Istio est un service mesh qui ajoute gestion du trafic, sécurité et observabilité à un réseau de microservices — sans nécessiter de modification du code applicatif. Il fonctionne en injectant de façon transparente un proxy (Envoy) à côté de chaque workload et en gérant cette flotte de proxies depuis un plan de contrôle central.

Comment ça fonctionne

Le plan de contrôle d’Istio, istiod, configure un proxy Envoy sidecar injecté à côté de chaque conteneur applicatif. Tout le trafic entre les services transite par ces sidecars, ce qui permet à Istio d’imposer le TLS mutuel, d’appliquer des retries et des timeouts, de répartir le trafic entre versions pour des releases canary, et de collecter des métriques et des traces uniformes — le tout par la configuration, sans aucun changement au niveau applicatif.

Concepts clés

• Sidecar proxy — l’instance Envoy injectée à côté de chaque Pod de workload, qui intercepte et gère tout son trafic entrant et sortant.
• VirtualService — définit les règles de routage du trafic vers un service : répartitions par version, retries, timeouts et injection de fautes.
• DestinationRule — définit les politiques appliquées après le routage, comme la stratégie de répartition de charge et les paramètres de TLS mutuel, pour les sous-ensembles (subsets) d’un service donné.
• Gateway — configure un répartiteur de charge à la périphérie du mesh pour le trafic entrant (ingress) ou sortant (egress).

Pourquoi les équipes adoptent Istio

• mTLS sans modification de code. Le trafic de service à service peut être chiffré et authentifié à l’échelle du mesh par la seule configuration.
• Contrôle fin du trafic. Les releases canary, les tests A/B et l’injection de fautes sont des règles de routage déclaratives, pas de la logique applicative.
• Observabilité uniforme. Chaque service obtient des métriques, des logs et des traces distribuées cohérents, même ceux que vous n’avez pas instrumentés vous-même.
• Application des politiques. L’autorisation, la limitation de débit et les retries sont appliqués de façon cohérente à tous les services du mesh.

Pour commencer

Installez Istio dans un cluster, étiquetez les namespaces que vous voulez intégrer au mesh pour l’injection automatique de sidecars, et déployez vos workloads comme d’habitude — les proxies s’attachent automatiquement. Les guides ci-dessous couvrent l’activation du mesh, la répartition du trafic et la sécurisation des communications de service à service.