新手向：使用Terraform与Helm在AWS EKS集群部署Istio的问题咨询

现有代码前置修正提示 #

• 代码中istio-egress对应的helm_release资源，name字段误写为istio-ingress，会直接和Ingress网关的release冲突并覆盖原有部署，需修正为istio-egress
• 手动创建的kubernetes_namespace资源名称为istio-namespace，但所有Istio的Helm Release均指定部署到istio-system命名空间，两者名称不匹配会导致部署找不到目标命名空间，需统一名称后再执行apply。

1. 是否需要为Istio及Helm分别配置专属服务账户 #

• Istio核心组件默认会在对应部署命名空间下创建和组件绑定的专属ServiceAccount，配套的RBAC规则已经和Istio官方权限对齐，不需要手动创建；但要注意不要把这些组件SA和集群高权限的SA复用，避免权限过度放大。
• 执行Helm部署动作的Terraform执行端，不需要和Istio组件的SA混用：如果本地跑Terraform，直接用本地kubeconfig对应的EKS访问权限即可；如果在CI/CD流水线跑Terraform，给流水线配独立的、仅具备集群部署权限的访问身份就行，不要把部署权限硬绑给Istio的组件SA。

2. 是否需要创建特定的IAM角色 #

• 基础部署Istio核心组件（istiod、南北向网关）不需要额外关联EKS IAM角色，因为Istio本身默认不需要直接调用AWS API资源。
• 只有用到Istio和AWS服务深度集成的能力时，才需要给对应组件的SA绑定IAM角色：比如用Istio网关对接AWS ALB做流量暴露、用Istio证书管理能力对接AWS KMS存储证书、给网格内业务应用做IRSA权限透传时，才需要按最小权限原则创建对应IAM角色。
• 跑Terraform/Helm的操作身份，只要具备EKS集群的kubectl部署权限即可，不需要单独建专属部署角色，除非你做严格的集群权限最小化管控。

3. 部署需要关注哪些安全校验项 #

• 校验RBAC权限最小化：确认istiod绑定的ClusterRole仅覆盖控制面必需的资源权限，不要给Istio组件绑定cluster-admin或可修改集群核心配置的权限。
• 校验命名空间标签：要给istio-system和所有要纳入网格的工作负载命名空间打上istio-injection=enabled标签，否则Sidecar自动注入会失效；同时要避免给kube-system这类敏感系统命名空间乱打注入标签，防止非预期的Sidecar注入。
• 校验网关暴露面：如果Istio Ingress网关用AWS NLB类型的Service，要确认配套的安全组规则仅开放业务需要的端口，不要把节点级别的安全组全开。
• 校验组件暴露端口：确认Istio控制面的调试接口、证书Webhook接口没有直接对外网暴露，CA根证书不要放到公网可访问的存储路径里。
• 校验Chart版本一致性：如果用本地路径的Istio Chart，要确认base、istiod、网关、附加组件的Chart版本完全匹配，不要混用不同版本的Chart，否则会出现CRD不兼容、接口调用失败的问题。

4. 如何修改Helm Chart的默认配置值（比如调整内存限制） #

• 不需要修改本地Chart的源码，直接在对应的helm_release资源块里加自定义配置参数就行。
• 比如要把istiod的内存限制从默认值调整为4000Mi，直接在资源块里加set参数即可：

  resource "helm_release" "istiod" {
    name       = "istiod"
    chart      = "./manifests/charts/istio-control/istio-discovery"
    namespace  = "istio-system"
  
    # 对应Chart中resources.limits.memory的配置路径
    set {
      name  = "resources.limits.memory"
      value = "4000Mi"
    }
  }
  

• 如果要批量修改多个配置项，可以把所有自定义值写到独立的yaml文件里，用values = [file("custom-istiod-values.yaml")]参数加载，避免在HCL里堆大量零散的set块。
• 修改完成后直接跑terraform apply，Terraform会自动触发Helm的滚动升级动作，把新配置同步到对应组件上。

5. 如何通过Helm Chart在Istio中启用mTLS #

• mTLS的配置是在Istiod的Chart参数里控制的，不需要额外安装独立组件。
• 开启网格自动mTLS的配置直接加到istiod的helm_release块里即可：

  set {
    name  = "meshConfig.enableAutoMtls"
    value = "true"
  }
  

• 如果要启用全局严格mTLS模式（拒绝所有纯明文入站流量），需要在配置里开启全局对等认证规则，同样通过values参数内嵌即可，不需要单独写Kubernetes资源。
• 注意：开启mTLS后需要给对应工作负载命名空间注入Sidecar，否则mTLS握手会失败；如果要给特定命名空间配置宽松模式的mTLS，也可以通过values参数配置差异化的PeerAuthentication规则，不需要修改全局配置。

6. 如何通过Helm Chart安装Kiali这类Istio附加组件 #

• Kiali是Istio官方维护的附加组件，有独立的Helm Chart路径，不需要和核心组件绑定部署。
• 新增独立的helm_release资源块即可，注意要加依赖声明，等istiod部署完成后再装Kiali，避免对接失败：

  resource "helm_release" "kiali" {
    name       = "kiali"
    chart      = "./manifests/charts/addons/kiali"
    namespace  = "istio-system"
  
    # 配置Kiali对接istiod的监控接口地址
    set {
      name  = "external_services.istio.url"
      value = "http://istiod.istio-system:15014"
    }
  
    depends_on = [helm_release.istiod]
  }
  

• 其他Istio附加组件（比如Prometheus、Grafana、Jaeger）都可以用同样的方式，单独写独立的helm_release块安装，不要把所有组件堆到同一个release里，后续升级排障会非常麻烦。

内容的提问来源于stack exchange，提问作者Sweta Sharma