K8s启用Istio Sidecar注入后容器创建卡住Pod无法启动

问题表现 #

在minikube本地集群为udemy命名空间开启Istio Sidecar自动注入后，部署应用Deployment对应的Pod持续无法正常运行，事件日志显示istio-init容器启动后触发BackOff重启策略，Pod长期卡住。
复现操作：

• 执行命名空间标签打标命令开启注入：kubectl label namespace udemy istio-injection=enabled
• 执行应用部署命令：kubectl apply -f mydeployment.yaml
  对应Pod事件输出：

6s          Normal    Scheduled   pod/kiada   Successfully assigned udemy/kiada to minikube
4s          Normal    Pulled      pod/kiada   Container image "docker.io/istio/proxyv2:1.10.3" already present on machine
4s          Normal    Created     pod/kiada   Created container istio-init
4s          Normal    Started     pod/kiada   Started container istio-init
2s          Warning   BackOff     pod/kiada   Back-off restarting failed container

注：该状态下istio-init初始化容器未执行完成，业务容器与Istio Sidecar运行时容器不会被启动，是Pod卡住的直接原因。

排查步骤与解决方案 #

首先执行以下命令拉取istio-init容器的具体报错日志定位根因，不要盲目修改配置：
kubectl logs kiada -n udemy -c istio-init
结合minikube运行环境的常见问题，对应解决方案如下：

1. istio-init容器iptables配置权限不足（最高发场景）
   istio-init容器的核心逻辑是修改宿主机iptables规则实现流量拦截，需要CAP_NET_ADMIN、CAP_NET_RAW系统权限，minikube默认使用Docker/Podman驱动时经常会出现权限不足导致初始化失败。
   两种修复方式二选一即可：
   • 给Sidecar授予特权模式，重新更新Istio控制面配置：
     istioctl install --set values.global.proxy.privileged=true -y
   • 启用Istio CNI插件，替代init容器完成iptables规则配置，彻底规避权限问题：
     istioctl install --set components.cni.enabled=true -y
     配置更新完成后，重启业务Pod即可：kubectl delete pod kiada -n udemy
2. Istio控制面与注入的Sidecar版本不匹配
   日志中显示注入的Sidecar镜像版本为proxyv2:1.10.3，如果本地安装的istiod控制面版本不是1.10.x系列，会出现init容器无法和控制面通信获取配置、初始化逻辑执行失败的问题。
   执行istioctl version查看客户端、控制面版本，若版本差超过1个大版本，要么重新安装1.10.3版本的Istio控制面，要么删除命名空间的旧注入标签，重新打对应版本的注入标签即可。
3. 命名空间注入标签冲突
   如果命名空间同时存在istio-injection=enabled标签和istio.io/rev=xxx格式的金丝雀修订版本注入标签，会导致Sidecar注入逻辑冲突，init容器启动参数异常。
   执行kubectl get ns udemy --show-labels查看所有标签，删除冲突的注入类标签后保留唯一的注入配置，重启Pod即可。
4. Minikube分配资源不足
   Istio Sidecar初始化+运行需要至少0.5核CPU、512M内存的额外开销，如果minikube启动时分配的资源过低，会导致istio-init容器启动过程中被OOM杀掉触发重启。
   执行kubectl describe pod kiada -n udemy查看容器上一次退出的原因，如果显示OOMKilled，停止minikube后重新分配足够资源启动即可：
   minikube stop && minikube start --cpus 4 --memory 8192

内容的提问来源于stack exchange，提问作者user902870