Istio 限制对谷歌云资源的访问

Question

我有一个运行 Google Container Engine(Kubernetes) 的服务。它可以访问 Google Cloud Storage 并且工作正常。

在同一个 Kubernetes 集群上，我在 https://istio.io/v-0.1/docs/tasks/installing-istio.html 之后安装了 Istio 0.1

我通过 kube-inject 部署我的服务 kubectl create -f <(istioctl kube-inject -f myservice.yaml) 但现在我的服务无法再访问 Google Cloud Storage。我收到以下错误消息：

java.lang.IllegalArgumentException: A project ID is required for this service but could not be determined from the builder or the environment. Please set a project ID using the builder.

在我看来，kube-inject 和 sidecar 似乎有所作为，因此我的服务无法访问有关我正在运行的谷歌云项目的信息。据我所知，sidecar 是唯一的区别。

在没有 kube-inject 的情况下部署时服务仍然有效。

什么会导致这种效果？

Answer 1

您可能希望按照Enabling Egress Traffic 中的说明配置对外部服务的访问：作为 Kubernetes 外部服务或使用istioctl --includeIPRanges 以排除外部流量受 Istio 控制。