Trobeu el buscador JWKS d'Istio abans de configurar-ne el proxy
Comproveu el mode d'obtenció d'Istio 1.31 i després configureu la ruta HTTP de Go d'istiod o reviseu el transport de claus remotes d'Envoy.
RequestAuthentication.jwksUri no identifica l'aplicació com el descarregador. Istio 1.31 documenta aquests modes de PILOT_JWT_ENABLE_REMOTE_JWKS:
| Valor | Obtenidor |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy amb retrocés a istiod per a servidors externs |
| envoy | Envoy |
Reviseu la versió desplegada i l'entorn real del pla de control abans de triar una branca.
camí istiod
El seu resolutor de claus fa servir el descobriment de proxy de l'entorn de Go. Per al gràfic Helm d'istiod, combineu valors com:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Això és un fragment de valors del gràfic, no un recurs. Feu servir l'adreça real del servei del clúster, el sufix DNS i les exclusions internes, i després apliqueu el desplegament gestionat. Les variables de l'aplicació o un ServiceEntry no poden proporcionar l'entorn d'un altre pod. Si els URL de JWKS són públics i es permet la sortida per proxy públic, la llista de proxys HTTP proporciona candidats per al valor HTTPS_PROXY d'istiod; conserveu les exclusions internes del clúster.
camí Envoy
Reviseu el seu clúster JWKS remot i la ruta de xarxa. Registrar la destinació al mesh no afegeix per si sol un salt CONNECT corporatiu; les variables d'istiod no poden configurar el transport d'Envoy.