istio sidecar 的envoy进程在kubernetes job中如何优雅退出？
istio 是service mesh的一个流行框架，提供了很多服务网格相关的功能，在安全方面，流量控制方面都有很多很实用的功能，这篇文档重点不在于讨论istio的功能多么强大，主要是解决使用istio过程中遇到的一些问题，以及如何解决。
istio在cloud 环境，主要是指kubernetes环境，它会为每一个microservice的pod注入一个sidecar，这样子来把微服务加入到服务网格的治理中。它通过拦截配置，重导pod的进出网络到它的sidecar，也就是envoy，达到控制整个服务网格网络的目的。
对deployment，statulset等常驻进程而言，istio的sidecar可以正常运行，并伴随着pod的生命周期终止和结束。
但是对于job这种类型的资源，在job completed时候，只有主进程退出，但是istio给job注入的sidecar却无法退出，这样job就永远处于执行过程中，而无法退出，job也永远无法completed。
这篇文档就是提供一种解决思路，假设我们有一个如下的job定义
apiVersion: batch/v1
kind: Job
metadata:
name: sleep-job
spec:
template:
metadata:
annotations:
sidecar.istio.io/inject: "true"
spec:
containers:
- name: busybox
image: busybox:latest
imagePullPolicy: IfNotPresent
command: ["bash", "-c", "sleep 10"]
restartPolicy: Never
backoffLimit: 4
这个job的功能很简单，sleep 10秒之后，就退出，这样这个job就算完成了，但是如果istio给这个job注入sidecar之后，这个job就没办法完成了，这个job的pod有两个contaner，一个是envoy sidecar，一个是sleep主进程
因此我们的思路是如何在sleep执行完成之后，退出envoy sidecar的进程
首先我们的想法转换成代码可能就是大概如下：
bash -c "sleep 10; <quit envoy>"
关键在于如何quit envoy？首先想到的就是kill envoy的进程号，但是sleep进程和envoy进程在不同容器里面，如何kill到另一个容器的进程号呢？
一番查找之后发现k8s的这个功能
shareProcessNamespace
https://kubernetes.io/docs/tasks/configure-pod-container/share-process-namespace/
打开这个功能之后，进程对容器中的其他容器可见。这包括中的所有可见信息/proc，例如作为参数或环境变量传递的密码。这些仅受常规Unix权限保护。
因此打开这个开关之后，可以在sleep容器里面看到envoy的进程，它的进程名是pilot-agent，因此我们的代码就变成了
apiVersion: batch/v1
kind: Job
metadata:
name: sleep-job
spec:
template:
metadata:
annotations:
sidecar.istio.io/inject: "true"
spec:
shareProcessNamespace: true
containers:
- name: busybox
image: busybox:latest
imagePullPolicy: IfNotPresent
command: ["bash", "-c", "sleep 10; pkill pilot-agent"]
securityContext:
capabilities:
add:
- SYS_PTRACE
restartPolicy: Never
backoffLimit: 4
但是实际运行又遇到新的问题，那就是sidecar和sleep容器的先后顺序，因为image的pull有先后，而且启动也有先后，所以有可能sleep进程结束后，但是sidecar还没起来，这样子pkill就kill了个寂寞。
所以我们还需要优化一下命令，就是在sleep 10之前先等待sidecar ready，就变成了如下
command: ["bash", "-c", "until [[ $(curl -o /dev/null -s -w '%{http_code}' localhost:15000/ready) == '200' ]]; do echo 'Waiting for Envoy Sidecar.' sleep 3 ;done;sleep 10; pkill pilot-agent"]
这里我们调用envoy的api 接口ready来判断envoy是否已经running并且ready
看到这里，是不是觉得已经够了
其实实际上还有一个问题，这里的退出都是正常退出，如果遇到异常情况，比如这里的命令不是sleep 10，而是其它脚本，那有可能执行出错，如果这时候还是正常退出，那就会有问题了，因为这样job就会表现执行成功并完毕，但是不会重新执行出错的任务。
因此需要判断主要命令的exitcode是0还是非0，然后再以相应的exitcode退出进程
封装一个shell命令如下，命名为wait-and-quit-envoy
#!/usr/bin/env bash
ENVOY_READY_URL="localhost:15000/ready"
until [[ $(curl -o /dev/null -s -w '%{http_code}' ${ENVOY_READY_URL}) == '200' ]]; do
echo "Waiting for Envoy Sidecar."
sleep 3
done
echo "Envoy Sidecar available."
sleep 5
$@
exitcode=$?;
if [[ ${exitcode} == 0 ]];then
# Make Sidecar quit normally.
pkill -15 pilot-agent > /dev/null 2>&1;
else
# Make Sidecar quit abnormally.
pkill -9 pilot-agent
fi
exit ${exitcode}
这个shell命令用$@来执行命令后面附加的所有命令，最后记录命令执行的exitcode，最后用这个exitcode退出进程。
然后把这个脚本打包进去image
apiVersion: batch/v1
kind: Job
metadata:
name: sleep-job
spec:
template:
metadata:
annotations:
sidecar.istio.io/inject: "true"
spec:
shareProcessNamespace: true
containers:
- name: busybox
image: busybox:latest
imagePullPolicy: IfNotPresent
command: ["bash", "-c", "wait-and-quit-envoy sleep 10"]
securityContext:
capabilities:
add:
- SYS_PTRACE
restartPolicy: Never
backoffLimit: 4
最后就实现了这个优雅等待并且退出 istio sidecar的功能
