Istio 1.31 bringt Agentgateway Waypoints und löst sich von Google Cloud
Die neue Istio-Version führt agentgateway Waypoints im ambient mode ein, ein Canary-Konfigurationsfix folgt in 1.31.1. Images und Helm Charts erscheinen nicht mehr über Google Cloud, Teams müssen Repositories migrieren und Signing-Keys aktualisieren.
Dieselbe Version stellt die Veroeffentlichung von Container-Images und Helm-Charts auf Google Cloud ein. Teams, die weiterhin gcr.io/istio-release, registry.istio.io oder das von Google gehostete Helm-Repository nutzen, sollten migrieren, bevor der naechste geplante Ausfalltest am 13. Oktober stattfindet, vorausgehend auf ihre Abschaltung im Dezember. Istio 1.31.0 wird auf Kubernetes 1.32 bis 1.36 unterstuetzt.
Die Waypoint-Unterstuetzung baut auf der experimentellen, nur fuer Gateways verfuegbaren Integration auf, die in 1.30 hinzugefuegt wurde. Agentgateway ist eine in Rust geschriebene Datenebene, die fuer Agent-Traffic entwickelt und von Solo.io an die Linux Foundation uebergeben wurde, und sie verarbeitet Protokolle wie das Model Context Protocol neben gewoehnlichem HTTP. Istio 1.31 behebt ausserdem die ListenerSet-Behandlung sowie die mTLS-Konnektivitaet fuer agentgateway-Backends. Traffic Shifting zwischen Waypoints ist als Alpha eingestuft, und die Maintainern warnen, dass sich Labels, Annotations und Verhalten noch aendern koennen.
Dieser Shifting-Mechanismus ist ebenfalls neu. Ein Service oder Namespace kann ueber das Label use-waypoint-canary einen Canary neben seinem primaeren Waypoint benennen und dann ueber die Annotation use-waypoint-canary-weight einen konfigurierbaren Anteil neuer Verbindungen im Mesh an den Canary senden, ohne dass Aenderungen auf Client-Seite noetig sind. Bestehende Verbindungen werden nicht verschoben, sodass langlebige Verbindungen den beobachteten Traffic-Split verzoegern koennen.
Istio 1.31.1, veroeffentlicht am 21. September, behebt ein Problem, bei dem agentgateway-Waypoints, die nur als Canary referenziert wurden, nicht mit den Routen und Policies der sie referenzierenden Services programmiert wurden, wodurch verschobene Verbindungen abgelehnt wurden. Der Patch enthaelt ausserdem Sicherheitskorrekturen und behebt die ALLOW_ANY_DYNAMIC_DNS-Weiterleitung in reinen IPv6-Clustern.
Zwei Ergaenzungen im Traffic Management stechen bei grossen Meshes hervor. Ein neues Feld zoneAwareLbSetting auf DestinationRule und MeshConfig erlaubt Envoy, zu Endpunkten in der eigenen Availability Zone des Downstream-Proxys zu routen und erst bei Erschoepfung der lokalen Kapazitaet ueberzulaufen, was Envoy automatisch entscheidet, anstatt wie bei localityLbSetting statische Prozentwerte zu erfordern. Der Outbound-Modus ALLOW_ANY_DYNAMIC_DNS loest Hostnamen zur Laufzeit aus dem HTTP-Host-Header auf, sodass kein ServiceEntry fuer jedes externe Ziel mehr geschrieben werden muss.
Im Bereich Sicherheit beschraenkt ein fips-140-3-Wert fuer die Umgebungsvariable COMPLIANCE_POLICY TLS auf Version 1.2 oder neuer, FIPS-konforme Cipher-Suiten sowie die Kurven P-256 und P-384. Die Release Notes geben an, dass Go-Komponenten mit Go 1.24 oder neuer unter Verwendung von GOFIPS140=v1.0.0 oder einer spaeter validierten Version gebaut werden muessen; das alleinige Setzen der Runtime-Policy ist nicht ausreichend. Neue Felder trustDomains und notTrustDomains auf AuthorizationPolicy gleichen Anfragen anhand der aus dem Peer-Zertifikat stammenden Trust Domain ab oder schliessen sie aus.
Die Aenderung des Hostings erfordert ein Handeln von Teams, die die bestehenden Repositories nutzen. Steven Jin von Microsoft und Keith Mattix von Solo.io schrieben am 21. August im Istio-Blog: "dieses Jahr migriert Istio unsere gesamte Infrastruktur von der Google Cloud Platform zu Amazon Web Services aufgrund von Aenderungen in unserem Finanzierungsmodell". Der naechste geplante Scream Test wird die alten Endpunkte am 13. Oktober von 15:00 bis 18:00 UTC deaktivieren; der finale Test laeuft vom 8. Dezember 15:00 UTC bis zum 9. Dezember 15:00 UTC.
