Curso de Istio: Gestión de Microservicios y Seguridad en Kubernetes

Revisión de requisitos previos.

Verificación de la versión de Kubernetes.

Compatibilidad entre Kubernetes e Istio.

Descarga de Istio.

Instalación de `istioctl`.

Correspondencia entre versión de `istioctl` y versión del control plane.

Perfiles de instalación.

Perfil `default`.

Perfil `minimal`.

Perfil `ambient`.

Personalización mediante `--set`.

Configuración mediante archivos.

Generación previa de manifests.

Instalación mediante `istioctl install`.

Validación automática aportada por `istioctl`.

Instalación mediante Helm.

Chart `base`.

Chart `istiod`.

Istio CNI.

Chart `ztunnel`.

Gateways gestionados mediante Helm.

Helm 3.6 o superior.

Compatibilidad actual con Helm 4.

Helm como opción recomendada para instalaciones Ambient de producción.

Instalación de Kubernetes Gateway API CRDs.

Gateway API v1.6.0 utilizada actualmente por la documentación de Istio 1.31.

Verificación de Pods y componentes instalados.

`istioctl version`.

`kubectl get pods -n istio-system`.

`istioctl verify-install`.

Inspección de CRD.

Verificación del webhook.

Diferencias de instalación entre Sidecar y Ambient.

Requisitos específicos de GKE.

Requisitos específicos de EKS.

OpenShift.

K3s.

MicroK8s.

Cilium y consideraciones de CNI.

Uso de registros privados.

Cambio de ubicación de artefactos introducido con Istio 1.31.

Docker Hub, `blob.istio.io` y `ghcr.io/istio/release/charts` como ubicaciones actuales de distribución.

In-Cluster Operator histórico eliminado del Istio actual.

Helm e `istioctl` como mecanismos soportados de instalación.

Migración de antiguos despliegues basados en In-Cluster Operator.

Sidecar Mode como modelo tradicional de Istio.

Envoy ejecutado junto a cada workload.

Inyección automática.

Mutating webhook.

Etiquetas de namespace.

Inyección manual.

Contenedor `istio-proxy`.

Redirección del tráfico.

Captura mediante iptables o mecanismos equivalentes.

Istio CNI.

Ventajas y costes operativos del Sidecar Mode.

Consumo de CPU y memoria por Pod.

Impacto sobre lifecycle de aplicaciones.

Ambient Mode como plano de datos sin sidecar por workload.

Recomendación actual de Istio de comenzar con Ambient para nuevas adopciones cuando los requisitos sean compatibles.

Istio CNI como componente de captura en Ambient.

ztunnel desplegado por nodo.

ztunnel implementado en Rust.

Funciones L3/L4 de ztunnel.

mTLS transparente.

Autenticación de workloads.

Autorización L4.

Telemetría L4.

HBONE.

Encapsulación del tráfico seguro entre componentes Ambient.

Waypoint proxies.

Envoy como base de los waypoints.

Procesamiento L7 mediante waypoint.

HTTP routing.

Retries.

Timeouts.

Circuit breaking.

Rate limiting.

Políticas de autorización L7.

Métricas HTTP.

Access logging.

Distributed tracing.

Un waypoint por workload, Service o namespace según frontera de seguridad.

Sidecar y Ambient coexistiendo dentro de la misma mesh.

Activación de Ambient mediante `istio.io/dataplane-mode=ambient`.

Creación y asociación de waypoints.

Migración gradual namespace a namespace.

Rollback de una migración Ambient.

Migración de políticas L7.

Diferencias de enforcement entre Sidecar y Ambient.

Ventana conocida sin enforcement L7 durante determinados procesos actuales de migración Sidecar → Ambient.

Criterios técnicos para decidir entre Sidecar, Ambient L4 y Ambient con waypoints.

Flujo de una petición a través de la malla.

Service discovery.

Endpoints.

Clusters de Envoy.

Listeners.

Routes.

Relación entre objetos Kubernetes e Istio.

VirtualService.

Hosts.

Gateways.

HTTP routes.

TCP routes.

TLS routes.

Routing basado en URI.

Routing basado en headers.

Routing basado en método.

Routing basado en query parameters.

Rewrites.

Redirects.

Manipulación de headers.

DestinationRule.

Subsets.

Labels.

Traffic policies.

