Ambient oder Sidecar ist keine Glaubensfrage
Vier Posts später und genauso weit wie davor? Was denn nun, Ambient oder Sidecar? Es kommt drauf an. Worauf, hier hilft folgendes Raster mit fünf Zeilen.
- Datum
- Thema
- Ambient
- Quellen
- 7
- Lesezeit
- 2 Min.
Die K.-o.-Frage zuerst: Was gibt das Setup vor? VMs im Mesh, Primary-Remote über mehrere Cluster und EnvoyFilter laufen auch laut Istio-Doku derzeit nur mit Sidecars (Post 26). Multi-Cluster kann Ambient inzwischen, als Multi-Primary über getrennte Netze, Stand Beta und eher keine kritische Produktion. Wer hier hängen bleibt, braucht das Raster noch nicht.
Abbildung als Text
Entscheidungsraster Ambient oder Sidecar als Tabelle mit fünf Zeilen und zwei Spalten: L7-Bedarf (hoch, Waypoint wäre Standard, spricht für Sidecar; niedrig, meist mTLS und Identität, spricht für Ambient), Betriebsreife (Runbooks Sidecar-geprägt gegen ztunnel und Waypoint im Griff), Isolation (ein Proxy, ein Workload gegen Node-Schicht akzeptiert), Flotte (überschaubar gegen tausende Pods mit Proxy) und Migrationsfenster (keins in Sicht gegen Stufen und Gates geplant). Darunter zwei Kästen: die K.-o.-Frage zuerst (VMs im Mesh, Primary-Remote und EnvoyFilter laufen laut Istio-Doku derzeit nur mit Sidecars) und die Regel für den Mischbetrieb (L7-Policies am Waypoint gelten nicht für Sidecar-Aufrufer, der Schnitt folgt den Aufrufbeziehungen). Pointe: Wer seine Entscheidung nicht aufschreiben könnte, hat noch keine getroffen.
Dann die fünf Zeilen.
Anteil der Workloads mit echtem L7-Bedarf, also Routing, Policies auf Methoden und Pfaden, HTTP-Telemetrie (Post 25). Niedrig: Ambient spielt sein Betriebsversprechen aus. Hoch: Der Waypoint wird vom Sonderfall zum Standardbauteil, und der Vorteil schrumpft.
Betriebsreife des Teams. Gibt es Runbooks für ztunnel und Waypoint, oder hängt das Wissen an ein, zwei oder drei Köpfen? Dieser Bus-Faktor entscheidet mit, bevor irgendein Benchmark es tut.
Isolations-Anforderungen. Muss ein Proxy-Problem auf einen Workload begrenzt bleiben, etwa aus Compliance-Gründen? Das spricht für Sidecars (Post 26).
Größe und Ressourcendruck der Flotte. Tausende Pods mit eigenem Proxy sind ein realer Kostenposten, den eine geteilte Node-Schicht drückt. Wie stark, sagt die Messung aus Post 22.
Migrationsfenster. Stufen brauchen Zeit und Gates (Post 27). Ohne Fenster entscheidet ihr euch implizit für den Status quo.
Das Ergebnis ist in der Praxis selten ein Entweder-oder, sondern Mischbetrieb: Ambient für die breite Masse, Sidecars dort, wo L7 und Isolation hart gebraucht werden. Beide Modi laufen im selben Mesh (Post 27). Eine Regel gehört dazu: L7-Policies am Waypoint gelten nicht für Aufrufe aus Sidecar-Quellen. Der Schnitt folgt deshalb den Aufrufbeziehungen, der Namespace allein reicht dafür nicht aus.
Und dann gehört die Entscheidung dokumentiert wie jede Architekturentscheidung: mit Datum, Kriterienstand und Begründung. Das Mesh ist eine Organisationsentscheidung (Post 10), und Organisationen vergessen schneller als jeder Cluster.
Wer seine Mesh-Entscheidung heute nicht mit Datum und Begründung aufschreiben könnte, hat noch keine getroffen.
Dieses Raster fülle ich in Architektur-Assessments gemeinsam mit Teams aus. Die Antworten bleiben bei euch, die Erfahrung aus vielen Setups bringe ich mit. Eine DM reicht.
Nächste Woche beginnt eine neue Serie bei Stufe null: die Gateway API, und wem eine Route gehört.
