‏ترکیب EKS Auto Mode و Istio Ambient Mesh

تو این مقالهٔ AWS اومده که وقتی معماریِ میکروسرویس از چندتا سرویس به صدها سرویس می‌رسه، دو تا دردسر بزرگ می‌شه: هم نگه‌داشتنِ زیرساختِ محاسباتی و هم امن‌کردنِ ارتباطِ سرویس‌به‌سرویس. راه‌حلی که پیشنهاد می‌شه ترکیبِ Amazon EKS Auto Mode با Istio Ambient Mesh هست؛ یکی لایهٔ محاسبات رو خودکار می‌کنه و اون‌یکی امنیتِ شبکه رو.

EKS Auto Mode مدیریتِ AWS رو از کنترل‌پلین فراتر می‌بره و خودِ نودها رو هم دربرمی‌گیره: provision، مقیاس‌گذاری، وصله‌کردن و آپدیتِ نودها خودکار می‌شه. نودها روی یه سیستم‌عاملِ کمینه و immutable به‌اسم Bottlerocket اجرا می‌شن، کامپوننت‌هایی مثل VPC CNI و CoreDNS رو AWS مدیریت می‌کنه، و یه نسخهٔ اختصاصی از Karpenter نودهای درست‌اندازه رو تأمین و مصرف رو بهینه می‌کنه.

Istio Ambient Mesh هم سرویس‌مش رو بدونِ sidecar پیاده می‌کنه؛ یعنی امنیت و سیاست‌های ترافیک رو از داخلِ هر pod بیرون می‌کشه. جزء اصلیش ztunnel هست، یه پراکسیِ هر-نود (نوشته‌شده با Rust) که تو لایهٔ L3/L4 کار می‌کنه، اتصال‌های mTLS رو ترمینیت می‌کنه و سیاست‌های authorization سطح L4 رو اعمال می‌کنه، بدون اینکه کدِ اپلیکیشن عوض شه.

برای قابلیت‌های سطح L7 مثل مسیریابیِ درخواست، retry و circuit breaking، یه waypoint proxy اختیاری اضافه می‌شه که به‌شکل یه Deployment معمولی اجرا می‌شه و قابلیتِ مقیاسِ افقی داره. ترافیک بین ztunnel و waypoint از طریق پروتکلِ HBONE تونل می‌شه تا ترافیکِ رمزشدهٔ mTLS بدون نیاز به فهمِ سمنتیکِ سرویس‌مش از زیرساختِ موجود عبور کنه.

به گفتهٔ نویسنده، اضافه‌کردنِ ورک‌لود به مش فقط با یه label (مثل istio.io/dataplane-mode=ambient) روی namespace یا pod انجام می‌شه و از اون‌جا به بعد mTLS خودکار، احرازهویت و مشاهده‌پذیریِ سطح TCP فعال می‌شه. جمع‌بندیِ مقاله اینه که این دو ابزار روی‌هم، هم بارِ عملیاتیِ لایهٔ محاسبات و هم لایهٔ شبکه رو کم می‌کنن و امنیت رو به‌شکل پیش‌فرض میارن.

نکات کلیدی:

• EKS Auto Mode چرخهٔ عمرِ نودها (provision، مقیاس، وصله) رو خودکار می‌کنه.
• Istio Ambient Mesh سرویس‌مش رو بدونِ sidecar پیاده می‌کنه.
• ztunnel در L4، mTLS و سیاست‌های authorization رو بدون تغییر کد اعمال می‌کنه.
• waypoint proxy قابلیت‌های L7 مثل مسیریابی و retry رو اضافه می‌کنه.