Datapath & Komponenten
Client → Ingress GW → Sidecar(src) → Sidecar(dst) → App. mTLS-Handshake nur beim Connect.
istiod: Pilot/Citadel/Galley vereint, xDS-Push + CA. istio-proxy: Envoy-Sidecar (Mutating Webhook) oder Ambient ztunnel. Gateway: dedizierte Envoys, Deployment + LB-Service.
Envoy-Version = Istio-Version + 8. Istio 1.31 → Envoy 1.39.
Install-Profile
default (prod), minimal (nur istiod),
ambient (sidecar-less), remote
(MC-Workload-Cluster), demo (laut). Canary via
--revision=1-31-1, Namespaces hängen an einem
Revision-Tag (istio.io/rev=prod-stable).
istioctl x precheck istioctl install --set profile=default --revision=1-31-1 istioctl tag set prod-stable --revision 1-31-1 --overwrite