Feldnotizen aus dem Service-Mesh-Betrieb

Service Mesh Field Report

Das Archiv der Serie

Jede Woche ein Report aus dem Enterprise-Betrieb von Istio und Envoy: eine reale Situation, das Muster dahinter, und was es für Verantwortliche bedeutet. Geschrieben von Uli Renz, OMNI52. Alle Texte erschienen zuerst auf LinkedIn.

  1. Zwei Control Planes sind kein Luxus

    Die wichtigste Frage bei einem Mesh-Upgrade ist nicht, wie ihr vorwärtskommt. Sondern wie ihr zurückkommt, wenn die erste Welle knirscht.
  2. Das Upgrade, das seit drei Versionen wartet

    In vielen Backlogs gibt es ein Ticket, das bald Geburtstag feiert. Es heißt 'Mesh-Upgrade' und wandert seit Monaten von Sprint zu Sprint.
  3. Zertifikate altern schneller als Runbooks

    Die Workload-Zertifikate in eurem Mesh sind kurzlebig und rotieren automatisch. Seit Jahren, ohne dass jemand hinschaut. Genau deshalb schaut auch auf den Rest der Kette niemand mehr.
  4. Ein Gateway ist kein Sicherheitskonzept

    Kaum liegt das Egress-Thema auf dem Tisch, kommt der Reflex: "Wir bauen ein Egress-Gateway, dann läuft alles über eine Stelle." Beschlossen ist es oft, bevor jemand fragt, was es eigentlich erzwingen soll.
  5. Das Mesh telefoniert nach draußen, und niemand hört zu

    Nach innen ist euer Mesh jetzt Zero Trust: mTLS auf STRICT, Default auf Deny. Und nach draußen? Da telefoniert es, mit wem es will.
  6. Erlaubt ist, was keiner verboten hat

    Nach dem STRICT-Umbau aus der letzten Folge ist jede Verbindung im Mesh verschlüsselt und beidseitig authentifiziert. Klingt nach Ziel erreicht. Nur: Jeder Workload darf immer noch mit jedem reden.
  7. Der Schalter, den keiner zuerst umlegen will

    "mTLS ist aktiviert", sagt das Team. Auf Nachfrage steht der Mesh-Default seit der Einführung auf PERMISSIVE. Das ist kein Aktiviert. Das ist ein Vielleicht.
  8. Zehn Wochen, um von App Mesh runterzukommen

    Am 30. September stellt AWS App Mesh ab. Das ist keine Deprecation-Warnung mehr, das ist ein Abschalttermin.
  9. Vier Fragen, und du liest jedes Envoy-Mesh

    Fast jedes Mesh fährt denselben Motor. Heute zerlege ich ihn. Keine Angst vor der Tiefe, es sind genau vier Teile.
  10. Fast jedes Mesh fährt denselben Motor

    Istio, Kuma, Consul, App Mesh, Gloo. Fünf Namen, und unter der Haube fünfmal derselbe Proxy: Envoy.
  11. Das eigentliche Problem war nie Istio

    Zehn Field Reports. Fast alle hatten dieselbe Wurzel. Und die saß nie in Istio.
  12. Observability, die im Incident wirklich hilft

    Im Incident öffnen die meisten zuerst Grafana. Alles grün. Genau da bleibt das Team stehen.
  13. Der Diagnose-Pfad, den jedes Team bekommt

    Letzte Woche zwei Teams: eins rät drei Stunden, eins ist in zwanzig Minuten fertig. Der Unterschied ist kein Talent. Es ist dieser eine Pfad.
  14. Die gruseligste Fehlermeldung hat meist die banalste Ursache

    Die meisten Mesh-Incidents sind nicht schwer. Sie sehen nur so aus.
  15. Lokal erlauben, mesh-weit verhindern

    Die Lücke schließen, ohne dem Tenant seine Autonomie zu nehmen.
  16. Wenn ein Tenant den Traffic der anderen kapert

    Wer Tenants eigene VirtualServices erlaubt, öffnet eine Tür für MITM im eigenen Mesh.
  17. Wer das Mesh besitzt, entscheidet, was bleibt

    Aus Soltau, live von der CloudLand: Wer ist eigentlich zuständig im Mesh?
  18. Was niemand mehr versteht, aber alle benutzen

    20, 100, 500+ Konfigurationsobjekte - und niemand traut sich, etwas zu löschen.
  19. Wenn das CVE kommt, ist es zu spät

    Istio macht alle drei Monate ein Minor Release. Klingt planbar.
  20. Wenn "sicher" nur ein Bauchgefühl ist

    mTLS überall aktiv, Dashboards grün - und niemand kann sagen, was wirklich verschlüsselt läuft.