Sidecar container là gì? Cách triển khai mô hình trong Kubernetes

Istio từng kiểm thử kiến trúc service mesh ở quy mô 1.000 dịch vụ, 2.000 Sidecar proxy và 70.000 yêu cầu mỗi giây. Có thể thấy, sidecar container đã trở thành một phương án quan trọng để quản lý proxy, bảo mật, giám sát và giao tiếp giữa các microservice. Cùng Viettel IDC tìm hiểu sidecar container là gì, hoạt động ra sao và nên được ứng dụng trong Kubernetes như thế nào?

Sidecar container là gì?

Trong Kubernetes và kiến trúc Microservices, Sidecar container là một container phụ chạy song song với container ứng dụng chính trong cùng một Pod. Nó có tác dụng mở rộng, hỗ trợ hoặc bổ sung các tính năng cần thiết cho ứng dụng chính (như ghi nhật ký, giám sát, bảo mật) mà không làm thay đổi trực tiếp mã nguồn của ứng dụng đó.

Ví dụ, khi một web server đang chạy trong container chính, sidecar container có thể đảm nhiệm các tác vụ như ghi log, giám sát hoặc bảo mật. Mô hình này giúp tách biệt từng nhóm chức năng, cho phép mỗi container xử lý một nhiệm vụ riêng trong khi vẫn duy trì tính mô-đun của hệ thống.

Đặc điểm chính của kiến trúc Sidecar

- Chạy song song và chia sẻ tài nguyên: Sidecar và ứng dụng chính chạy cùng nhau, chia sẻ chung không gian mạng (Network namespace), ổ đĩa (Volume), và vòng đời (Lifecycle). 

- Độc lập chức năng: Sidecar đảm nhận các công việc phụ trợ (như ghi nhật ký logging, giám sát monitoring, đồng bộ tệp, proxy mạng, bảo mật).

- Tách biệt mối quan tâm (Separation of Concerns): Cho phép các nhà phát triển chỉ tập trung vào mã nguồn logic nghiệp vụ chính, trong khi các vấn đề hệ thống được giao cho Sidecar.

- Mô-đun hóa và tái sử dụng: Một Sidecar có thể được đóng gói và tái sử dụng cho nhiều ứng dụng hoặc dịch vụ khác nhau.

Cách triển khai mô hình Sidecar container

Để triển khai mô hình Sidecar container trên Kubernetes, quản trị viên cần khai báo container ứng dụng chính và container hỗ trợ trong cùng một Pod. Ví dụ dưới đây sử dụng Nginx làm container chính, còn BusyBox đóng vai trò Sidecar để theo dõi tệp nhật ký truy cập.

1. Cấu hình file YAML cho Pod

Trước tiên, tạo file sidecar-demo.yaml và khai báo hai container trong cùng phần spec.containers. Container chính vận hành dịch vụ web, trong khi Sidecar đọc dữ liệu log thông qua một volume dùng chung.

Trong cấu hình trên, volume shared-logs được gắn vào cả hai container. Nginx ghi nhật ký truy cập vào thư mục /var/log/nginx, còn container log-watcher liên tục đọc tệp access.log. Nhờ nằm trong cùng Pod, hai container có thể dùng chung tài nguyên lưu trữ mà không cần truyền dữ liệu qua một dịch vụ mạng riêng.

2. Triển khai lên Kubernetes

Sau khi hoàn tất file YAML, sử dụng lệnh sau để tạo Pod trên cụm Kubernetes:

Kubernetes sẽ đọc cấu hình, tải image của từng container và khởi tạo Pod web-log-sidecar. Bạn có thể kiểm tra trạng thái triển khai bằng lệnh:

Khi cột READY hiển thị 2/2, cả container Nginx và Sidecar đều đã khởi động thành công. Nếu Pod chưa sẵn sàng, lệnh dưới đây sẽ cung cấp thông tin chi tiết về trạng thái container, sự kiện và lỗi tải image:

Trong môi trường production, mô hình tương tự thường được khai báo bên trong Deployment thay vì tạo Pod độc lập. Deployment hỗ trợ tự động khởi tạo lại Pod, mở rộng số lượng bản sao và cập nhật phiên bản ứng dụng thuận tiện hơn.

3. Kiểm tra hoạt động

Để tạo lưu lượng truy cập thử nghiệm, trước tiên chuyển tiếp cổng của Pod về máy cục bộ:

Sau đó mở một cửa sổ terminal khác và gửi yêu cầu đến Nginx:

Mỗi yêu cầu gửi đến địa chỉ trên sẽ được Nginx ghi vào tệp access.log. Để xác nhận Sidecar đang đọc dữ liệu từ volume chung, sử dụng lệnh:

Nếu mô hình hoạt động đúng, kết quả sẽ xuất hiện các dòng log chứa phương thức GET, mã phản hồi HTTP và thông tin yêu cầu vừa gửi. Có thể kiểm tra riêng log của container chính bằng lệnh:

Ngoài log, quản trị viên nên theo dõi số lần container khởi động lại, mức tiêu thụ CPU, bộ nhớ và trạng thái probe. Những thông tin này giúp xác định Sidecar có hoạt động ổn định hay đang ảnh hưởng đến tài nguyên của ứng dụng chính.

Ứng dụng thực tế của Sidecar trong Kubernetes

Sidecar container có thể đảm nhiệm nhiều tác vụ hỗ trợ mà không làm thay đổi mã nguồn của ứng dụng chính. Các ví dụ về mô hình Sidecar thường tập trung vào khả năng quan sát, quản lý lưu lượng, tăng cường bảo mật và trao đổi dữ liệu.