Connection pools.

TLS settings.

Load balancing.

Outlier detection.

ServiceEntry.

Incorporación de servicios externos al registry.

WorkloadEntry.

Sidecar resource.

Restricción del ámbito de configuración visible por un proxy.

Reducción de memoria en meshes grandes.

Kubernetes Gateway API.

GatewayClass.

Gateway.

HTTPRoute.

GRPCRoute.

TCPRoute.

TLSRoute.

ReferenceGrant.

BackendTLSPolicy.

Diferencias entre `VirtualService` y `HTTPRoute`.

Diferencias entre Istio `Gateway` y Kubernetes Gateway API `Gateway`.

Gateway API como API vendor-neutral.

Intención declarada del proyecto Istio de convertir Gateway API progresivamente en API principal para gestión de tráfico.

Uso de APIs nativas de Istio cuando Gateway API todavía no cubre una funcionalidad concreta.

Validación de conflictos y precedencia entre políticas.

Diseño de configuraciones mantenibles y comprensibles.

Traffic splitting.

Weighted routing.

Canary releases.

Blue/Green.

A/B testing.

Migración progresiva entre versiones.

Enrutamiento por cabeceras.

Enrutamiento por identidad.

Traffic shifting.

TCP traffic shifting.

Traffic mirroring.

Shadow traffic.

Validación de una versión mediante tráfico duplicado.

Request timeouts.

Retry policies.

Número máximo de reintentos.

`perTryTimeout`.

Condiciones de retry.

Riesgo de retry storms.

Amplificación de tráfico causada por retries mal configurados.

Retry budgets.

`budget_interval` incorporado a la API de tráfico de Istio 1.31.

Circuit breaking.

Connection pools.

Máximo de conexiones.

Máximo de solicitudes pendientes.

Outlier detection.

Consecutive errors.

Ejection de endpoints.

Recovery.

Fault injection.

HTTP delays.

HTTP aborts.

Pruebas de resiliencia controladas.

Locality-aware load balancing.

Preferencia por región.

Zona.

Nodo.

Failover.

Distribución entre localidades.

Consistent Hash.

Session affinity.

DestinationRule HTTP/2 keepalive.

Preservación de SLO durante despliegues.

Diferencia entre rollout Kubernetes y traffic shifting Istio.

Coordinación entre Deployment, Service y configuración de mesh.

Estrategias de rollback de tráfico.

Control de blast radius.

Entrada de tráfico a la malla.

Istio Ingress Gateway.

Kubernetes Gateway API.

GatewayClass.

Provisionamiento automático de gateways.

Provisionamiento manual.

Listeners.

HTTP.

HTTPS.

TLS.

TCP.

SNI routing.

Terminación TLS.

TLS passthrough.

mTLS con clientes externos.

Gestión de certificados.

Kubernetes Secrets.

Integración con gestores de certificados.

HTTPRoute.

GRPCRoute.

TCPRoute.

TLSRoute.

Delegación de rutas entre equipos.

Namespaces.

ReferenceGrant.

Control de acceso a backends.

BackendTLSPolicy.

Tráfico de salida.

Egress control.

ServiceEntry.

`REGISTRY_ONLY`.

`ALLOW_ANY`.

Riesgos de egress sin restricciones.

Egress Gateway.

Centralización de salidas.

Auditoría de destinos.

TLS origination.

Comunicación con APIs externas.

Resolución DNS.

Wildcard destinations.

Dynamic Forward Proxy.

`ALLOW_ANY_DYNAMIC_DNS` incorporado en Istio 1.31 para determinados flujos HTTP en Sidecar Mode.

Limitaciones actuales de `ALLOW_ANY_DYNAMIC_DNS`.

Separación entre control de egress en Istio y controles de firewall de red.

Ingress access control.

Protección del edge.

`ProxyConfig.connectionSettings`.

Perfil `EDGE` introducido en Istio 1.31 para gateways Envoy.

Gateway API Inference Extension para escenarios de inferencia de IA soportados por versiones actuales de Istio.

`agentgateway` como implementación emergente de gateway.

`istio-agentgateway-waypoint` incorporado en Istio 1.31.

Seguridad service-to-service.

Principio de Zero Trust.

Identidad antes que ubicación de red.

Identidad de workload.

Kubernetes ServiceAccount.

