istio sidecar 注入規則
前言
因為drone 的 kubernetes Runner的關係，
導致我有一個ns要預設取消istio inject，
但某些特定的pod要注入就失敗了。
正文
先來看一張官方做的表(1)，
其實就很好解釋為什麼不會注入了。
| namespaceSelector match | default policy | Pod override annotation sidecar.istio.io/inject | Sidecar injected? |
|---|---|---|---|
| yes | enabled | true (default) | yes |
| yes | enabled | false | no |
| yes | disabled | true | yes |
| yes | disabled | false (default) | no |
| no | enabled | true (default) | no |
| no | enabled | false | no |
| no | disabled | true | no |
| no | disabled | false (default) | no |
各欄位解釋，
- namespaceSelector match：各namespace的 istio-inject是 enable或 disable
- default policy： 這個預設都是enable，要查看使用command或到configmap查看 istio-sidecar-injector
kubectl -n istio-system get configmap istio-sidecar-injector -o jsonpath='{.data.config}' | grep policy:
- Pod override annotation ： 直接指定pod會不會注入的 annotation
- Sidecar injected ：結果
結論，
namespace只要是 disabled的，通通不會inject sidecar
ref.
1. Automatic Sidecar Injection
2. Sidecar 自動注入問題
3. 關於Istio Automatic Sidecar Injection那檔事