Trouver le fetcher JWKS d'Istio avant de régler son proxy
Vérifiez le mode de récupération d'Istio 1.31, puis configurez la route HTTP Go d'istiod ou examinez le transport des clés distantes d'Envoy.
RequestAuthentication.jwksUri n'identifie pas l'application comme le téléchargeur. Istio 1.31 documente ces modes PILOT_JWT_ENABLE_REMOTE_JWKS :
| Valeur | Récupérateur |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy avec repli sur istiod pour les serveurs externes |
| envoy | Envoy |
Examinez la version déployée et l'environnement réel du plan de contrôle avant de choisir une branche.
chemin istiod
Son résolveur de clés utilise la découverte de proxy de l'environnement Go. Pour le chart Helm d'istiod, fusionnez des valeurs comme :
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Il s'agit d'un fragment de valeurs de chart, pas d'une ressource. Utilisez l'adresse réelle du service du cluster, le suffixe DNS et les contournements internes, puis appliquez le déploiement géré. Les variables de l'application ou un ServiceEntry ne peuvent pas fournir l'environnement d'un autre pod. Si les URL JWKS sont publiques et que la sortie par proxy public est autorisée, la liste de proxys HTTP fournit des candidats pour la valeur HTTPS_PROXY d'istiod ; conservez les contournements internes du cluster.
chemin Envoy
Examinez son cluster JWKS distant et sa route réseau. Enregistrer la destination dans le maillage n'ajoute pas en soi un saut CONNECT d'entreprise ; les variables d'istiod ne peuvent pas configurer le transport d'Envoy.