Ghi log và giám sát

Trong hệ thống phân tán, log và metrics cần được thu thập liên tục để quản trị viên theo dõi hiệu suất, phát hiện lỗi và phân tích nguyên nhân sự cố. Thay vì cài trực tiếp tác nhân giám sát vào ứng dụng, Kubernetes có thể đặt một Sidecar trong cùng Pod để tiếp nhận dữ liệu từ container chính.

Chẳng hạn, một dịch vụ xử lý đơn hàng ghi nhật ký vào volume dùng chung, trong khi Fluent Bit Sidecar đọc tệp log rồi chuyển dữ liệu đến Elasticsearch hoặc Loki. Prometheus exporter hay OpenTelemetry Collector cũng có thể chạy theo mô hình tương tự để thu thập metrics và trace mà không làm tăng độ phức tạp của mã nghiệp vụ.

Proxy và cân bằng tải

Kiến trúc Sidecar có thể hoạt động như một proxy cục bộ, đứng giữa ứng dụng và các dịch vụ bên ngoài để kiểm soát lưu lượng mạng. Thành phần này đảm nhiệm cân bằng tải, định tuyến, giới hạn thời gian chờ, thử lại yêu cầu lỗi hoặc chuyển lưu lượng theo phiên bản dịch vụ.

Ví dụ về mô hình Sidecar trong microservices là Envoy proxy được chèn vào Pod của order-service, payment-service và inventory-service. Mọi yêu cầu giữa các dịch vụ đều đi qua Envoy, nhờ đó Istio có thể phân phối lưu lượng giữa nhiều Pod, triển khai canary release hoặc tự động retry mà không cần sửa mã nguồn từng microservice.

Bảo mật

Các chức năng liên quan đến xác thực, chứng chỉ và mã hóa có thể được tách khỏi container chính rồi giao cho Sidecar xử lý. Cách tổ chức này giúp chính sách bảo mật được áp dụng thống nhất cho nhiều ứng dụng, đồng thời giảm nguy cơ mỗi nhóm phát triển triển khai cơ chế bảo vệ theo một cách khác nhau.

Ví dụ, Vault Agent Sidecar có thể xác thực với HashiCorp Vault, lấy thông tin đăng nhập cơ sở dữ liệu và ghi secret vào volume dùng chung để ứng dụng sử dụng. Trong service mesh, Envoy Sidecar còn hỗ trợ mã hóa mTLS giữa các Pod, kiểm tra danh tính dịch vụ và luân chuyển chứng chỉ tự động.

Đồng bộ dữ liệu

Sidecar container có thể theo dõi và đồng bộ dữ liệu giữa ứng dụng với kho lưu trữ, bộ nhớ đệm hoặc hệ thống bên ngoài. Container phụ hoạt động độc lập với logic nghiệp vụ nên quá trình đồng bộ có thể được nâng cấp, khởi động lại hoặc thay đổi cấu hình mà ít ảnh hưởng đến ứng dụng chính.

Chẳng hạn, một ứng dụng quản lý nội dung lưu tệp vào volume cục bộ, còn Sidecar định kỳ sao chép dữ liệu lên Amazon S3 hoặc hệ thống lưu trữ nội bộ. Với bộ nhớ đệm, Sidecar cũng có thể nhận dữ liệu cấu hình mới từ máy chủ trung tâm rồi cập nhật vào volume chung, giúp các microservice sử dụng phiên bản dữ liệu nhất quán.

Các phương pháp tối ưu hiệu quả Sidecar trong Kubernetes là gì?

Hiểu rõ Sidecar trong Kubernetes là gì mới chỉ là bước đầu. Để kiến trúc Sidecar hoạt động ổn định, container phụ cần được thiết kế đúng vai trò, kiểm soát tài nguyên và có cơ chế phục hồi phù hợp.

- Giữ Sidecar container gọn nhẹ: Chỉ nên giao cho Sidecar một nhiệm vụ cụ thể như ghi log, làm proxy, đồng bộ cấu hình hoặc quản lý chứng chỉ.

- Phân bổ tài nguyên hợp lý: Cần thiết lập resource requests và resource limits riêng để Sidecar không chiếm quá nhiều CPU hoặc bộ nhớ của Pod.

- Thiết lập cơ chế xử lý lỗi: Nên sử dụng startupProbe, readinessProbe và livenessProbe để phát hiện sự cố và hỗ trợ container phục hồi kịp thời.

- Sử dụng Service Mesh cho nhu cầu nâng cao: Istio hoặc Linkerd có thể tự động chèn Sidecar proxy để quản lý cân bằng tải, mã hóa mTLS, retry và lưu lượng giữa các dịch vụ.

- Chuẩn hóa cấu hình và cách triển khai: Sidecar nên được quản lý qua Deployment template, Helm Chart hoặc công cụ cấu hình tập trung để bảo đảm tính đồng nhất.

So sánh sidecar container, application container và init container

Sidecar container, application container và init container đảm nhiệm những vai trò khác nhau trong cùng một Pod Kubernetes. Phân biệt rõ mục đích, vòng đời và thứ tự thực thi của từng loại giúp xây dựng workload ổn định, dễ quản lý hơn.

Kết luận

Hiểu rõ sidecar container là gì giúp doanh nghiệp lựa chọn đúng cách mở rộng chức năng cho ứng dụng mà không làm phức tạp mã nguồn chính. Nếu bạn muốn triển khai ứng dụng container trên hạ tầng chuyên biệt, Viettel Dedicated Kubernetes Service (vDKS) cung cấp môi trường Kubernetes phục vụ quản lý, vận hành và mở rộng workload cloud-native. Dịch vụ phù hợp với các hệ thống microservices cần triển khai Sidecar container đồng bộ, quản trị tập trung và tối ưu tài nguyên.

Chi tiết xem thêm tại:https://viettelidc.com.vn/viettel-kubernetes-service