istiod 是集 discovery、config、CA、injection 于一体的单一二进制，但各组件独立运行。启动顺序有硬依赖：CA 先于证书，证书先于安全 gRPC 和 webhook。xDS 推送热路径仅含 pushChannel 和 Generator，CA 签发、注入等不在此列。多副本中 xDS 无主，但状态写回控制器需选主。