Istio 1.31支持智能体网关并退出谷歌云分发

Istio 1.31于8月31日发布，新增istio-agentgateway-waypoint GatewayClass，允许ambient网格将agentgateway作为七层waypoint代理运行。这是该项目首次在ambient模式中接入该数据平面，同时正式支持Kubernetes 1.32至1.36。

同一版本也停止向Google Cloud发布容器镜像和Helm Chart。仍使用gcr.io/istio-release、registry.istio.io或Google托管Helm仓库的团队，需要在12月服务退役前完成迁移。10月13日15:00至18:00（UTC）将进行首次旧端点断供测试，最终测试安排在12月8日15:00至12月9日15:00（UTC）。项目基础设施正因资金模式变化从Google Cloud迁往Amazon Web Services。

agentgateway基于Rust开发，专门面向智能体流量，除常规HTTP外还支持模型上下文协议（MCP），由Solo.io捐赠给Linux基金会。Istio 1.31修复了其后端的ListenerSet处理及mTLS连接问题，但waypoint流量迁移仍处于Alpha阶段，相关标签、注解和行为都可能调整。

服务或命名空间可通过use-waypoint-canary标签指定金丝雀waypoint，再用use-waypoint-canary-weight注解设置新建网格连接的分流比例，无需修改客户端。已建立的连接不会迁移，因此长连接可能延迟体现拆分效果。9月21日发布的1.31.1修复了金丝雀agentgateway无法继承相关路由和策略、导致连接被拒绝的问题，并加入安全修复，解决纯IPv6集群中ALLOW_ANY_DYNAMIC_DNS的转发异常。

流量管理方面，DestinationRule和MeshConfig新增zoneAwareLbSetting，可让Envoy优先把请求发往同一可用区的端点，仅在本地容量耗尽后跨区溢出，不再依赖localityLbSetting的静态比例配置。ALLOW_ANY_DYNAMIC_DNS出站模式还可在请求发出时依据HTTP Host解析主机名，减少为外部目标逐一创建ServiceEntry的需要。

安全能力方面，COMPLIANCE_POLICY新增fips-140-3，可将TLS限制为1.2及以上版本，并限定使用符合FIPS标准的密码套件以及P-256、P-384曲线。Go组件必须使用Go 1.24或更高版本，并以GOFIPS140=v1.0.0或更高的已验证版本构建；仅设置运行时策略并不充分。AuthorizationPolicy则新增trustDomains和notTrustDomains字段，可按对端证书中的信任域匹配或排除请求。

迁移时，启用镜像签名校验的团队还要注意密钥轮换：1.31.0使用istio-key.pub，1.31.1及后续版本使用istio-key-v2.pub。针对后续仓库选择，有开发者询问为何采用Docker Hub而非GHCR，维护者回应称GHCR存在未公开限制，按当前使用量可能很快超出配额。