Istio ServiceEntry是否支持根据发起请求的Pod标签路由至不同主机

核心结论 #

• 单独使用ServiceEntry无法实现按请求发起方路由的能力：ServiceEntry的核心作用是将外部服务注册到Istio服务网格的服务注册中心，本身不支持流量筛选逻辑，也没有WorkloadSelector配置项。
• 你提到的Sidecar资源的WorkloadSelector可以实现该需求，也可以结合VirtualService的源标签匹配能力实现，两种方案如下：

方案1：基于Sidecar资源实现访问限制（仅允许Pod访问指定外部资源） #

如果你的需求是限制podA仅能访问externalResourceA、podB仅能访问externalResourceB，用该方案即可。

1. 先给两个Pod分别打上唯一标识标签，例如给podA打app: workload-a，给podB打app: workload-b。
2. 分别创建两个Sidecar资源，通过WorkloadSelector绑定到对应Pod：

给podA的Sidecar配置示例：

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: sidecar-poda
  namespace: default # 替换为你的Pod所在命名空间
spec:
  workloadSelector:
    labels:
      app: workload-a
  egress:
  - hosts:
    - "externalResourceA" # 仅允许访问你预先定义的外部资源A

给podB的Sidecar配置示例：

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: sidecar-podb
  namespace: default # 替换为你的Pod所在命名空间
spec:
  workloadSelector:
    labels:
      app: workload-b
  egress:
  - hosts:
    - "externalResourceB" # 仅允许访问你预先定义的外部资源B

方案2：基于VirtualService实现同域名按发起方路由 #

如果你的需求是两个Pod请求同一个域名时，分别转发到不同的外部资源，用该方案即可。
在已完成两个外部资源的ServiceEntry定义后，创建如下VirtualService：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: external-route
  namespace: default
spec:
  hosts:
  - "your-common-request-host.com" # 替换为两个Pod实际请求的公共域名
  http:
  - match:
    - sourceLabels:
        app: workload-a
    route:
    - destination:
        host: externalResourceA
  - match:
    - sourceLabels:
        app: workload-b
    route:
    - destination:
        host: externalResourceB

内容的提问来源于stack exchange，提问作者Ming Zhu