מצאו את מאחזר ה-JWKS של Istio לפני הגדרת ה-proxy שלו
בדקו את מצב האחזור ב-Istio 1.31, ואז הגדירו את נתיב ה-HTTP של Go ב-istiod או בחנו את הובלת המפתחות המרוחקים ב-Envoy.
RequestAuthentication.jwksUri אינו מזהה את היישום כהורדן. Istio 1.31 מתעד את מצבי ה-PILOT_JWT_ENABLE_REMOTE_JWKS האלה:
| ערך | מאחזר |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy עם נפילה חזרה ל-istiod עבור שרתים חיצוניים |
| envoy | Envoy |
בחנו את הגרסה שנפרסה ואת סביבת מישור הבקרה בפועל לפני בחירת ענף.
נתיב istiod
פותר המפתחות שלו משתמש בגילוי proxy מסביבת Go. עבור תרשים ה-Helm של istiod, מזגו ערכים כגון:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1זהו קטע של ערכי תרשים, לא משאב. השתמשו בכתובת השירות בפועל של האשכול, בסיומת ה-DNS ובעקיפות הפנימיות, ואז החילו את הפריסה המנוהלת. משתני יישום או ServiceEntry אינם יכולים לספק את הסביבה של pod אחר. אם כתובות ה-JWKS ציבוריות ויציאה דרך proxy ציבורי מותרת, רשימת ה-proxy של HTTP מספקת מועמדים לערך ה-HTTPS_PROXY של istiod; שמרו על העקיפות הפנימיות של האשכול.
נתיב Envoy
בחנו את אשכול ה-JWKS המרוחק ואת נתיב הרשת שלו. רישום היעד ב-mesh אינו מוסיף כשלעצמו קפיצת CONNECT ארגונית; המשתנים של istiod אינם יכולים להגדיר את ההובלה של Envoy.