Istio JWKS 페처를 프록시 설정 전에 찾기
Istio 1.31의 페치 모드를 확인한 뒤 istiod의 Go HTTP 경로를 설정하거나 Envoy의 원격 키 전송을 살펴보세요.
RequestAuthentication.jwksUri은 애플리케이션을 다운로더로 식별하지 않습니다. Istio 1.31은 다음 PILOT_JWT_ENABLE_REMOTE_JWKS 모드를 문서화합니다:
| 값 | 페처 |
|---|---|
| istiod / false | istiod |
| hybrid / true | 외부 서버용 istiod 폴백이 있는 Envoy |
| envoy | Envoy |
분기를 선택하기 전에 배포된 버전과 실제 컨트롤 플레인 환경을 확인하세요.
istiod 경로
키 확인자는 Go 환경 프록시 검색을 사용합니다. istiod Helm 차트에서는 다음과 같은 값을 병합합니다:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1이것은 차트 값 조각이며 리소스가 아닙니다. 클러스터의 실제 서비스 주소, DNS 접미사, 내부 우회를 사용한 다음 관리형 롤아웃을 적용하세요. 애플리케이션 변수나 ServiceEntry로는 다른 파드의 환경을 제공할 수 없습니다. JWKS URL이 공개되어 있고 공개 프록시 이그레스가 허용된다면, HTTP 프록시 목록 이 istiod의 HTTPS_PROXY 값 후보를 제공합니다. 클러스터의 내부 우회는 유지하세요.
Envoy 경로
원격 JWKS 클러스터와 네트워크 경로를 확인하세요. 목적지를 메시에 등록한다고 해서 기업 CONNECT 홉이 자동으로 추가되지는 않습니다. istiod의 변수로는 Envoy의 전송을 구성할 수 없습니다.