Teams, die Image-Signaturen verifizieren, muessen ausserdem den Schluesselwechsel beruecksichtigen: Die Migrationsanleitung fuehrt istio-key.pub fuer 1.31.0 und istio-key-v2.pub ab 1.31.1 auf. Auf die Frage im Tracking-GitHub-Issue, warum das Projekt Docker Hub statt GHCR gewaehlt hat, antwortete Jin, "GHCR hat einige undokumentierte Limits", und fuegte hinzu: "Ich glaube, wir wuerden diese bei unserer aktuellen Nutzung leicht ueberschreiten".
PostgreSQL fuer Time-Series in grossem Massstab Verarbeiten Sie riesige Time-Series-Datenmengen mit PostgreSQL, ohne Performance einzubuessen. Erfahren Sie, wie Tiger Data leistungsfaehiges Ingest, schnelle Abfragen und skalierbaren Speicher liefert. Mehr erfahren.
Ein Rueckblick auf die Inhalte der letzten Woche auf InfoQ, verschickt jeden Dienstag. Werden Sie Teil einer Community von ueber 250.000 Senior-Entwicklern. Beispiel ansehen.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
The same release stops publishing container images and Helm charts to Google Cloud. Teams still using gcr.io/istio-release, registry.istio.io, or the Google-hosted Helm repository should migrate before the next scheduled outage test on 13 October, ahead of their retirement in December. Istio 1.31.0 is supported on Kubernetes 1.32 to 1.36.
The waypoint support builds on the experimental gateway-only integration added in 1.30. Agentgateway is a Rust data plane built for agent traffic, donated by Solo.io to the Linux Foundation, and it handles protocols such as the Model Context Protocol alongside ordinary HTTP. Istio 1.31 also fixes ListenerSet handling and mTLS connectivity for agentgateway backends. Traffic shifting between waypoints is alpha, and the maintainers warn that the labels, annotations, and behaviour may change.
That shifting mechanism is new too. A service or namespace can name a canary alongside its primary waypoint through the use-waypoint-canary label, then send a configurable share of new in-mesh connections to the canary using the use-waypoint-canary-weight annotation, with no client-side changes. Established connections are not moved, so long-lived connections can delay the observed traffic split.
Istio 1.31.1, released on 21 September, fixes an issue where agentgateway waypoints referenced only as canaries were not programmed with the routes and policies of the services referencing them, causing shifted connections to be rejected. The patch also includes security fixes and corrects ALLOW_ANY_DYNAMIC_DNS forwarding in IPv6-only clusters.
Two traffic management additions stand out for large meshes. A new zoneAwareLbSetting field on DestinationRule and MeshConfig lets Envoy route to endpoints in the downstream proxy's own availability zone and spill over only when local capacity runs out, which Envoy decides automatically rather than through the static percentages localityLbSetting requires. The ALLOW_ANY_DYNAMIC_DNS outbound mode resolves hostnames from the HTTP Host header at request time, removing the need to write a ServiceEntry for every external destination.
On security, a fips-140-3 value for the COMPLIANCE_POLICY environment variable restricts TLS to version 1.2 or later, FIPS-compliant cypher suites and P-256 and P-384 curves. The change notes specify that Go components must be built with Go 1.24 or later using GOFIPS140=v1.0.0 or a later validated version; setting the runtime policy alone is insufficient. New trustDomains and notTrustDomains fields on AuthorizationPolicy match or exclude requests by the trust domain taken from the peer certificate.
The hosting change requires action from teams using the existing repositories. Writing on the Istio blog on 21 August, Steven Jin of Microsoft and Keith Mattix of Solo.io said "this year, Istio is migrating all of our infrastructure from Google Cloud Platform to Amazon Web Services due to changes in our funding model". The next scheduled scream test will disable the old endpoints on 13 October from 15:00 to 18:00 UTC; the final test runs from 8 December at 15:00 UTC to 9 December at 15:00 UTC.
Teams verifying image signatures also need to account for key rotation: the migration guidance lists istio-key.pub for 1.31.0 and istio-key-v2.pub for 1.31.1 onwards. Asked on the tracking GitHub issue why the project chose Docker Hub over GHCR, Jin replied that "GHCR has some undocumented limits" and added, "I think we would easily blow past those given our current usage".
PostgreSQL Built for Time-Series Scale Handle massive time-series data with PostgreSQL, without sacrificing performance. Discover how Tiger Data delivers high-speed ingest, fast queries, and scalable storage. Learn More.