用途：为微服务提供 Istio 服务网格能力，包括流量管理、mTLS 安全与可观测性，无需修改应用代码。Envoy 代理拦截服务流量，实现路由、负载均衡、重试、熔断与遥测。
主要能力：
- 数据面两种模型：Sidecar（每 Pod 一个 Envoy，全 L7，开销较高）与 Ambient（1.24 GA，节点级 ztunnel 做 L4 mTLS，waypoint 代理按需提供 L7）。
- 流量管理：VirtualService 路由、DestinationRule 负载均衡与连接池、Gateway 入口、ServiceEntry 外部服务、Sidecar 出口控制。
- 安全：PeerAuthentication 配置 mTLS（STRICT/PERMISSIVE），AuthorizationPolicy 实现 RBAC、JWT、IP 白名单，DENY 优先于 ALLOW。
- 弹性：outlierDetection 熔断、重试与超时，注意整体超时需大于 attempts × perTryTimeout。
- 可观测性：黄金指标、采样追踪、按需访问日志。
使用方式：推荐 Helm 安装。 helm repo add istio https://istio-release.storage.googleapis.com/charts helm repo update helm install istio-base istio/base -n istio-system --create-namespace helm install istiod istio/istiod -n istio-system --wait 也可用 istioctl install --set profile=default -y，并通过 kubectl label namespace default istio-injection=enabled 开启自动注入。
适用场景：Kubernetes 微服务的灰度发布、蓝绿部署、mTLS 加密、访问控制与故障注入测试。
限制：IstioOperator 控制器在 1.23 弃用、1.24 移除，不要依赖集群内 CR 调和；同一 host 只能由一个 VirtualService 拥有；Ambient 模式下无 waypoint 时 L7 功能静默失效；生产环境建议使用外部根 CA。具体版本与平台支持以官方资料为准，本资料未提供收费与价格信息。