Istio JWKS алуучусун анын проксисин орнотуудан мурун табыңыз
Istio 1.31 алуу режимин текшериңиз, андан кийин istiod-дун Go HTTP маршрутун орнотуңуз же Envoy-дун алыскы ачкычтар транспортун карап чыгыңыз.
RequestAuthentication.jwksUri колдонмону жүктөөчү катары аныктабайт. Istio 1.31 бул PILOT_JWT_ENABLE_REMOTE_JWKS режимдерин документтештирет:
| Маани | Алуучу |
|---|---|
| istiod / false | istiod |
| hybrid / true | Тышкы серверлер үчүн istiod кайтаруусу менен Envoy |
| envoy | Envoy |
Тармакты тандоодон мурун жайгаштырылган версияны жана башкаруу тегиздигинин реалдуу чөйрөсүн текшериңиз.
istiod жолу
Анын ачкыч чечүүчүсү Go чөйрөсүнүн проксисин аныктоону колдонот. istiod Helm диаграммасы үчүн ушундай маанилерди бириктириңиз:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Бул диаграмма маанилеринин үзүндүсү, ресурс эмес. Кластердин реалдуу кызмат дарегин, DNS уландысын жана ички айланып өтүүлөрдү колдонуңуз, андан кийин башкарылуучу жайгаштырууну колдонуңуз. Колдонмо өзгөрмөлөрү же ServiceEntry башка pod-дун чөйрөсүн бере албайт. Эгер JWKS URL-дары коомдук болсо жана коомдук прокси аркылуу чыгууга уруксат берилсе, HTTP проксилер тизмеси istiod-дун HTTPS_PROXY мааниси үчүн талапкерлерди сунуштайт; кластердин ички айланып өтүүлөрүн сактаңыз.
Envoy жолу
Анын алыскы JWKS кластерин жана тармак маршрутун карап чыгыңыз. Mesh ичинде багыттоону каттоо өзү менен эле корпоративдик CONNECT секирүүсүн кошпойт; istiod өзгөрмөлөрү Envoy транспортун конфигурациялай албайт.