サービスメッシュの使用例

約transl。：この記事の著者（Luc Perkins）は、Linkerd、SMI（Service Mesh Interface）、Kumaなどのオープンソースプロジェクトの本拠地であるCNCFの開発者擁護者です（ちなみに、Istioがこのリストにない理由も疑問に思ったことはありませんか？）。 。）。サービスメッシュの誇大宣伝をDevOpsコミュニティに理解を深めるための別の試みとして、彼はそのようなソリューションを提供する16の特徴的な機能を挙げています。サービスメッシュは、



今日のソフトウェアエンジニアリングで最もホットなトピックの1つです（そして当然のことながらそうです！）。このテクノロジーは非常に有望であり、広く採用されることを夢見ています（もちろん、それが理にかなっている場合）。しかし、それでもほとんどの人にとって謎のハローに囲まれています。また、はそれをよく知っているので、その利点とそれが正確に何であるか（あなたの謙虚な僕を含む）を定式化するのは難しいことがよくあります。この記事では、「サービスグリッド」*を使用するためのさまざまなシナリオをリストすることにより、状況を改善しようとします。



※約 transl 。：この記事のこれ以降では、これが翻訳（「サービスメッシュ」）であり、さらに新しい用語のサービスメッシュに使用されます。



しかし、最初に、いくつかコメントしたいと思います。

• , . , service mesh Twitter 2015 ( « ») Linkerd, - .
• — . , , .
• 同時に、既存のすべてのサービスメッシュ実装がこれらすべてのユースケースをサポートしているわけではありません。したがって、「サービスメッシュは...」のような私の表現は、「個別であり、おそらくすべての一般的なサービスメッシュの実装は...」と読む必要があります。
• 例の順序は重要ではありません。

短いリスト：

• サービスの発見;
• 暗号化;
• 認証と承認;
• 負荷分散;
• 回路遮断;
• 自動スケーリング;
• カナリア展開;
• 青緑色の展開。
• 健康診断;
• 負荷制限;
• トラフィックミラーリング;
• 絶縁;
• レート制限、再試行、およびタイムアウト。
• テレメトリー;
• 監査;
• 視覚化。

1.サービスディスカバリー

TL; DR：単純な名前を使用してネットワーク上の他のサービスに接続します。



例えば、 -サービスは、自動的に適切な名前を経由して互いを「発見」することができるはずservice.api.production、pets/stagingまたはcassandra。クラウド環境は回復力があり、1つの名前でサービスの複数のインスタンスを隠すことができます。このような状況では、すべてのIPアドレスをハードコーディングすることは物理的に不可能であることは明らかです。



さらに、あるサービスが別のサービスを見つけた場合、アイドル状態のインスタンスの入り口に到達することを恐れずに、このサービスにリクエストを送信できる必要があります。つまり、サービスメッシュは、すべてのサービスインスタンスの状態を監視し、ホストのリストを最新の状態に保つ必要があります。



各サービスメッシュは、サービス検出メカニズムを異なる方法で実装します。現時点で最も一般的な方法は、DNSKubernetesなどの外部プロセスに委任することです。以前、Twitterでは、この目的でFinagleネーミングシステムを使用していました。さらに、サービスメッシュテクノロジーにより、カスタムの命名メカニズムを出現させることができます（ただし、この機能を備えたSMの実装にはまだ遭遇していません）。

2.暗号化

TL; DR：サービス間の暗号化されていないトラフィックを取り除き、プロセスを自動化してスケーラブルにします。



攻撃者が内部ネットワークに侵入できないことを知っておくと便利です。ファイアウォールはこれをうまく処理します。しかし、ハッカーが中に入るとどうなりますか？彼はサービス内トラフィックでやりたいことを何でもできますか？それが起こらないことを願いましょう。このシナリオを防ぐには、サービス間のすべてのトラフィックが暗号化されるゼロトラストネットワークを実装する必要があります。最新のサービスメッシュのほとんどは、相互TLSを介してこれを実現します。（相互TLS、mTLS）。場合によっては、mTLSはクラウドとクラスター全体で機能します（惑星間通信はいつか同様の方法で配置されると思います）。



もちろん、mTLSの場合、サービスメッシュはオプションです。各サービスは独自のTLSを処理できますが、これは、証明書を生成し、サービスホスト間で配布し、ファイルからこれらの証明書をロードするコードをアプリケーションに含める方法を見つける必要があることを意味します。はい、定期的にこれらの証明書を更新することも忘れないでください。サービスグリッドは、SPIFFEなどのシステムでmTLSを自動化します。これにより、証明書の発行とローテーションのプロセスが自動化されます。

