Bitnami Secure Images Helm chart for Envoy Gateway

概述

Envoy Gateway通过扩展Envoy Proxy的功能简化流量管理，提供Kubernetes Gateway API集成，实现安全、可扩展和可观测的应用路由。本Helm chart基于Bitnami Secure Images构建，该镜像系列采用云优化、安全硬化的企业级操作系统Photon Linux，具备硬化、最小CVE漏洞、合规性及软件供应链安全等特性。

Envoy Gateway***概述

商标说明：本软件列表由Bitnami打包，相关商标归各自公司所有，使用不意味着关联或背书。

核心功能与特性

Envoy Gateway核心功能

• 简化流量管理：扩展Envoy Proxy能力，支持动态路由、负载均衡和流量控制
• Kubernetes原生集成：兼容Kubernetes Gateway API，实现声明式流量配置
• 可观测性：支持 metrics、日志和追踪，便于监控服务流量状态

Bitnami Secure Images特性

• 硬化安全镜像：基于Photon Linux，提供Near-Zero Vulnerabilities的开源软件镜像
• 漏洞管理：包含VEX声明、KEV和EPSS评分的漏洞分类与优先级划分
• 合规聚焦：支持FIPS、STIG及离线部署选项，提供安全物料清单（SBOM）
• 软件供应链安全：通过in-toto实现供应链来源证明
• Helm chart支持：提供互联网主流Helm chart的一等支持

使用场景与适用范围

• Kubernetes集群流量管理：适用于需要通过Gateway API进行服务路由、流量拆分和负载均衡的场景
• 企业级生产环境：需满足低漏洞风险、合规性（如FIPS、STIG）要求的关键业务系统
• 可扩展架构部署：支持大规模服务网格场景，提供灵活的流量配置与扩展能力

前提条件

• Kubernetes 1.23+
• Helm 3.8.0+

安装指南

TL;DR

console
helm install my-release oci://registry-1.docker.io/bitnamicharts/envoy-gateway

安装步骤

使用以下命令安装chart，发布名称为my-release：

console
helm install my-release REGISTRY_NAME/REPOSITORY_NAME/envoy-gateway

注意：需将占位符REGISTRY_NAME和REPOSITORY_NAME替换为Helm chart仓库地址。例如，Bitnami仓库需使用REGISTRY_NAME=registry-1.docker.io和REPOSITORY_NAME=bitnamicharts。

该命令将以默认配置在Kubernetes集群部署Envoy Gateway。参数部分列出了安装过程中可配置的参数。

提示：使用helm list查看所有发布。

配置与安装详情

Operator配置

Bitnami Envoy Gateway chart支持通过ConfigMap配置operator，可使用overrideConfiguration参数将自定义设置与默认配置合并。示例如下：

yaml
overrideConfiguration:
  admin:
    enableDumpConfig: false

也可使用现有ConfigMap（通过existingConfigMap参数），注意：该参数与overrideConfiguration不兼容。

证书生成任务

Chart提供证书生成任务，通过Envoy Operator的certgen命令创建必要的TLS密钥。需设置certgen.enabled=true启用，任务配置可通过certgen部分调整。

资源请求与限制

Bitnami chart允许为所有容器设置资源请求与限制（通过resources参数）。生产环境建议设置请求值以适配实际需求。此外，可通过resourcesPreset参数使用预设资源配置（详见bitnami/common chart），但生产环境建议直接配置resources以确保适配性。

Prometheus监控集成

设置metrics.enabled=true可启用Prometheus集成，暴露Envoy Gateway原生监控端点，并添加自动发现注解。若需与Prometheus Operator集成，设置metrics.serviceMonitor.enabled=true，需确保集群已安装Prometheus Operator CRD。

Prometheus要求

需先部署Prometheus或Prometheus Operator，推荐使用Bitnami Prometheus Helm chart或Bitnami Kube Prometheus Helm chart。

不可变标签建议

生产环境强烈建议使用不可变标签，避免因镜像标签更新导致部署自动变更。Bitnami会在主容器更新、重大变更或存在严重漏洞时发布新chart。

额外环境变量

可通过extraEnvVars添加额外环境变量：

yaml
extraEnvVars:
  - name: LOG_LEVEL
    value: error

也可通过extraEnvVarsCM（ConfigMap）或extraEnvVarsSecret（Secret）注入，配置位于operator、apiserver和cluster部分。

边车容器与初始化容器

如需在Envoy Gateway Pod中添加额外容器（如监控或日志导出器），可通过sidecars参数定义：

yaml
sidecars:
- name: your-image-name
  image: your-image
  imagePullPolicy: Always
  ports:
  - name: portname
    containerPort: 1234

额外端口可通过service.extraPorts配置：

yaml
service:
  extraPorts:
  - name: extraPort
    port: ***
    targetPort: ***

初始化容器通过initContainers参数定义：

yaml
initContainers:
  - name: your-image-name
    image: your-image
    imagePullPolicy: Always
    ports:
      - name: portname
        containerPort: 1234

部署额外资源

通过extraDeploy参数可部署额外Kubernetes资源（如Gateway、HTTPRoute等）。示例（改编自上游快速入门）：

yaml
extraDeploy:
- apiVersion: gateway.networking.k8s.io/v1
  kind: GatewayClass
  metadata:
    name: eg
  spec:
    controllerName: gateway.envoyproxy.io/gatewayclass-controller
- apiVersion: gateway.networking.k8s.io/v1
  kind: Gateway
  metadata:
    name: eg
  spec:
    gatewayClassName: eg
    listeners:
      - name: http
        protocol: HTTP
        port: 80
# 更多资源定义...

参数说明

全局参数

通用参数

Envoy Gateway参数

注意：完整参数列表请参见GitHub仓库。