Mtls это же  тлс в две стороны

Как на Яндексе серты твои окажутся?

яндекс тут как example.com
отредактировал сообщение с вопросом, теперь оно работающий пример того, что я хотел

добрый день, подскажите, как сделать чтобы ingressgateway прибиндил 443 порт как nodeport

и кто как роутит трафик вообще, когда нет внешнего load balancer, у нас просто на железках поднято через kubeadm

Нжинкс перед Кубкером и апстрим

я так и поднял haproxy пока, но как-то это костыльно выглядит и лишние операции

Если нет внешнего лб, можно юзать внутренний ( металлб)

Будет тоже без нодепорта сразу на 80 или 443

привет всем, помогите разобраться с rewrite

match:
    - headers:
        Host:
          exact: some-bucket.s3.eu-central-1.amazonaws.com
    - uri:
        regex: '(.*\.(?:js|css|ttf|woff|ico|png|jpg|jpeg|gif|svg|json))'
    rewrite:
      uri: '/app/COM/$1'
    route:
    - destination:
        host: some-bucket.s3.eu-central-1.amazonaws.com
        port:
          number: 80

как правильно подставить capturing group  в rewrite?

Всем привет, кто может поделиться своим опытом?
Как вы управляете конфигурацией меша — централизованно(отдельная репа) или децентрализовано (например для каждого микросервиса в хелм чарте манифест vs.yaml)
держите это в виде чистого манифеста или темплейтинг используете

у меня конфигов немного пока что, но складываю манифсты в отдельную репу типа istio-cfg.git
правильный ли это подход? т.е. меш должен конфигурироваться динамически или под управлением оператора через kubectl apply -f
буду признателен каким-либо рекоммендациям)

Сервисы деплоются хельмом, каждый сервис тащит свои манифесты сам

+1

Часть манифестов в репе с приложением,  типа виртуалсервиса.  Часть глобальных настроек в отдельной репе,  как например описание мультиингресов

Добрый день, возник вопрос о лучших практиках. У меня есть Prometheus и Grafana, которые были установлены отдельно и мониторят весь кластер. Есть influx как часть микроскосервисного меша с envoy sidecar, разработчики туда складывают метрики(пока нельзя перенести в пром).
В итоге получается что Prometheus подключён просто без сертификатов а influx нужно подключать с сертификатами istio. Но при подключении нельзя указать сертификаты из контейнера, только напрямую указать в конфигурации, но сертификаты валидны 3 месяца и их нужно будет руками менять. Кто-то что-то подобное делал?

Единственное что придумал запускать графану с сайдкаром, а для Prometheus делать DestinationRoute без mtls

Я чот нефига не понял)

Инфлюкс как часть меша с сайдкар

Чееего?)