Encuentre el descargador JWKS de Istio antes de configurar su proxy
Compruebe el modo de descarga de Istio 1.31 y después configure la ruta HTTP de Go de istiod o revise el transporte de claves remotas de Envoy.
RequestAuthentication.jwksUri no identifica la aplicación como el descargador. Istio 1.31 documenta estos modos de PILOT_JWT_ENABLE_REMOTE_JWKS:
| Valor | Descargador |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy con respaldo de istiod para servidores externos |
| envoy | Envoy |
Revise la versión desplegada y el entorno real del plano de control antes de elegir una rama.
ruta de istiod
Su resolución de claves usa el descubrimiento de proxy del entorno de Go. Para el chart de Helm de istiod, combine valores como:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Esto es un fragmento de valores del chart, no un recurso. Use la dirección real del servicio del clúster, el sufijo DNS y las omisiones internas, y luego aplique el despliegue gestionado. Las variables de la aplicación o un ServiceEntry no pueden proporcionar el entorno de otro pod. Si las URL de JWKS son públicas y se permite la salida por proxy público, la lista de proxys HTTP ofrece candidatos para el valor HTTPS_PROXY de istiod; conserve las omisiones internas del clúster.
ruta de Envoy
Revise su clúster de JWKS remoto y la ruta de red. Registrar el destino en la malla no añade por sí solo un salto CONNECT corporativo; las variables de istiod no pueden configurar el transporte de Envoy.