Ambient of sidecar is geen geloofskwestie
Vier posts verder en nog even ver als daarvoor? Wat wordt het nu, Ambient of sidecar? Dat hangt ervan af. Waarvan? Daarbij helpt het volgende raster met vijf rijen.
- Datum
- Onderwerp
- Ambient
- Bronnen
- 7
- Leestijd
- 2 min
- Versie
- Vertaling
De knock-outvraag eerst: wat schrijft de setup voor? VM’s in de mesh, Primary-Remote over meerdere clusters en EnvoyFilter draaien ook volgens de Istio-documentatie momenteel alleen met sidecars (report #26). Multi-cluster kan Ambient inmiddels wel, als Multi-Primary over gescheiden netwerken, status bèta en eerder niets voor kritische productie. Wie hier blijft hangen, heeft het raster nog niet nodig.
Afbeelding als tekst
Beslissingsraster Ambient of sidecar als tabel met vijf rijen en twee kolommen: L7-behoefte (hoog, waypoint wordt standaard, pleit voor sidecar; laag, vooral mTLS en identiteit, pleit voor Ambient), beheerrijpheid (runbooks met sidecar-stempel tegenover grip op ztunnel en waypoint), isolatie (één proxy, één workload tegenover node-laag geaccepteerd), vloot (overzichtelijk tegenover duizenden pods met proxy) en migratievenster (geen in zicht tegenover stappen en gates gepland). Daaronder twee vakken: de knock-outvraag eerst (VM's in de mesh, Primary-Remote en EnvoyFilter draaien volgens de Istio-documentatie momenteel alleen met sidecars) en de regel voor het gemengd bedrijf (L7-policies op de waypoint gelden niet voor sidecar-aanroepers, de knip volgt de aanroeprelaties). Pointe: Wie zijn beslissing niet zou kunnen opschrijven, heeft er nog geen genomen.
Dan de vijf rijen.
Aandeel workloads met echte L7-behoefte, dus routing, policies op methoden en paden, HTTP-telemetrie (report #25). Laag: Ambient speelt zijn beheerbelofte uit. Hoog: de waypoint verandert van uitzondering in standaardonderdeel, en het voordeel slinkt.
Beheerrijpheid van het team. Zijn er runbooks voor ztunnel en waypoint, of zit de kennis in één, twee of drie hoofden? Die bus-factor beslist mee, nog vóór welke benchmark dan ook.
Isolatie-eisen. Moet een proxy-probleem beperkt blijven tot één workload, bijvoorbeeld om compliance-redenen? Dat pleit voor sidecars (report #26).
Omvang en resourcedruk van de vloot. Duizenden pods met een eigen proxy zijn een reële kostenpost, die een gedeelde node-laag drukt. Hoe sterk, dat zegt de meting uit report #22.
Migratievenster. Stappen vragen tijd en gates (report #27). Zonder venster kiezen jullie impliciet voor de status quo.
In de praktijk is de uitkomst zelden een of-of, maar gemengd bedrijf: Ambient voor het gros van de workloads, sidecars waar L7 en isolatie hard nodig zijn. Beide modi draaien in dezelfde mesh (report #27). Daar hoort één regel bij: L7-policies op de waypoint gelden niet voor aanroepen uit sidecar-bronnen. De knip volgt daarom de aanroeprelaties, de namespace alleen is daarvoor niet genoeg.
En dan wordt de beslissing gedocumenteerd zoals elke architectuurbeslissing: met datum, stand van de criteria en onderbouwing. De mesh is een organisatiebeslissing (report #10), en organisaties vergeten sneller dan welke cluster dan ook.
Wie zijn mesh-beslissing vandaag niet met datum en onderbouwing zou kunnen opschrijven, heeft er nog geen genomen.
Dit raster vul ik in architectuur-assessments samen met teams in. De antwoorden blijven bij jullie, de ervaring uit veel setups breng ik mee. Een DM volstaat.
Volgende week begint een nieuwe reeks bij stap nul: de Gateway API, en van wie een route is.