SPIFFE.

SPIFFE ID.

Trust domain.

Identidades entre namespaces.

Certificate Authority de Istio.

Funciones de CA integradas en Istiod.

Certificados X.509 de workload.

Certificados de corta duración.

Rotación automática.

Distribución segura de claves y certificados.

Secret Discovery Service.

Autenticación mutua.

TLS frente a mTLS.

Identidad del cliente.

Identidad del servidor.

Cifrado del tráfico.

PeerAuthentication.

`PERMISSIVE`.

`STRICT`.

`DISABLE` y sus limitaciones según el modo de dataplane.

Migración progresiva a STRICT mTLS.

Verificación mediante `istioctl`.

Detección de conexiones plaintext.

DestinationRule y configuración TLS del cliente.

Auto mTLS.

Certificados para ingress.

Client certificates.

Trust bundles.

Integración con una CA corporativa.

Plug-in CA certificates.

Trust domain aliases.

Migración de trust domains.

Trust domain como criterio de autorización.

Campos `trustDomains` y `notTrustDomains` incorporados a AuthorizationPolicy en Istio 1.31.

TLS 1.2 como mínimo configurado por la seguridad de Istio en su configuración actual.

Política de cumplimiento FIPS 140-3 incorporada en Istio 1.31.

`COMPLIANCE_POLICY=fips-140-3`.

Requisitos de build asociados a la política FIPS 140-3.

Expiración de certificados.

Clock skew.

Diagnóstico de fallos de handshake.

Diseño de una mesh con autenticación mutua obligatoria.

Diferencia entre autenticación de workload y autenticación de usuario final.

RequestAuthentication.

Validación de JWT.

Issuer.

JWKS.

Audience.

Claims.

Expiración.

Tokens inválidos.

Comportamiento ante solicitudes sin token.

Necesidad de combinar RequestAuthentication con AuthorizationPolicy cuando el JWT debe ser obligatorio.

AuthorizationPolicy.

`ALLOW`.

`DENY`.

`AUDIT`.

`CUSTOM`.

Principio deny-by-default.

Autorización por principal.

Autorización por namespace.

Autorización por ServiceAccount.

Autorización por IP.

Autorización por puerto.

Autorización por método HTTP.

Autorización por path.

Autorización por host.

Autorización por headers.

Autorización basada en JWT claims.

Políticas L4.

Políticas L7.

Diferencias de aplicación en Sidecar y Ambient.

`selector`.

`targetRefs`.

Targeting de Gateways.

Targeting de Services.

Targeting de waypoints.

External Authorization.

Delegación a sistemas de autorización externos.

Ext Authz.

Policy Decision Point externo.

Integración con motores corporativos de políticas.

Dry Run de AuthorizationPolicy.

Validación de una política antes de enforcement.

Evitación de policies demasiado amplias.

Orden entre DENY y ALLOW.

Protección de ingress.

Protección east-west.

Segmentación lógica de microservicios.

Diseño de políticas Zero Trust independientemente de direcciones IP de Pods.

Auditoría de accesos.

Evolución desde RBAC de aplicación hacia políticas centralizadas en la mesh.

Observabilidad frente a monitorización.

Métricas.

Logs.

Trazas.

Telemetría generada por los proxies.

RED metrics.

Requests.

Errors.

Duration.

Métricas TCP.

Métricas HTTP.

Envoy statistics.

Istiod metrics.

ztunnel metrics.

Waypoint metrics.

Prometheus.

Scraping.

Métricas de aplicaciones.

Métricas de Envoy.

Multi-target Prometheus scraping incorporado en Istio 1.31.

Endpoints de métricas protegidos mediante mTLS en Istio 1.31.

Grafana.

Dashboards.

Latencia.

Error rate.

Throughput.

Saturación.

Kiali.

Visualización del service graph.

Estado de la malla.

Validación de configuración.

Flujos entre servicios.

Integración de Kiali con métricas.

Kiali 2.26 utilizado por el addon de Istio 1.31.

Addons de ejemplo de Istio frente a instalaciones endurecidas para producción.

Jaeger.

Distributed tracing.

OpenTelemetry.

OTLP.

OpenTelemetry Collector.

Telemetry API.

Extension providers.

Sampling.

Head sampling.

Coste de trazas.

Propagación de trace context.

