Raskite Istio JWKS gavėją prieš nustatydami jo proxy
Patikrinkite Istio 1.31 gavimo režimą, tada nustatykite istiod Go HTTP maršrutą arba išnagrinėkite Envoy nuotolinių raktų transportą.
RequestAuthentication.jwksUri nenurodo programos kaip atsisiuntėjo. Istio 1.31 dokumentuoja šiuos PILOT_JWT_ENABLE_REMOTE_JWKS režimus:
| Reikšmė | Gavėjas |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy su istiod atsargine galimybe išoriniams serveriams |
| envoy | Envoy |
Išnagrinėkite įdiegtą versiją ir tikrąją valdymo plokštumos aplinką prieš pasirinkdami šaką.
istiod kelias
Jo raktų sprendiklis naudoja Go aplinkos proxy aptikimą. Istiod Helm diagramai sujunkite tokias reikšmes:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Tai diagramos reikšmių fragmentas, o ne išteklius. Naudokite tikrąjį klasterio paslaugos adresą, DNS galūnę ir vidinius apėjimus, tada pritaikykite valdomą diegimą. Programos kintamieji arba ServiceEntry negali suteikti kito pod aplinkos. Jei JWKS URL yra vieši ir išėjimas per viešą proxy leidžiamas, HTTP proxy sąrašas siūlo kandidatus istiod HTTPS_PROXY reikšmei; išsaugokite vidinius klasterio apėjimus.
Envoy kelias
Išnagrinėkite jo nuotolinį JWKS klasterį ir tinklo maršrutą. Paskirties registravimas mesh tinkle pats savaime neprideda įmonės CONNECT šuolio; istiod kintamieji negali konfigūruoti Envoy transporto.