იპოვეთ Istio-ს JWKS ჩამომტვირთავი მისი პროქსის დაყენებამდე
შეამოწმეთ Istio 1.31-ის ჩამოტვირთვის რეჟიმი, შემდეგ დააყენეთ istiod-ის Go HTTP მარშრუტი ან შეისწავლეთ Envoy-ის დისტანციური გასაღებების ტრანსპორტი.
RequestAuthentication.jwksUri არ იდენტიფიცირებს აპლიკაციას ჩამომტვირთავად. Istio 1.31 ამ რეჟიმებს PILOT_JWT_ENABLE_REMOTE_JWKS ადგენს:
| მნიშვნელობა | ჩამომტვირთავი |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy istiod-ის დაბრუნებით გარე სერვერებისთვის |
| envoy | Envoy |
შეამოწმეთ განლაგებული ვერსია და მართვის სიბრტყის რეალური გარემო სანამ აირჩევთ ტოტს.
istiod-ის გზა
მისი გასაღების გამხსნელი იყენებს Go გარემოს პროქსის აღმოჩენას. istiod-ის Helm ჩარტისთვის გააერთიანეთ მსგავსი მნიშვნელობები:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1ეს არის ჩარტის მნიშვნელობების ფრაგმენტი და არა რესურსი. გამოიყენეთ კლასტერის რეალური სერვისის მისამართი, DNS სუფიქსი და შიდა გვერდის ავლები, შემდეგ გამოიყენეთ მართული განლაგება. აპლიკაციის ცვლადები ან ServiceEntry ვერ მოგვცემს სხვა pod-ის გარემოს. თუ JWKS URL-ები საჯაროა და საჯარო პროქსით გასვლა ნებადართულია, HTTP პროქსების სია გთავაზობთ კანდიდატებს istiod-ის HTTPS_PROXY მნიშვნელობისთვის; შეინარჩუნეთ კლასტერის შიდა გვერდის ავლები.
Envoy-ის გზა
შეისწავლეთ მისი დისტანციური JWKS კლასტერი და ქსელური მარშრუტი. დანიშნულების mesh-ში რეგისტრაცია თავისთავად არ ამატებს კორპორატიულ CONNECT ნაბიჯს; istiod-ის ცვლადები ვერ აყენებს Envoy-ის ტრანსპორტს.