Responsabilidad de la aplicación de propagar determinados headers entre llamadas.

Istio puede exportar trazas a OpenTelemetry, Jaeger, Zipkin, SkyWalking y otros backends compatibles.

Access logs.

Formato de logs.

JSON logs.

Campos relevantes.

Correlation IDs.

Relación entre métricas, logs y traces.

Detección de cuellos de botella.

Detección de errores upstream.

Identificación de retries.

Identificación de circuit breaking.

Observabilidad diferenciada en Sidecar y Ambient.

Necesidad de waypoint para observabilidad HTTP L7 en Ambient.

Configuración global mediante MeshConfig.

Configuración de proxy mediante ProxyConfig.

Configuración por workload.

Configuración por namespace.

Anotaciones.

Labels.

Scope de configuración.

Sidecar CRD.

ExportTo.

Visibilidad de servicios.

`serviceEntryVisibility` incorporado en Istio 1.31.

Telemetry API.

Configuración de métricas.

Configuración de access logs.

Configuración de tracing.

Policy attachment.

Validación de targetRefs.

Rate limiting local.

Token bucket.

Rate limiting global.

Servicio externo global de rate limit.

Diferencias entre rate limiting local y global.

EnvoyFilter.

Inserción de filtros HTTP.

Configuración de filtros de red.

Riesgo de depender de internals de Envoy.

EnvoyFilter como API avanzada sensible a cambios durante upgrades.

WasmPlugin.

Extensiones WebAssembly.

Distribución de módulos.

Selección de workloads.

Actualización de plugins.

Lua filters.

External authorization.

Extension providers.

Integración de controles propios.

Policy Enforcement Points.

Auditoría.

Cuotas.

Headers de seguridad.

Manipulación avanzada de request y response.

Compatibilidad de políticas entre Sidecar y Ambient.

Waypoints como punto de enforcement L7 en Ambient.

Uso mínimo de extensiones cuando una API de Istio o Gateway API puede resolver el mismo requisito.

Gestión declarativa de políticas repetitivas.

Validación de configuración antes del despliegue.

Rollback mediante control de versiones.

Documentación de dependencias sobre APIs alpha, beta o internals.

Razones para extender una mesh a varios clusters.

Alta disponibilidad.

Disaster Recovery.

Distribución geográfica.

Escalabilidad.

Separación organizativa.

Multi-cloud.

Clusters on-premises y cloud.

Modelo multicluster.

Primary-primary.

Primary-remote.

Control planes independientes.

Control plane compartido.

Same network.

Multi-network.

Service discovery entre clusters.

Remote secrets.

Cluster IDs.

Network IDs.

Trust domain.

Root of trust compartida.

mTLS entre clusters.

East-west gateways.

Acceso entre redes sin conectividad directa Pod-to-Pod.

Exposición del control plane para remote clusters.

Exposición de servicios entre clusters.

Locality load balancing.

Failover entre clusters.

Preferencia por cluster local.

Distribución por región y zona.

Split-horizon.

DNS.

Identidad común.

Políticas de autorización entre clusters.

Observabilidad multicluster.

Kiali con múltiples clusters.

Certificados.

Rotación.

Upgrades coordinados.

Version skew.

Istio permite que el control plane esté una versión por delante del data plane, aunque recomienda evitar skew mediante revisiones.

Diferentes redes conectadas mediante east-west gateway.

Primary-remote en una misma red.

Particularidades de balanceadores cloud.

Limitaciones documentadas para determinadas configuraciones EKS primary-remote.

Ambient multicluster.

ztunnel.

HBONE.

Waypoints en entornos distribuidos.

Diseño de un plano de recuperación ante caída completa de un cluster.

Istio como infraestructura declarativa.

Gestión de configuración mediante Git.

GitOps.

Argo CD.

Flux.

Helm.

Kustomize.

Revisión de cambios mediante Pull Requests.

Separación entre configuración de plataforma y configuración de aplicación.

Revisión de VirtualService.

Revisión de DestinationRule.

Revisión de HTTPRoute.

Revisión de AuthorizationPolicy.

Revisión de PeerAuthentication.

Revisión de RequestAuthentication.

Linting YAML.

Validación contra schemas.

`istioctl analyze`.

Análisis de manifests locales.

Análisis del cluster.

Combinación de archivos locales y configuración activa.

