workloadSelector的Sidecar，匹配ratings应用，仅配置了ingress字段，未设置egress：

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: ratings-selected
  namespace: default
spec:
  workloadSelector:
    labels:
      app: ratings
  ingress:
  - port:
      number: 9080
      protocol: TCP
      name: somename
    defaultEndpoint: unix:///var/run/someuds.sock

问题现象 #

按文档预期，ratings应用应仅能访问details和ratings服务，但实际该应用可访问网格内所有服务（包括productpage和reviews），带选择器的Sidecar似乎覆盖了默认Sidecar的egress限制。

原因解释 #

核心误区在于对“继承命名空间或全局默认Sidecar的系统检测默认值”的理解：

• 当为工作负载指定了专属Sidecar配置（带workloadSelector）时，如果该配置未定义egress字段，它不会继承同命名空间中你自定义的无选择器Sidecar的egress规则，而是回退到Istio的原生默认行为——允许访问所有网格内的服务。
• 文档中提到的“系统检测默认值”，指的是Istio内置的默认出站规则，而非用户自定义的命名空间默认Sidecar配置。只有当工作负载没有匹配到任何专属Sidecar，且没有命名空间/全局级Sidecar配置时，才会使用系统默认；但一旦有专属Sidecar存在，即使它未设置egress，也不会继承其他自定义Sidecar的限制，而是直接使用Istio原生默认的全量访问规则。

内容的提问来源于stack exchange，提问作者Sh.F