ຊອກຫາຕົວດຶງ JWKS ຂອງ Istio ກ່ອນຕັ້ງ proxy ຂອງມັນ
ກວດເບິ່ງໂໝດການດຶງຂອງ Istio 1.31, ແລ້ວຕັ້ງເສັ້ນທາງ Go HTTP ຂອງ istiod ຫຼື ກວດເບິ່ງການຂົນສົ່ງກະແຈທາງໄກຂອງ Envoy.
RequestAuthentication.jwksUri ບໍ່ໄດ້ລະບຸວ່າແອັບພລິເຄຊັນເປັນຕົວດາວໂຫຼດ. Istio 1.31 ເອກະສານໂໝດ PILOT_JWT_ENABLE_REMOTE_JWKS ເຫຼົ່ານີ້:
| ຄ່າ | ຕົວດຶງ |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy ພ້ອມການສຳຮອງ istiod ສຳລັບເຊີບເວີພາຍນອກ |
| envoy | Envoy |
ກວດເບິ່ງເວີຊັນທີ່ຕິດຕັ້ງ ແລະ ສະພາບແວດລ້ອມຄວບຄຸມຕົວຈິງ ກ່ອນເລືອກສາຂາ.
ເສັ້ນທາງ istiod
ຕົວແກ້ກະແຈຂອງມັນໃຊ້ການຄົ້ນຫາ proxy ຂອງສະພາບແວດລ້ອມ Go. ສຳລັບ Helm chart ຂອງ istiod, ລວມຄ່າເຊັ່ນ:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1ນີ້ແມ່ນສ່ວນຂອງຄ່າ chart, ບໍ່ແມ່ນຊັບພະຍາກອນ. ໃຊ້ທີ່ຢູ່ບໍລິການຕົວຈິງຂອງຄລັສເຕີ, ຄຳຕໍ່ທ້າຍ DNS ແລະ ການຂ້າມພາຍໃນ, ແລ້ວນຳໃຊ້ການປັບປະກອບທີ່ຄຸ້ມຄອງ. ຕົວແປຂອງແອັບພລິເຄຊັນ ຫຼື ServiceEntry ບໍ່ສາມາດໃຫ້ສະພາບແວດລ້ອມຂອງ pod ອື່ນໄດ້. ຖ້າ URL ຂອງ JWKS ເປັນສາທາລະນະ ແລະ ອະນຸຍາດໃຫ້ອອກຜ່ານ proxy ສາທາລະນະ, ລາຍຊື່ proxy HTTP ຈະໃຫ້ຜູ້ສະໝັກສຳລັບຄ່າ HTTPS_PROXY ຂອງ istiod; ຮັກສາການຂ້າມພາຍໃນຂອງຄລັສເຕີ.
ເສັ້ນທາງ Envoy
ກວດເບິ່ງຄລັສເຕີ JWKS ທາງໄກ ແລະ ເສັ້ນທາງເຄືອຂ່າຍຂອງມັນ. ການລົງທະບຽນປາຍທາງໃນ mesh ບໍ່ໄດ້ເພີ່ມຂັ້ນ CONNECT ອົງກອນໂດຍຕົວມັນເອງ; ຕົວແປຂອງ istiod ບໍ່ສາມາດຕັ້ງຄ່າການຂົນສົ່ງຂອງ Envoy ໄດ້.