Detección de problemas antes de aplicar un cambio.

Integración de validaciones en Jenkins.

GitHub Actions.

GitLab CI/CD.

Azure DevOps.

Pipelines de promoción.

Entornos development, preproduction y production.

Control de versiones de Helm values.

Gestión de secretos independiente de configuración de routing.

Testing de conectividad.

Testing de políticas.

Validación de mTLS.

Validación de autorización.

Pruebas de canary.

Estrategias automáticas de rollback.

Gestión de drift.

Release notes.

Compatibilidad de versiones.

Compatibility Versions.

Ejecución de `istioctl x precheck`.

Upgrade in-place.

Limitaciones del upgrade in-place.

Canary Upgrade.

Revisiones de control plane.

`revision`.

Revision tags.

`stable`.

`canary`.

Migración gradual de namespaces.

Canary upgrade como método recomendado por Istio frente a upgrade in-place.

Rollback hacia la revisión anterior.

Upgrade de proxies Sidecar.

Upgrade de ztunnel.

Upgrade de waypoints.

Gestión separada de componentes Ambient con Helm.

Revisión de Security Bulletins.

Actualización urgente ante CVE de Envoy o Istio.

Compatibilidad de Gateway API CRDs durante upgrades.

Cambios de comportamiento entre minor versions.

Preparación de planes de actualización trimestrales.

Coste operativo de introducir una Service Mesh.

CPU.

Memoria.

Latencia.

Throughput.

Número de conexiones.

Número de proxies.

Sidecar overhead.

ztunnel overhead.

Waypoint overhead.

Diferencias de coste entre Sidecar y Ambient.

Razones de escalabilidad que favorecen Ambient.

Resource requests.

Resource limits.

Dimensionamiento de Istiod.

Horizontal Pod Autoscaler.

Alta disponibilidad de Istiod.

Dimensionamiento de gateways.

Dimensionamiento de waypoints.

CPU-aware worker threads de ztunnel en Istio 1.31.

Escalabilidad de XDS.

Pushes de configuración.

Scoping de configuración.

Reducción de configuración enviada a proxies.

Sidecar resource para limitar alcance en Sidecar Mode.

Service visibility.

Scoped address pushes para Ambient introducidos en Istio 1.31.

Menor propagación de XDS hacia waypoints no afectados.

Connection pools.

Keepalive.

HTTP/2.

Retry configuration.

Retries como posible fuente de sobrecarga.

Timeouts apropiados.

Circuit breaking.

Outlier detection.

Locality load balancing.

Reducción de llamadas entre regiones.

Sampling de tracing.

Cardinalidad de métricas.

Coste de access logs.

Telemetría innecesaria.

Compresión del endpoint de métricas.

Número de Services.

Número de endpoints.

Número de reglas.

Grandes meshes.

Control de egress.

Cache DNS en Ambient.

DNS proxying.

Afinidad por zona o nodo.

Benchmark antes y después de introducir Istio.

Medición de p50.

p95.

p99.

Error rate.

Saturación.

Carga del control plane.

Envoy statistics.

ztunnel statistics.

Definición de SLO para la propia plataforma Istio.

Metodología de diagnóstico por capas.

Kubernetes antes que Istio.

DNS.

Service discovery.

Networking.

Control plane.

Data plane.

Routing.

Security.

Application.

`istioctl analyze`.

`istioctl proxy-status`.

Identificación de proxies desconectados.

Identificación de proxies stale.

Sincronización XDS.

CDS.

LDS.

RDS.

EDS.

ECDS.

`istioctl proxy-config`.

Clusters.

Listeners.

Routes.

Endpoints.

Bootstrap.

Secrets.

Inspección efectiva de la configuración Envoy.

Logs de Envoy.

Logs de Istiod.

Logs de istio-cni.

Logs de ztunnel.

Logs de waypoint.

Ajuste temporal de log levels.

Diagnóstico de errores 503.

`UF`.

`UO`.

`NR`.

`UH`.

Connection reset.

Upstream timeout.

No healthy upstream.

Route not found.

Fallos de DNS.

Endpoints no descubiertos.

Port naming.

Protocol detection.

Problemas de mTLS.

TLS handshake failures.

Certificados expirados.

Trust domain incorrecto.

AuthorizationPolicy bloqueando tráfico.