3.認証と承認

TL; DR：誰がリクエストを開始するかを決定し、リクエストがサービスに到達する前に何を許可されるかを決定します。



多くの場合、サービスは、誰が要求を行っているか（認証）を知り、この情報を使用して、サブジェクトに何を許可するか（承認）を決定します。この場合、「who」という発音は非表示にできます。

1. 他のサービス。これは「ピア認証」と呼ばれます。たとえば、サービスwebがサービスにアクセスしたいとしますdb。サービスメッシュは通常、mTLSでこれらの問題を解決します。この場合、証明書は必要な識別子として機能します。
2. -. « ». , haxor69 . , , JSON Web Tokens.
   
   
   
   . , users, , permissions .. service mesh , .

リクエストの送信者を特定したら、このサブジェクトに何を許可するかを決定する必要があります。一部のサービスメッシュでは、ベースラインポリシー（誰が何を実行できるか）をYAMLファイルまたはコマンドラインで定義できますが、他のサービスメッシュでは、Open PolicyAgentなどのフレームワークとの統合を提供します。最終的な目標は、サービスが信頼できるソースからのものであり、このアクションが許可されていることを安全に想定して、サービスがすべての要求を確実に受け入れるようにすることです。

4.負荷分散

TL; DR：特定のパターンに従ったサービスインスタンス間の負荷分散。



サービス部門内の「サービス」は、多くの場合、多くの同一のインスタンスで構成されます。たとえば、今日のサービスcacheは5つのコピーで構成されており、明日はその数が11に増える可能性があります。宛先のリクエストcacheは、特定の目標に従って配布する必要があります。たとえば、待ち時間を最小化するか、正常なインスタンスに到達する可能性を最大化します。最も一般的に使用されるラウンドロビンアルゴリズム（ラウンドロビン）ですが、他にも多くのアルゴリズムがあります。たとえば、加重（加重）要求の方法（優先ターゲットを選択できます）、環状（リング）などです。ハッシュ（アップストリームホストに一貫したハッシュを使用）または最小の要求方法（最小の要求数のインスタンスが優先されます）。



従来のロードバランサーには、HTTPキャッシングやDDoS保護などの他の機能がありますが、東西のトラフィック（つまり、データセンター内を流れるトラフィック-約Transl。）にはあまり関係ありません（サービスの一般的な使用法）メッシュ）。もちろん、負荷分散にサービスメッシュを使用する必要はありませんが、集中管理レイヤーから各サービスの分散ポリシーを定義および制御できるため、ネットワークスタックで個別のロードバランサーを開始および構成する必要がなくなります。

5.回路遮断

TL; DR：問題のあるサービスへのトラフィックを停止し、最悪のシナリオでの損傷を制御します。



何らかの理由でサービスがトラフィックを処理できない場合、サービスメッシュはこの問題を解決するためのいくつかのオプションを提供します（その他については、対応するセクションで説明します）。回線遮断は、サービスをトラフィックから切断するための最も深刻な方法です。ただし、それだけでは意味がありません。バックアップ計画が必要です。クエリを実行するサービスにバックプレッシャー（バックプレッシャー）を提供する場合があります（そのためにサービスメッシュを設定することを忘れないでください！）。または、たとえば、ページのステータスを赤で染色し、ユーザーを「落下するクジラ」（«Twitterダウンしています "）。



サービスグリッドは、単により多くを決定しないときと何次に何が起こるでしょう。この場合、「when」には、指定されたパラメーターの任意の組み合わせ（特定の期間の要求の総数、並列接続の数、保留中の要求、アクティブな再試行など）を含めることができます。



回路遮断を悪用したくないかもしれませんが、緊急事態に備えた緊急時対応計画があることを知っておくとよいでしょう。

6.自動ズーム

TL; DR：指定された基準に基づいてサービスインスタンスの数を増減します。



サービスメッシュはスケジューラではないため、独自にスケールアウトすることはありません。ただし、どのプランナーが決定を下すかに基づいて情報を提供できます。サービスメッシュはサービス間のすべてのトラフィックにアクセスできるため、問題が発生しているサービス、負荷が非常に弱いサービス（割り当てられた電力が無駄になっている）など、何が起こっているかに関する豊富な情報があります。



