higress 是否支持数据面的命名空间级别隔离

[fizos]

higress 能否将具体namespace的ingress与该namespace中的gateway组件配置关联起来？
如果支持，这种模式下，控制面是否也需要按照namespace层级进行部署，还是可以采用在任意namespace中部署控制面即可

[johnlanni]

可以在不同命名空间部署多个，控制面也是需要部署多个，根据watchNamespace helm参数设置只监听该命名空间的 ingress即可
https://higress.io/zh-cn/docs/ops/deploy-by-helm.html

[2717990609]

不同namespace下，需要额外配置什么参数么？我当前在不同ns下，使用watchnamespace限制ns,只有一套是gateway和controller都ok的，其余的都是controller正常，gateway报证书认证错误：

[2717990609]

oneNamespace: false
pilotCertProvider: istiod

[johnlanni]

嗯 这块目前证书注册到所有命名空间下了，需要修复下只注册到当前命名空间

[2717990609]

怎么操作，可以说的详细点？非常感谢！

[2717990609]

有什么配置，或者操作规避这个吗？

[johnlanni]

@2717990609 需要开发支持下这个

[2717990609]

你好，再咨询3个问题:
1.在第一组higress创建后，是给现有的所有namespace都注册了根证书？后面新建的namespace也会监听并且注册证书？
2. gateway去创建证书时，他是请求的哪个controller，请求地址是怎么样的？
3. 删除其他namespace下的整数配置，再去创建higress (gateway和controller)是否一定会成功？

[johnlanni]

是的，删除没有用的，是程序创建的，这需要控制面调整逻辑，会尽快支持这个的

[2717990609]

好的，非常期待

[fizos]

是的，删除没有用的，是程序创建的，这需要控制面调整逻辑，会尽快支持这个的

请问下，如果打开service mesh选项，接入第三方istiod，能否规避这个问题呢？
即我猜测能否用istio-system中的控制面来替换higress中的pilot实现CA根证书的统一，同时实现higress命名空间隔离？

[johnlanni]

@fizos 对的，这个是可以的，不过需要额外安装istio了

[johnlanni]

@2717990609 @fizos 最新rc版本已经支持，可以执行 helm install/upgrade --devel 升级下