我们在集群中设置并运行了 Istio，默认情况下启用自动注入，并在少数命名空间中启用。现在我们想对其他一些命名空间中的某些 pod 进行自动注入，但遇到了一个问题，即如果没有为整个命名空间启用指定的 pod，似乎不可能对指定的 pod 进行自动注入。我们使用 Argo 工作流自动创建 Pod，因此我们在 Argo 工作流中指定sidecar.istio.io/inject: "true"，以便生成的 Pod 在其元数据中带有以下注释：
...
metadata:
annotations:
sidecar.istio.io/inject: "true"
...
不幸的是，Istio 仍然不会注入 sidecar，除非命名空间将istio-injection标签明确设置为enabled，将 sidecar 添加到在那里运行的所有 pod。
我们也不能使用手动注入，因为 Pod 是由 Argo 服务自动创建的，我们希望根据工作流定义仅将 sidecar 注入到特定的 pod。
那么有什么可能的方法可以克服这个问题吗？谢谢！
完整的Argo工作流程：
apiVersion: argoproj.io/v1alpha1
kind: Workflow
metadata:
generateName: presto-sql-pipeline-
annotations: {pipelines.kubeflow.org/kfp_sdk_version: 0.5.1, pipelines.kubeflow.org/pipeline_compilation_time: '2020-05-16T16:07:29.173967',
pipelines.kubeflow.org/pipeline_spec: '{"description": "Simple demo of Presto
SQL operator PrestoSQLOp", "name": "Presto SQL Pipeline"}'}
labels: {pipelines.kubeflow.org/kfp_sdk_version: 0.5.1}
spec:
entrypoint: presto-sql-pipeline
templates:
- name: presto-demo
container:
args:
- --source-name
- '{{workflow.namespace}}.{{workflow.name}}.presto-demo'
- --query-sql
- "SELECT 1;"
image: gcr.io/our-data-warehouse/presto-cli:latest
volumeMounts:
- {mountPath: /mnt/secrets, name: presto-local-vol}
metadata:
annotations:
sidecar.istio.io/inject: "true"
labels: {pipelines.kubeflow.org/pipeline-sdk-type: kfp}
volumes:
- name: presto-local-vol
secret: {secretName: presto-local}
- name: presto-sql-pipeline
dag:
tasks:
- {name: presto-demo, template: presto-demo}
arguments:
parameters: []
serviceAccountName: argo
我有一个类似的要求 - Istio 应该仅在 pod 指定时才注入代理，并忽略所有其他 pod 的自动注入。 该解决方案在 Istio 的官方文档中没有提及，但可以这样做。
如这个用户定义的自定义矩阵所示，当满足以下条件时，我们可以让 Istio 遵循此行为：
- 命名空间具有标签
istio-injection=enabled - Istio 全局代理自动注入策略被禁用(对于 helm 图表值：
global.proxy.autoInject，如此处给出(。 - 需要代理的 pod 具有注释
sidecar.istio.io/inject: "true"。
所有其他 Pod 将没有 Istio 代理。