Намерете зареждащия JWKS в Istio, преди да настроите проксито му
Проверете режима на зареждане в Istio 1.31, след което настройте Go HTTP маршрута на istiod или прегледайте транспорта на отдалечени ключове в Envoy.
RequestAuthentication.jwksUri не определя приложението като свалящ. Istio 1.31 документира следните режими PILOT_JWT_ENABLE_REMOTE_JWKS:
| Стойност | Зареждащ |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy с връщане към istiod за външни сървъри |
| envoy | Envoy |
Прегледайте внедрената версия и действителната среда на контролната плоскост, преди да изберете клон.
път през istiod
Неговият резолвер на ключове използва откриване на прокси от средата на Go. За Helm диаграмата на istiod обединете стойности като:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Това е фрагмент от стойности на диаграма, а не ресурс. Използвайте действителния адрес на услугата в клъстера, DNS суфикса и вътрешните обходи, след което приложете управляваното внедряване. Променливи на приложението или ServiceEntry не могат да осигурят средата на друг под. Ако адресите на JWKS са публични и изходът през публично прокси е разрешен, списъкът с HTTP прокси сървъри предоставя кандидати за стойността HTTPS_PROXY на istiod; запазете вътрешните обходи на клъстера.
път през Envoy
Прегледайте клъстера за отдалечени JWKS и мрежовия маршрут. Регистрирането на дестинацията в mesh не добавя само по себе си корпоративен CONNECT скок; променливите на istiod не могат да настроят транспорта на Envoy.