Diferencia entre 401 y 403.

JWT inválido.

JWKS inaccesible.

RequestAuthentication mal configurada.

ServiceEntry incorrecto.

Egress inesperado.

Problemas con Gateway.

Gateway API CRDs desactualizados.

`istioctl analyze` en Istio 1.31 advierte sobre CRDs Gateway API incompatibles.

Sidecar injection ausente.

Namespace incorrectamente etiquetado.

Ambient enrollment.

ztunnel connectivity.

Waypoint attachment.

HBONE.

Migración Sidecar-Ambient.

Captura de paquetes.

Métricas como evidencia diagnóstica.

Distributed tracing.

Service graph.

Diferenciación entre fallo de aplicación y fallo de mesh.

Construcción de runbooks.

Preparación de procedimientos de rollback.

Revisión de Security Bulletins.

Validación después de cambios.

Operación sostenible de Istio en entornos productivos.

Definición de una arquitectura de microservicios desplegada sobre Kubernetes.

Identificación de namespaces.

Identificación de workloads.

Identificación de dependencias.

Definición de tráfico north-south.

Definición de tráfico east-west.

Identificación de servicios externos.

Selección de Istio 1.31.0.

Verificación de compatibilidad de Kubernetes.

Selección del método de instalación.

Definición del modelo Sidecar, Ambient o híbrido.

Justificación de la elección del dataplane.

Instalación del control plane.

Instalación de componentes CNI.

Despliegue de ztunnel cuando se utilice Ambient.

Verificación de la instalación.

Integración de workloads en la mesh.

Creación de waypoint cuando existan requisitos L7 en Ambient.

Validación del tráfico inicial.

Configuración de Gateway API.

Creación de Gateway.

Creación de HTTPRoute.

Configuración de ingress HTTPS.

Gestión del certificado.

Definición de ServiceEntry para servicios externos cuando corresponda.

Diseño de políticas egress.

Configuración de versiones de un microservicio.

Definición de subsets cuando se utilicen APIs Istio.

Distribución inicial de tráfico.

Diseño de canary.

Traffic shifting progresivo.

Configuración de timeout.

Configuración de retry.

Definición de retry budget.

Configuración de circuit breaking.

Outlier detection.

Traffic mirroring.

Definición de estrategia de rollback.

Activación de mTLS.

Definición de política STRICT.

Revisión de identidades.

Diseño de autorización deny-by-default.

Creación de AuthorizationPolicy.

Validación de JWT.

Configuración de RequestAuthentication.

Restricción mediante claims.

Definición de acceso administrativo.

Evaluación de External Authorization cuando corresponda.

Configuración de métricas.

Integración con Prometheus.

Preparación de dashboards Grafana.

Incorporación de Kiali.

Configuración de tracing mediante OpenTelemetry.

Exportación hacia Jaeger o backend compatible.

Configuración de sampling.

Configuración de access logs.

Correlación entre métricas, logs y traces.

Definición de rate limiting.

Evaluación entre limitación local y global.

Uso controlado de EnvoyFilter cuando resulte necesario.

Aplicación de políticas mediante Git.

Integración de `istioctl analyze` en CI/CD.

Definición de controles de aprobación.

Diseño de un upgrade canary.

Utilización de revisiones.

Definición de revision tags.

Estrategia de rollback.

Diseño de alta disponibilidad.

Dimensionamiento de Istiod.

Dimensionamiento de gateways.

Dimensionamiento de waypoints.

Optimización de telemetría.

Evaluación de latencia añadida.

Definición de SLO.

Simulación de un fallo de endpoint.

Validación de outlier detection.

Identificación de un problema mediante `proxy-status`.

Inspección de listeners y routes mediante `proxy-config`.

Diagnóstico de un fallo de autorización.

Diagnóstico de un problema mTLS.

Diagnóstico de un error de gateway.

Construcción de un runbook operativo.

Definición de estrategia multicluster.

Selección de same-network o multi-network.

Definición de east-west gateways cuando corresponda.

Configuración conceptual de failover.

Revisión final de seguridad.

Revisión final de observabilidad.

Revisión final de resiliencia.

Revisión final de capacidad.

Evaluación de mantenibilidad de la configuración.

Evaluación global de disponibilidad, seguridad, escalabilidad y operación de la Service Mesh.