Vind die Istio JWKS-ophaler voordat jy sy proxy instel

Kontroleer Istio 1.31 se ophaalmodus en stel dan istiod se Go-HTTP-roete in of ondersoek Envoy se remote-key-vervoer.

RequestAuthentication.jwksUri identifiseer nie die toepassing as die aflaaier nie. Istio 1.31 dokumenteer hierdie PILOT_JWT_ENABLE_REMOTE_JWKS-modusse:

WaardeOphaler
istiod / falseistiod
hybrid / trueEnvoy met istiod-terugval vir eksterne bedieners
envoyEnvoy

Ondersoek die ontplooide weergawe en die werklike beheervlak-omgewing voordat jy 'n tak kies.

istiod-roete

Sy sleuteloplosser gebruik Go se omgewingsproxy-ontdekking. Vir die istiod Helm-grafiek, voeg waardes soos hierdie saam:

env:
  HTTPS_PROXY: http://proxy.example:8080
  NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1

Dit is 'n grafiekwaarde-fragment, nie 'n hulpbron nie. Gebruik die cluster se werklike diensadres, DNS-agtervoegsel en interne omsyldings, en pas dan die bestuurde ontplooiing toe. Toepassingsveranderlikes of 'n ServiceEntry kan nie 'n ander pod se omgewing verskaf nie. As die JWKS-URL's publiek is en publieke-proxy-uitgang toegelaat word, verskaf die HTTP-proxylys kandidate vir istiod se HTTPS_PROXY-waarde; behou die cluster se interne omsyldings.

Envoy-roete

Ondersoek sy remote JWKS-cluster en netwerkroete. Om die bestemming by die mesh te registreer, voeg nie op sigself 'n korporatiewe CONNECT-hop by nie; istiod se veranderlikes kan nie Envoy se vervoer instel nie.

Verwante artikels