例えば、Kubernetesは、ポッドのCPUとメモリ使用量に応じたサービスをスケール（私たちの話「を参照してくださいKubernetesで自動スケーリングとリソース管理を」 -約TRANSLを。。）ただし、他のメトリック（この場合はトラフィックに関連する）に基づいてスケーリングする場合は、特別なメトリックが必要になります。チュートリアルこのような番組は、あなたがこれを行う方法を特使、Istio、およびプロメテウスが、プロセス自体は非常に複雑です。「auth保留中のリクエストの数が1分間のしきい値を超えた場合は、サービスインスタンスの数を増やす」などの条件を許可するだけで、サービスメッシュを単純化する必要があります。

7.カナリア展開

TL; DR：ユーザーのサブセットで新しい機能またはサービスバージョンを試してください。



SaaS製品を開発していて、そのクールな新しいバージョンを展開する予定であるとしましょう。あなたはステージングでそれをテストしました、そしてそれはうまくいきました。しかし、それでも、実際の状況での彼女の行動には一定の懸念があります。言い換えれば、ユーザーの信頼を危険にさらすことなく、実際のタスクで新しいバージョンをテストする必要があります。カナリア展開はこれに最適です。これらを使用すると、ユーザーのサブセットに新機能をデモンストレーションできます。このサブセットは、最も忠実なユーザー、製品の無料バージョンを使用するユーザー、またはギニアピッグになりたいという願望を表明したユーザーである可能性があります。



サービスメッシュは、アプリケーションのどのバージョンを誰が見るかを決定する基準を指定し、それに応じてトラフィックをルーティングできるようにすることでこれを行います。同時に、サービス自体には何の変化もありません。サービスのバージョン1.0は、すべての要求がそれを表示する必要があるユーザーからのものであると考えており、バージョン1.1はそのユーザーに対して同じことを前提としています。それまでの間、古いバージョンと新しいバージョンの間でトラフィックの割合を変更して、安定して動作し、「実験的」な方法で先に進む場合は、増え続けるユーザーを新しいバージョンにリダイレクトできます。

8.青緑色の展開

TL; DR：クールな新機能を展開しますが、すべてをすぐに元に戻す準備をしてください。青緑展開



のポイントは、古い緑のサービスと並行して実行することにより、新しい青のサービスを展開することです。すべてが順調に進み、新しいサービスがうまく機能する場合は、古いサービスを徐々にオフにすることができます。 （残念ながら、いつかこの新しい「青」サービスは「緑」サービスの運命を繰り返して消えます...）青緑展開は、新しい機能が（一部だけでなく）すべてのユーザーを一度にカバーするという点でカナリア展開とは異なります。ここでのポイントは、何か問題が発生した場合に備えて「予備の避難所」を用意することです。



サービスメッシュは、ブルーサービスをテストし、問題が発生した場合に即座にグリーンに切り替える非常に便利な方法を提供します。言うまでもなく、彼らは「青」の仕事について多くの情報を提供し（以下の「テレメトリー」の項目を参照）、彼が本格的な搾取の準備ができているかどうかを理解するのに役立ちます。



約 transl。：この記事で、さまざまなKubernetes展開戦略（前述のカナリア、青/緑などを含む）の詳細をお読みください。

9.ヘルスチェック

TL; DR：稼働しているサービスインスタンスを追跡し、稼働していないサービスインスタンスに対応します。ヘルスチェックを使用すると、サービスインスタンスがトラフィックを受信し処理する準備ができているかどうかを判断するのに役立ちます。たとえば、HTTPサービスの場合、ヘルスチェックはエンドポイントへのGETリクエストのように見える場合があります。答えは、インスタンスが正常であることを意味します。それ以外の場合は、トラフィックを受信する準備ができていません。サービスメッシュを使用すると、ヘルスをチェックする方法と、このチェックを実行する頻度の両方を指定できます。この情報は、負荷分散や回路遮断などの他の目的に使用できます。



/health200 OK



したがって、ヘルスチェックは独立した使用例ではありませんが、通常は他の目標を達成するために使用されます。また、ヘルスチェックの結果によっては、外部（サービスグリッドの他のターゲットに関連する）アクションが必要になる場合があります。たとえば、ステータスページを更新したり、GitHubで問題を作成したり、JIRAチケットに記入したりします。また、サービスメッシュは、これらすべてを自動化するための便利なメカニズムを提供します。

