Trovare il fetcher JWKS di Istio prima di impostarne il proxy
Verificate la modalità di recupero di Istio 1.31, poi configurate la rotta HTTP Go di istiod o esaminate il trasporto delle chiavi remote di Envoy.
RequestAuthentication.jwksUri non identifica l'applicazione come scaricatore. Istio 1.31 documenta queste modalità PILOT_JWT_ENABLE_REMOTE_JWKS:
| Valore | Recuperatore |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy con fallback su istiod per i server esterni |
| envoy | Envoy |
Esaminate la versione distribuita e l'ambiente reale del piano di controllo prima di scegliere un ramo.
percorso istiod
Il suo resolver di chiavi usa il rilevamento proxy dell'ambiente Go. Per il chart Helm di istiod, unite valori come:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Questo è un frammento di valori del chart, non una risorsa. Usate l'indirizzo reale del servizio del cluster, il suffisso DNS e le esclusioni interne, poi applicate il rollout gestito. Le variabili dell'applicazione o un ServiceEntry non possono fornire l'ambiente di un altro pod. Se gli URL JWKS sono pubblici e l'uscita tramite proxy pubblico è consentita, la lista di proxy HTTP fornisce candidati per il valore HTTPS_PROXY di istiod; mantenete le esclusioni interne del cluster.
percorso Envoy
Esaminate il suo cluster JWKS remoto e la rotta di rete. Registrare la destinazione nella mesh non aggiunge da solo un salto CONNECT aziendale; le variabili di istiod non possono configurare il trasporto di Envoy.