阿里云服务网格 ASM

阿里云服务网格（简称ASM）是一个统一管理微服务应用流量、兼容Istio的托管式平台。通过流量控制、网格观测以及服务间通信安全等功能，服务网格ASM可以全方位地简化您的服务治理，并为运行在异构计算基础设施上的服务提供统一的管理能力，适用于Kubernetes集群、Serverless Kubernetes集群、ECS虚拟机以及自建集群。

阿里云服务网格 ASM

• 主题
  • 产品架构
    • ASM的产品架构如下图所示。
    • 在ASM中，Istio控制平面的组件全部托管，降低您使用的复杂度，您只需要专注于业务应用的开发部署。同时，保持与Istio社区的兼容，支持声明式的方式定义灵活的路由规则，支持网格内服务之间的统一流量管理。
    • 一个托管了控制平面的ASM实例可以支持来自多个Kubernetes集群的应用服务或者运行于ECI Pod上的应用服务。
  • 核心功能
    • 一致的管理方式
      • 以一致的方式来管理运行于ACK托管Kubernetes集群、专有Kubernetes集群、Serverless Kubernetes集群、混合云或多云场景下的接入集群上的应用服务，从而提供一致的可观测性和流量控制。
    • 统一的流量管理
      • 支持混合云、多云、多集群流量管理。
    • 控制平面核心组件托管化
      • 托管控制平面的核心组件，最大限度地降低用户资源开销和运维成本。
    • ASM的核心功能说明如下。
      • 功能项 说明 相关文档 网格实例的全生命周期管理 控制面托管，支持一键部署、升级、删除等管理操作，降低使用及运维门槛。 实例管理 多种基础设施应用的支持 支持ACK、ACK Serverless、边缘集群及外部注册Kubernetes集群上的应用。 多类型集群应用管理 统一的流量入口与出口网关 为网格内应用提供统一的流量入口和出口，实现端到端安全加密和流量控制。 ASM网关概述 多种类型的流量管理 支持多协议流量管理、全链路灰度、熔断 、本地限流、慢启动预热及流量回退等能力。 流量管理 无侵入的零信任安全体系 提供开箱即用、动态可配的零信任安全方案，包括身份认证、安全证书、策略执行及可视化分析。 零信任安全概述 面向自定义逻辑的可扩展性 插件市场内置多种开箱即用的扩展插件，同时支持自定义EnvoyFilter。 插件中心 完善的生态集成 支持常见的GitOps工具，支持对Knative、KServe等Serverless及AI服务的支持。 生态集成
  • 版本介绍
    • ASM按照不同的功能及支撑能力划分为标准版、企业版和旗舰版。商业版在标准版的基础上，增强了多协议支持以及动态扩展能力，提供精细化服务治理，完善零信任安全体系，并持续提升性能及大规模集群支持能力，降低在生产环境落地
    • 服务网格 的门槛，适用于有多语言互通、服务精细治理需求、在生产环境大规模使用 服务网格 的场景。
      • 版本 说明 免费版 标准版 面向功能测试体验，支持50以内Pod数规模，无企业级增强能力，不推荐生产使用。 商业版 企业版 面向中小规模生产，支持1000以内Pod数规模，具备企业级增强能力，有SLA保障。 旗舰版 面向大规模生产，支持10000以内Pod数规模，具备企业级增强能力，有SLA保障。
• 产品优势
  • 使用便捷
    • 通过控制台一键创建
    • 通过控制台一键升级
    • 通过控制台灵活定义 Istio 虚拟服务、目标规则和入口网关资源等
  • 功能强大
    • 功能 说明 完全托管 一键安装部署升级 控制平面组件托管 只需专注于业务应用开发 兼容 Istio 社区规范 流量路由 自定义流量路由规则 跨多个 Kubernetes 集群 精细化流量管理 开箱即用混沌工程能力 安全功能 一键启用或禁用 mTLS 以渐进方式逐步实现 mTLS 简单易用的 RBAC 功能 易于第三方系统对接 监控诊断 提供网格诊断能力 集成托管式跟踪、监控和日志服务 实现端到端的可见性 生态系统对接 高稳定性 专门的团队保障托管服务的稳定性 高可用性 控制平面分规格，提供不同 SLA 的产品版本面向不同业务需求的客户 支持多可用区 技术支持 控制平面核心组件托管化，最大限度地降低运维复杂性 提供工单技术支持
• 主题
  • 流量管理
    • 通过ASM，可以轻松实现基于配置的流量管理：
      • 将流量管理与基础设施管理分隔开来，并提供了许多独立于应用代码之外的流量管理功能，在部署规模逐步扩大的过程中帮助简化流量管理。
      • 服务网格 的服务发现、流量路由和负载均衡，简化服务级属性的配置，例如超时和重试等。
  • 服务安全
    • 通过ASM，可以轻松实现服务之间的双向TLS认证：
      • 支持以渐进方式实现mTLS双向认证，可以确保服务间通信以及最终用户与服务之间通信的安全。
      • 双向TLS认证在实现过程中不需要更改服务代码，可以为每个服务提供基于角色的强大身份认证机制，以实现跨集群、跨云端的交互操作。
    • 通过ASM，可以轻松实现服务之间的授权：
      • 借助Istio授权机制，ASM确保只能从经过严格身份认证和授权的客户端访问包含敏感数据的服务。
      • 支持对网格中的服务进行基于命名空间级别、服务级别和方法级别的访问权限控制，包括使用基于角色的语义、服务到服务和最终用户到服务的授权，并在角色和角色绑定方面提供灵活的自定义属性支持。
    • 通过ASM，可以轻松实现密钥管理：
      • 基于Istio的密钥管理系统，支持自动生成、分发、轮换与撤销密钥和证书。
  • 故障恢复
    • 分布式系统存在高度复杂性，在基础设施、应用逻辑、运维流程等环节都可能存在稳定性风险导致业务系统的失效。
    • 提供了基于Istio的混沌工程能力，包括如何使用连接池配置和异常检测实现熔断能力，支持针对服务的重试和故障注入等能力。
  • 服务可观测性
    • 通过ASM，可以轻松实现服务之间的可观测性，借助强大可靠且易于使用的监控功能，快速有效地检测和修复问题。
    • 通过集成的可观测链路 OpenTelemetry 版 ，为分布式应用的开发者提供完整的调用链路还原、调用请求量统计、链路拓扑、应用依赖分析等工具，帮助开发者快速分析和诊断分布式应用架构下的性能瓶颈，提高开发诊断效率。
  • 微服务架构
    • 通过ASM，可以实现敏捷开发和部署落地，加速企业业务迭代。企业生产环境中，通过合理微服务拆分，将每个微服务应用存储在阿里云镜像仓库帮您管理。您只需迭代每个微服务应用，由阿里云提供调度、编排、部署和灰度发布能力。
      • 负载均衡和服务发现支持4层和7层的请求转发和后端绑定。
      • 丰富的调度和异常恢复策略支持服务级别的亲和性调度，支持跨可用区的高可用和灾难恢复。
      • 微服务监控和弹性伸缩支持微服务和容器级别的监控，支持微服务的自动伸缩。