10.負荷制限

TL; DR：使用量の一時的な急増に応じてトラフィックをリダイレクトします。



サービスがトラフィックで過負荷になっている場合は、このトラフィックの一部を一時的に別の場所にリダイレクトできます（つまり、そこで「ダンプ」、「シェッド」します）。たとえば、バックアップサービスやデータセンター、または永続的なPulsarトピックに。その結果、サービスはクラッシュするのではなく、リクエストの一部を処理し続け、すべての処理を停止します。負荷をダンプすることは回路を壊すよりも望ましいですが、それでもそれを使いすぎることは望ましくありません。これは、ダウンストリームサービスのクラッシュを引き起こすカスケード障害を防ぐのに役立ちます。

11.トラフィックの並列化/ミラーリング

TL; DR：一度に複数の場所に1つのリクエストを送信します。



リクエスト（またはリクエストのサンプル）を一度に複数のサービスに送信する必要がある場合があります。典型的な例は、本番トラフィックの一部をステージングサービスに送信することです。メインの本番Webサーバーproducts.productionは、ダウンストリームサービスにのみ要求を送信します。そして、サービスメッシュはこの要求をインテリジェントにコピーしproducts.stagingて、Webサーバーが認識していないに送信します。



トラフィックの並列化に加えて実装できるもう1つの関連するサービスグリッドの使用例は、回帰テストです。..。これには、サービスの異なるバージョンに同じ要求を送信し、すべてのバージョンが同じように動作するかどうかを確認することが含まれます。Diffyのような統合回帰テストシステムを使用したサービスメッシュの実装にはまだ遭遇していませんが、アイデア自体は有望なようです。

12.絶縁

TL; DR：サービスメッシュをミニネットワークに分割します。セグメンテーションと



も呼ばれる分離とは、サービスグリッドを、相互に何も知らない論理的に異なるセグメントに分割する技術です。分離は、仮想プライベートネットワークの作成に少し似ています。基本的な違いは、サービスメッシュ（サービス検出など）を最大限に活用できることですが、セキュリティが強化されています。たとえば、攻撃者がいずれかのサブネット上のサービスに侵入した場合、他のサブネットで実行されているサービスを確認したり、トラフィックを傍受したりすることはできません。



さらに、メリットは組織的なものにすることができます。組織の構造に基づいてサービスをサブネット化し、サービスメッシュ全体を念頭に置くことによる認知的負担から開発者を解放することができます。

13.レート制限、再試行、およびタイムアウト

TL; DR：リクエストを管理するという差し迫ったタスクをコードベースに含める必要がなくなりました。



これらはすべて個別のユースケースと見なすことができますが、共通点が1つあるため、これらを組み合わせることにしました。通常、アプリケーションライブラリによって処理されるリクエストライフサイクル管理タスクを引き継ぐということです。gRPCを介してバックエンドサービスにリクエストを送信するRubyon Rails Webサーバー（サービスメッシュと統合されていない）を開発している場合、アプリケーションは、N個の要求が失敗した場合の処理​​を決定する必要があります。また、これらのサービスが処理できるトラフィックの量を確認し、特別なライブラリを使用してこれらのパラメータをハードコーディングする必要があります。さらに、アプリケーションは、いつあきらめて要求を（タイムアウトによって）悪くするかを決定する必要があります。また、上記のパラメータのいずれかを変更するには、Webサーバーを停止、再構成、および再起動する必要があります。



これらのタスクをサービスグリッドに転送することは、サービス開発者がそれらについて考える必要がないだけでなく、よりグローバルな方法でそれらを表示できることを意味します。A-> B-> C-> D-> Eなどの複雑なサービスチェーンを使用している場合は、リクエストのライフサイクル全体を考慮する必要があります。タスクがサービスCでタイムアウトを延長することである場合、サービスコードを更新し、プルリクエストが受け入れられ、CIシステムが更新されたサービスを展開するのを待つことにより、部分的にではなく、一度にすべてを実行するのが論理的です。

