サービスメッシュのサイドカー
サービスメッシュで各サービスの隣に挿入され、そのネットワーク通信をすべて受け持つプロキシ（通常はEnvoy）。サービス間に立つことで、アプリのコードを変えずにmTLS、トラフィック管理、リトライ、可観測性を提供する。
仕組みはこうだ。メッシュ（IstioやLinkerd）が各Podにプロキシをサイドカーとして自動注入し、インバウンド・アウトバウンドの通信はすべてそこを通る。プロキシ群（データプレーン）は、コントロールプレーンが一元的に制御する。「ただで」手に入るのは、mTLS（サービス間の自動相互暗号化）、トラフィック管理（カナリア、重み付けルーティング、障害注入）、耐障害性（リトライ、タイムアウト、サーキットブレーカー）、可観測性（サービス間通信すべてのメトリクス、トレース、ログ）だ。代償は、Pod一つにつきプロキシ一つぶんのリソースとレイテンシ、そして運用の複雑さである。そのため、機能をノードやeBPFに移す「サイドカーレス」のメッシュ（Istio Ambient、Cilium）が伸びている。大規模クラスタにおけるサービス間通信の主流パターンで、サイドカーコンテナやネットワークポリシーとも関係が深い。