Fyn de Istio JWKS-ophaler foardat jo syn proxy ynstelle
Kontrolearje de ophalmodus fan Istio 1.31, stel dan istiod syn Go HTTP-rûte yn of ûndersykje Envoy syn ferfier fan ôfstânskaaien.
RequestAuthentication.jwksUri identifisearret de applikaasje net as de downloader. Istio 1.31 dokumintearret dizze PILOT_JWT_ENABLE_REMOTE_JWKS modi:
| Wearde | Ophaler |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy mei istiod-fallback foar eksterne servers |
| envoy | Envoy |
Undersykje de útrôle ferzje en de werklike omjouwing fan it kontrôleflak foardat jo in tûke kieze.
istiod-rûte
Syn kaaioplosser brûkt Go-omjouwingsproxy-ûntdekking. Foar de istiod Helm-grafyk, foegje wearden lykas dizze gear:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Dit is in fragmint fan grafykwearden, net in boarne. Brûk it werklike tsjinstadres fan it kluster, it DNS-efterheaksel en de ynterne omgongen, en pas dan de behearde útrôle ta. Applikaasjefariabelen of in ServiceEntry kinne de omjouwing fan in oare pod net leverje. As de JWKS-URL's iepenbier binne en útgong fia iepenbiere proxy tastien is, leveret de HTTP-proxylist kandidaten foar istiod syn HTTPS_PROXY-wearde; behâld de ynterne omgongen fan it kluster.
Envoy-rûte
Undersykje syn kluster foar ôfstâns-JWKS en de netwurkrûte. It registrearjen fan de bestimming by it mesh foeget op himsels gjin bedriuws-CONNECT-hop ta; istiod syn fariabelen kinne Envoy syn ferfier net konfigurearje.