14.テレメトリー

TL; DR：サービスから必要な（完全ではない）すべての情報を収集します。



テレメトリは、メトリック、分散トレース、およびロギングを含む一般的な用語です。サービスグリッドは、3種類すべてのデータを収集および処理するためのメカニズムを提供します。利用できるオプションが非常に多いため、これは物事が少し曖昧になるところです。メトリックを収集するには、Prometheusやその他のツールがあり、ログを収集するには、fluentd、Loki、Vectorなどを使用できます（たとえば、K8用のログハウスを備えたClickHouse-約transl。）、分散トレースにはJaegerがあります等 各サービスメッシュは、一部のツールをサポートし、他のツールをサポートしない場合があります。OpenTelemetryプロジェクトがある程度の収束を提供できるかどうかを確認するのは興味深いでしょう。



この場合、サービスメッシュテクノロジーの利点は、サイドカーコンテナが、原則として、サービスから上記のすべてのデータを収集できることです。つまり、単一のテレメトリ収集システムを自由に使用でき、サービスメッシュはこのすべての情報をさまざまな方法で処理できます。例えば：

• CLIの特定のサービスからのtail 'ログ。
• サービスメッシュダッシュボードからのリクエストの量を追跡します。
• 分散トレースを収集し、Jaegerなどのシステムにリダイレクトします。

注意、主観的な判断：一般的に、テレメトリーは、強力なサービスメッシュ干渉が望ましくない領域です。基本的な情報を収集し、成功率や待ち時間などの「ゴールデンメトリック」の一部をその場で追跡することは問題ありませんが、特殊なシステムに取って代わろうとするフランケンシュタインスタックが出現しないことを期待しましょう。その一部は、すでに優れていることが証明されています。よく勉強しました。

15.監査

TL; DR：歴史の教訓を忘れた人々は、それらを繰り返す運命にあります。



監査は、システム内の重要なイベントを監視する技術です。サービスメッシュの場合、これは、特定のサービスの特定のエンドポイントに誰がリクエストを行ったか、または先月セキュリティイベントが発生した回数を追跡することを意味する場合があります。



監査が遠隔測定と非常に密接に関連していることは明らかです。違いは、テレメトリは通常、パフォーマンスや技術的な正確さなどに関連しているのに対し、監査は厳密に技術的な領域を超えた法的問題やその他の問題に関連している可能性があることです（たとえば、GDPRの要件への準拠-一般的なEU規制データ保護用）。

16.視覚化

TL; DR：長生きするReact.js-ファンシーなインターフェースの無尽蔵のソース。



もっと良い言葉があるかもしれませんが、私にはわかりません。つまり、サービスメッシュまたはそのコンポーネントの一部をグラフィカルに表現したものです。これらの視覚化には、平均待ち時間、サイドカー構成情報、ヘルスチェック結果、アラートなどのインジケーターを含めることができます。



サービス指向の環境での作業は、モノリス陛下よりもはるかに高い認知的負荷を伴います。したがって、認知的圧力はどんな犠牲を払っても減らすべきです。ボタンをクリックして目的の結果を得る機能を備えたサービスメッシュ用の角質のグラフィカルインターフェイスは、このテクノロジーの成長にとって重要な場合があります。

リストに含まれていません

私は当初、リストにさらにいくつかのユースケースを含めるつもりでしたが、そうしないことにしました。これらは、私の決定の理由とともに、次のとおりです。

• マルチデータセンター。私の意見では、これはサービスグリッドのアプリケーションの狭くて特定の領域やサービス検出のようないくつかの機能のセットほどのユースケースではありません。
• 入口と出口。これは関連する領域ですが、私は（おそらく人為的に）東西の交通シナリオに限定しました。入口と出口は別の記事に値します。

結論

それは今のところすべてです！繰り返しますが、このリストは非常に暫定的であり、おそらく不完全です。私が何かを見逃している、または何かを間違えていると思われる場合は、Twitter（@lucperkins）で私に連絡してください。品位のルールを守ってください。

翻訳者からのPS

記事のタイトルイラストの基礎として、「サービスメッシュとは何ですか（そしていつ使用するか）」という記事の画像。「（グレゴリー・マッキノンによる）。これは、アプリケーションの機能の一部（緑色）がサービスメッシュにどのように移動したかを示しています。サービスメッシュは、アプリケーション間の関係（青色）を提供します。



私たちのブログも読んでください：

• "サービスメッシュ：すべてのソフトウェアエンジニアが最もHYIPテクノロジーについて知っておくべきこと";
• 「サービスメッシュとは何ですか。なぜ[クラウドベースのマイクロサービスアプリケーションの場合]必要なのですか？";
• 「Istioのマイクロサービスに戻ります。パート1 "。