Den Istio-JWKS-Fetcher finden, bevor sein Proxy gesetzt wird
Prüfen Sie den Fetch-Modus von Istio 1.31 und richten Sie dann istiods Go-HTTP-Route ein oder untersuchen Sie Envoys Remote-Key-Transport.
RequestAuthentication.jwksUri kennzeichnet die Anwendung nicht als Downloader. Istio 1.31 dokumentiert diese PILOT_JWT_ENABLE_REMOTE_JWKS-Modi:
| Wert | Fetcher |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy mit istiod-Fallback für externe Server |
| envoy | Envoy |
Prüfen Sie die bereitgestellte Version und die tatsächliche Umgebung der Steuerungsebene, bevor Sie einen Zweig wählen.
istiod-Pfad
Sein Schlüssel-Resolver nutzt die Go-Umgebungsproxy-Erkennung. Für das istiod-Helm-Chart führen Sie Werte wie diese zusammen:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Dies ist ein Ausschnitt aus Chart-Werten, keine Ressource. Verwenden Sie die tatsächliche Dienstadresse des Clusters, das DNS-Suffix und die internen Ausnahmen, und wenden Sie dann das verwaltete Rollout an. Anwendungsvariablen oder ein ServiceEntry können die Umgebung eines anderen Pods nicht bereitstellen. Wenn die JWKS-URLs öffentlich sind und ausgehender Verkehr über einen öffentlichen Proxy erlaubt ist, liefert die HTTP-Proxy-Liste Kandidaten für istiods HTTPS_PROXY-Wert; behalten Sie die internen Ausnahmen des Clusters bei.
Envoy-Pfad
Untersuchen Sie seinen Remote-JWKS-Cluster und die Netzwerkroute. Die Registrierung des Ziels im Mesh fügt nicht von selbst einen Unternehmens-CONNECT-Hop hinzu; istiods Variablen können Envoys Transport nicht konfigurieren.