Istio の JWKS 取得元を Proxy 設定前に特定する
Istio 1.31 の取得モードを確認し、istiod の Go HTTP ルートを設定するか、Envoy のリモートキー転送を調べます。
RequestAuthentication.jwksUri はアプリケーションをダウンローダーとして特定しません。Istio 1.31 は次の PILOT_JWT_ENABLE_REMOTE_JWKS モードを文書化しています:
| 値 | 取得元 |
|---|---|
| istiod / false | istiod |
| hybrid / true | 外部サーバー向けの istiod フォールバック付き Envoy |
| envoy | Envoy |
ブランチを選ぶ前に、デプロイ済みのバージョンと実際のコントロールプレーン環境を確認してください。
istiod の経路
キーリゾルバーは Go の環境 Proxy 検出を使用します。istiod の Helm チャートでは、次のような値をマージします:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1これはチャート値の断片であり、リソースではありません。クラスターの実際のサービスアドレス、DNS サフィックス、内部バイパスを使用し、その後で管理されたロールアウトを適用します。アプリケーションの変数や ServiceEntry では、別の Pod の環境を提供できません。JWKS URL が公開されており、公開 Proxy 経由の外向き通信が許可されている場合、HTTP Proxy リスト が istiod の HTTPS_PROXY 値の候補を提供します。クラスターの内部バイパスは維持してください。
Envoy の経路
そのリモート JWKS クラスターとネットワーク経路を調べてください。宛先をメッシュに登録しても、企業の CONNECT ホップが自動的に追加されるわけではありません。istiod の変数で Envoy の転送を設定することはできません。