Գտեք Istio-ի JWKS բեռնիչը նախքան դրա proxy-ի կարգավորումը
Ստուգեք Istio 1.31-ի բեռնման ռեժիմը, ապա կարգավորեք istiod-ի Go HTTP ուղին կամ ուսումնասիրեք Envoy-ի հեռավոր բանալիների փոխանցումը։
RequestAuthentication.jwksUri չի նույնականացնում հավելվածը որպես ներբեռնող։ Istio 1.31-ը փաստաթղթավորում է այս PILOT_JWT_ENABLE_REMOTE_JWKS ռեժիմները՝
| Արժեք | Բեռնիչ |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy՝ istiod-ի հետընթացով արտաքին սերվերների համար |
| envoy | Envoy |
Ուսումնասիրեք տեղակայված տարբերակը և կառավարման հարթության փաստացի միջավայրը նախքան ճյուղ ընտրելը։
istiod-ի ուղի
Նրա բանալիների լուծիչը օգտագործում է Go միջավայրի proxy-ի հայտնաբերումը։ istiod-ի Helm chart-ի համար միավորեք այսպիսի արժեքներ՝
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Սա chart-ի արժեքների հատված է, ոչ ռեսուրս։ Օգտագործեք կլաստերի փաստացի ծառայության հասցեն, DNS վերջածանցը և ներքին շրջանցումները, ապա կիրառեք կառավարվող տեղակայումը։ Հավելվածի փոփոխականները կամ ServiceEntry-ն չեն կարող ապահովել մեկ այլ pod-ի միջավայրը։ Եթե JWKS URL-ները հանրային են, և հանրային proxy-ով ելքը թույլատրված է, ապա HTTP proxy-ների ցանկը առաջարկում է թեկնածուներ istiod-ի HTTPS_PROXY արժեքի համար. պահպանեք կլաստերի ներքին շրջանցումները։
Envoy-ի ուղի
Ուսումնասիրեք նրա հեռավոր JWKS կլաստերը և ցանցային ուղին։ Նպատակակետը mesh-ում գրանցելը ինքնին չի ավելացնում կորպորատիվ CONNECT թռիչք. istiod-ի փոփոխականները չեն կարող կարգավորել Envoy-ի փոխանցումը։