Знайдзіце загрузчык JWKS у Istio перад наладай яго проксі
Праверце рэжым загрузкі Istio 1.31, затым наладзьце HTTP-маршрут istiod на Go або праверце транспарт аддаленых ключоў Envoy.
RequestAuthentication.jwksUri не вызначае праграму як загрузчыка. Istio 1.31 дакументуе наступныя рэжымы PILOT_JWT_ENABLE_REMOTE_JWKS:
| Значэнне | Загрузчык |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy з адкатам на istiod для знешніх сервераў |
| envoy | Envoy |
Праверце разгорнутую версію і фактычнае асяроддзе плоскасці кіравання перад выбарам галіны.
шлях istiod
Яго вырашальнік ключоў выкарыстоўвае выяўленне проксі праз асяроддзе Go. Для Helm-чарта istiod аб'яднайце такія значэнні:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Гэта фрагмент значэнняў чарта, а не рэсурс. Выкарыстайце фактычны адрас сэрвісу кластара, суфікс DNS і ўнутраныя абыходы, затым прымяніце кіраванае разгортванне. Зменныя праграмы або ServiceEntry не могуць даць асяроддзе іншага пода. Калі адрасы JWKS публічныя і выхад праз публічны проксі дазволены, спіс HTTP-проксі дае кандыдатаў для значэння HTTPS_PROXY у istiod; захавайце ўнутраныя абыходы кластара.
шлях Envoy
Праверце яго кластар аддаленых JWKS і сеткавы маршрут. Рэгістрацыя прызначэння ў mesh сама па сабе не дадае карпаратыўны пераход CONNECT; зменныя istiod не могуць наладзіць транспарт Envoy.