gremlin/envoy-plugin 镜像文档

镜像概述和主要用途

gremlin/envoy-plugin是一个Envoy HTTP过滤器扩展，用于集成Gremlin Failure Flags平台与服务网格，通过网络中间件实现基于Gremlin实验的应用级故障注入和负载突变。该插件为beta版本，提供相应的安装和配置选项，可部署在服务网格的边车代理中，对入站和出站HTTP连接进行检测。

核心功能和特性

1. 应用级目标检测：对附加服务的入站和出站HTTP连接进行检测，实现精准的故障注入目标定位
2. 网络故障注入能力：基于Gremlin实验配置，注入用户定义的故障和负载突变
3. 服务网格拓扑映射：自动发现并映射服务网格中的服务依赖关系和拓扑结构

安全性

Gremlin产品设计遵循生产环境安全标准，该插件及相关组件采用故障安全机制，运行于应用和服务的关键路径之外，确保不会影响核心业务流程的稳定性。

使用场景和适用范围

适用于需要在服务网格环境中进行故障注入测试、验证应用弹性能力的场景，特别适合：

• 服务网格中的故障注入测试和混沌工程实践
• 应用级故障模拟与依赖服务弹性验证
• 服务网格拓扑结构可视化与依赖关系分析

环境要求：运行Istio 1.22（Sidecar模式）的Kubernetes集群

安装和配置指南

前提条件

• 已部署Istio 1.22（Sidecar模式）的Kubernetes集群
• Gremlin账户及团队凭证（gremlin_team_certificate、gremlin_team_id、gremlin_team_private_key）

1. 添加Gremlin代理凭证配置

创建Kubernetes Secret存储Gremlin代理凭证，供插件查询Gremlin API获取实验元数据。将占位符替换为实际环境值：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: gremlin-service-mesh-config
  namespace: <目标命名空间>
type: Opaque
stringData:
  config.yaml: |
    gremlin_team_certificate: <base64编码的团队证书>
    gremlin_team_id: <base64编码的团队ID>
    gremlin_team_private_key: <base64编码的团队私钥>

2. 配置Envoy Sidecar集成插件

需对目标PodSpec进行三项修改，将插件安装到Envoy边车中：

添加PodSpec注解

通过注解告知Istio如何查找和配置插件：

yaml
sidecar.istio.io/userVolumeMount: '[{"name":"gremlin-plugin","mountPath":"/gremlin/filter"}, {"name":"gremlin-service-mesh-config","mountPath":"/gremlin/config"}]'
sidecar.istio.io/userVolume: '[{"name":"gremlin-service-mesh-config", "secret":{"secretName":"gremlin-service-mesh-config"}}]'
sidecar.istio.io/logLevel: 'info'

添加卷配置

定义用于存储插件的卷：

yaml
volumes:
- name: gremlin-plugin
  emptyDir: { }

添加Init容器

使用gremlin/envoy-plugin镜像将插件部署到边车代理可访问路径：

yaml
initContainers:
- name: install-gremlin-plugin
  image: docker.io/gremlin/envoy-plugin:latest # 或指定版本如v0.5、envoy-1.30
  imagePullPolicy: Always
  volumeMounts:
    - name: gremlin-plugin
      mountPath: /gremlin/filter

3. 创建EnvoyFilter资源

添加EnvoyFilter配置，将插件插入HTTP过滤链。替换占位符为环境实际值：

yaml
apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: gremlin-http-filter
  namespace: <目标命名空间>
spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: ANY
        listener:
          portNumber: <服务暴露端口>
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.golang
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.golang.v3alpha.Config"
            library_id: gremlin-http-filter
            library_path: "/gremlin/filter/gremlin-http-filter.so"
            plugin_name: gremlin-http-filter
            plugin_config:
              "@type": type.googleapis.com/xds.type.v3.TypedStruct
              value:
                region: <部署区域> # 必填
                cloud: <云平台名称> # 必填
                gremlin_debug: true # 可选，默认false

验证安装

配置完成后，可在Envoy边车Pod日志中查看插件运行日志。若安装成功，目标服务将显示在Gremlin应用的Failure Flags面板中。