Najděte v Istio stahovač JWKS dřív, než nastavíte jeho proxy
Ověřte režim stahování v Istio 1.31, potom nastavte HTTP trasu Go v istiod, nebo prozkoumejte přenos vzdálených klíčů v Envoy.
RequestAuthentication.jwksUri neoznačuje aplikaci jako stahovač. Istio 1.31 dokumentuje tyto režimy PILOT_JWT_ENABLE_REMOTE_JWKS:
| Hodnota | Stahovač |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy s návratem na istiod pro externí servery |
| envoy | Envoy |
Před volbou větve prozkoumejte nasazenou verzi a skutečné prostředí řídicí roviny.
cesta istiod
Jeho překladač klíčů používá zjišťování proxy z prostředí Go. Pro Helm chart istiod sloučte hodnoty jako:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Toto je fragment hodnot chartu, ne prostředek. Použijte skutečnou adresu služby v clusteru, příponu DNS a interní obchvaty, potom použijte spravované nasazení. Proměnné aplikace nebo ServiceEntry nemohou poskytnout prostředí jiného podu. Pokud jsou adresy JWKS veřejné a odchod přes veřejnou proxy je povolen, seznam HTTP proxy dodá kandidáty pro hodnotu HTTPS_PROXY v istiod; zachovejte interní obchvaty clusteru.
cesta Envoy
Prozkoumejte jeho cluster vzdálených JWKS a síťovou trasu. Registrace cíle v mesh sama o sobě nepřidá podnikový skok CONNECT; proměnné istiod nemohou nastavit přenos Envoy.