Βρείτε τον ανακτητή JWKS του Istio πριν ρυθμίσετε το proxy του
Ελέγξτε τη λειτουργία ανάκτησης του Istio 1.31 και μετά ρυθμίστε τη διαδρομή HTTP Go του istiod ή εξετάστε τη μεταφορά απομακρυσμένων κλειδιών του Envoy.
Το RequestAuthentication.jwksUri δεν προσδιορίζει την εφαρμογή ως τον κατεβάζοντα. Το Istio 1.31 τεκμηριώνει αυτές τις λειτουργίες PILOT_JWT_ENABLE_REMOTE_JWKS:
| Τιμή | Ανακτητής |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy με εφεδρεία istiod για εξωτερικούς διακομιστές |
| envoy | Envoy |
Εξετάστε την αναπτυγμένη έκδοση και το πραγματικό περιβάλλον του επιπέδου ελέγχου πριν επιλέξετε κλάδο.
διαδρομή istiod
Ο επιλυτής κλειδιών του χρησιμοποιεί ανακάλυψη proxy από το περιβάλλον της Go. Για το Helm chart του istiod, συγχωνεύστε τιμές όπως:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Αυτό είναι απόσπασμα τιμών chart, όχι πόρος. Χρησιμοποιήστε την πραγματική διεύθυνση υπηρεσίας του cluster, το επίθημα DNS και τις εσωτερικές παρακάμψεις, και μετά εφαρμόστε την διαχειριζόμενη ανάπτυξη. Μεταβλητές εφαρμογής ή ένα ServiceEntry δεν μπορούν να παρέχουν το περιβάλλον άλλου pod. Αν τα URL των JWKS είναι δημόσια και επιτρέπεται η έξοδος μέσω δημόσιου proxy, η λίστα proxy HTTP παρέχει υποψηφίους για την τιμή HTTPS_PROXY του istiod· διατηρήστε τις εσωτερικές παρακάμψεις του cluster.
διαδρομή Envoy
Εξετάστε το cluster απομακρυσμένων JWKS και τη διαδρομή δικτύου του. Η καταχώριση του προορισμού στο mesh δεν προσθέτει από μόνη της ένα εταιρικό άλμα CONNECT· οι μεταβλητές του istiod δεν μπορούν να ρυθμίσουν τη μεταφορά του Envoy.