Találja meg az Istio JWKS-lekérőjét, mielőtt beállítja a proxyját

Ellenőrizze az Istio 1.31 lekérési módját, majd állítsa be az istiod Go HTTP-útvonalát, vagy vizsgálja meg az Envoy távoli kulcsátvitelét.

RequestAuthentication.jwksUri nem azonosítja az alkalmazást letöltőként. Az Istio 1.31 ezeket a PILOT_JWT_ENABLE_REMOTE_JWKS módokat dokumentálja:

ÉrtékLekérő
istiod / falseistiod
hybrid / trueEnvoy istiod-visszaeséssel külső kiszolgálókhoz
envoyEnvoy

A ág kiválasztása előtt vizsgálja meg a telepített verziót és a vezérlősík tényleges környezetét.

istiod-útvonal

Kulcsfeloldója a Go környezeti proxyfelderítését használja. Az istiod Helm-diagramjához egyesítsen ilyen értékeket:

env:
  HTTPS_PROXY: http://proxy.example:8080
  NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1

Ez diagramérték-töredék, nem erőforrás. Használja a fürt tényleges szolgáltatáscímét, a DNS-utótagot és a belső megkerüléseket, majd alkalmazza a felügyelt telepítést. Az alkalmazásváltozók vagy egy ServiceEntry nem tudják biztosítani egy másik pod környezetét. Ha a JWKS URL-ek nyilvánosak, és a nyilvános proxyn keresztüli kimenet engedélyezett, a HTTP-proxylista jelölteket kínál az istiod HTTPS_PROXY értékéhez; tartsa meg a fürt belső megkerüléseit.

Envoy-útvonal

Vizsgálja meg a távoli JWKS-fürtjét és a hálózati útvonalat. A cél regisztrálása a mesh-ben önmagában nem ad hozzá vállalati CONNECT-ugrást; az istiod változói nem tudják konfigurálni az Envoy átvitelét.

Kapcsolódó cikkek