跨越云壑：腾讯云 TSE MCP 功能详解与一站式多云服务治理实践

# values.yaml
meshConfig:
  # 在 defaultConfig 中指定额外的根 CA（如果腾讯云 MCP 使用私有证书则可能需要）
  defaultConfig:
    proxyMetadata:
      # 通常不需要，除非有特定代理设置

pilot:
  env:
    # 启用 MCP 客户端功能
    ENABLE_MCP: "true"
    # 禁用原有的 Galley（如果版本较低），高版本 Istio 已无 Galley
    # ENABLE_LEGACY_MCP: "false" 

  # 配置 MCP Server 地址
  configSource:
    - address:
      - your-mcp-instance-id.mcp.tencentcloudapi.com:443 # 你的 SSE URL 的主机名和端口
      tlsSettings:
        mode: SIMPLE # 使用 TLS
        # 如果服务器使用公共可信证书，则 sni 可省略或设置为相同域名
        sni: your-mcp-instance-id.mcp.tencentcloudapi.com
      # 指定 MCP 协议为 SSE-over-HTTP
      protocol: "HTTP_SSE"
      # 资源订阅列表，指定你希望从该 Server 获取哪些类型的资源
      resourceTypes:
        - type.googleapis.com/istio.networking.v1alpha3.ServiceEntry
        - type.googleapis.com/istio.networking.v1alpha3.VirtualService
        - type.googleapis.com/istio.networking.v1alpha3.DestinationRule
        - type.googleapis.com/istio.security.v1beta1.AuthorizationPolicy
      # HTTP 认证 Header（使用腾讯云签名方法 v3）
      httpAuth:
        # 这是一个自定义的 Auth Header 注入方式。
        # 实际上，Istio 原生可能不直接支持腾讯云复杂的签名算法。
        # 更常见的做法是使用一个 sidecar 代理来完成签名，如下文方式二所述。
        custom: 
          # 通常需要在这里注入 Authorization Header，但签名计算复杂，建议看方式二

    from flask import Flask, request, stream_template
    from tencentcloud.common import credential
    from tencentcloud.common.profile.client_profile import ClientProfile
    from tencentcloud.common.profile.http_profile import HttpProfile
    from tencentcloud.common.signature import sign
    import requests

    app = Flask(__name__)
    TENCENT_MCP_URL = 'https://your-mcp-instance-id.mcp.tencentcloudapi.com/v1/resources?sse=true'
    SECRET_ID = 'your_secret_id'
    SECRET_KEY = 'your_secret_key'

    def get_authorization_header(method, endpoint, data='', content_type='application/json'):
        # 使用腾讯云 SDK 或自定义方法生成签名 Header
        # 此处为示意，实际签名逻辑非常复杂，请严格参考官方文档：
        # https://cloud.tencent.com/document/product/1275/55565
        cred = credential.Credential(SECRET_ID, SECRET_KEY)
        http_profile = HttpProfile(endpoint="mcp.tencentcloudapi.com", reqMethod=method, reqTimeout=30)
        client_profile = ClientProfile(httpProfile=http_profile)
        # ... 根据签名算法要求构造规范请求并签名 ...
        # 返回 Authorization 头，例如 'TC3-HMAC-SHA256 Credential=AKID***...'
        authorization = sign(cred, method, endpoint, data, content_type) 
        return authorization

    @app.route('/v1/resources', methods=['GET', 'POST'])
    def proxy():
        # 1. 获取 istiod 发来的原始请求内容（对于 SSE GET 请求，可能没有 body）
        # 2. 生成指向腾讯云 MCP 的签名 Header
        auth_header = get_authorization_header('GET', '/v1/resources')
        headers = {key: value for (key, value) in request.headers}
        headers['Authorization'] = auth_header

        # 3. 将请求转发到腾讯云 MCP，并流式传输响应回 istiod
        resp = requests.get(TENCENT_MCP_URL, headers=headers, stream=True)
        return stream_template(resp.iter_content(chunk_size=None))

    if __name__ == '__main__':
        app.run(host='0.0.0.0', port=8080)

    # 在 istiod 的 Deployment 中添加一个 sidecar 容器
    spec:
      template:
        spec:
          containers:
          - name: istiod
            # ... 原有配置 ...
            # 修改 configSource，指向本地 sidecar 代理
            env:
            - name: PILOT_MCP_CONFIGSOURCE_ADDRESS
              value: "localhost:8080" # 指向本地代理
            - name: PILOT_MCP_CONFIGSOURCE_PROTOCOL
              value: "HTTP_SSE"

          - name: mcp-auth-proxy # 新增的代理 Sidecar
            image: python:3.9
            command: ["python", "/app/sign_proxy.py"]
            ports:
            - containerPort: 8080
            volumeMounts:
            - mountPath: /app
              name: proxy-code
          volumes:
          - name: proxy-code
            configMap:
              name: mcp-proxy-code # 假设代理代码已放入 ConfigMap

    # 进入网格内的一个 Pod
    kubectl exec -it <pod-name> -c <container-name> -- /bin/sh

    # 尝试解析 MCP 广场上的服务
    nslookup <service-name-from-mcp>.<namespace>.svc.cluster.local