Istio JWKS ရယူကိရိယာကို ၎င်း၏ proxy မသတ်မှတ်မီ ရှာပါ
Istio 1.31 ၏ ရယူမှုမုဒ်ကို စစ်ဆေးပြီး istiod ၏ Go HTTP လမ်းကြောင်းကို သတ်မှတ်ပါ သို့မဟုတ် Envoy ၏ အဝေးမှ သော့သယ်ယူမှုကို စစ်ဆေးပါ။
RequestAuthentication.jwksUri သည် အက်ပ်ကို ဒေါင်းလုဒ်သူအဖြစ် မဖော်ပြပါ။ Istio 1.31 သည် ဤ PILOT_JWT_ENABLE_REMOTE_JWKS မုဒ်များကို မှတ်တမ်းတင်ထားသည်:
| တန်ဖိုး | ရယူကိရိယာ |
|---|---|
| istiod / false | istiod |
| hybrid / true | ပြင်ပဆာဗာများအတွက် istiod အရန်ဖြင့် Envoy |
| envoy | Envoy |
ခွဲကို မရွေးချယ်မီ ဖြန့်ကျက်ထားသော ဗားရှင်းနှင့် အမှန်တကယ် ထိန်းချုပ်မှုလွှာ ပတ်ဝန်းကျင်ကို စစ်ဆေးပါ။
istiod လမ်းကြောင်း
၎င်း၏ သော့ဖြေရှင်းကိရိယာသည် Go ပတ်ဝန်းကျင် proxy ရှာဖွေမှုကို အသုံးပြုသည်။ istiod Helm chart အတွက် ဤကဲ့သို့ တန်ဖိုးများကို ပေါင်းစပ်ပါ:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1ဤသည် chart တန်ဖိုး အစိတ်အပိုင်းဖြစ်ပြီး အရင်းအမြစ်မဟုတ်ပါ။ ကလပ်စတာ၏ အမှန်တကယ် ဝန်ဆောင်မှုလိပ်စာ၊ DNS အဆက်နှင့် အတွင်းပိုင်း ရှောင်ကွင်းမှုများကို အသုံးပြုပြီး စီမံခန့်ခွဲသော ဖြန့်ကျက်မှုကို အသုံးပြုပါ။ အက်ပ်ပြောင်းလဲကိန်းများ သို့မဟုတ် ServiceEntry သည် အခြား pod ၏ ပတ်ဝန်းကျင်ကို မပေးနိုင်ပါ။ JWKS URL များသည် အများသူငှာဖြစ်ပြီး အများသူငှာ proxy မှတစ်ဆင့် ထွက်ခွာမှုကို ခွင့်ပြုပါက HTTP proxy စာရင်း သည် istiod ၏ HTTPS_PROXY တန်ဖိုးအတွက် ကိုယ်စားလှယ်လောင်းများ ပေးသည်; ကလပ်စတာ၏ အတွင်းပိုင်း ရှောင်ကွင်းမှုများကို ထိန်းသိမ်းပါ။
Envoy လမ်းကြောင်း
၎င်း၏ အဝေးမှ JWKS ကလပ်စတာနှင့် ကွန်ရက်လမ်းကြောင်းကို စစ်ဆေးပါ။ mesh တွင် ခရီးဆုံးကို မှတ်ပုံတင်ခြင်းသည် ကော်ပိုရေးရှင်း CONNECT ခုန်တက်မှုကို အလိုအလျောက် မထည့်ပါ; istiod ၏ ပြောင်းလဲကိန်းများသည် Envoy ၏ သယ်ယူမှုကို ပြင်ဆင်နိုင်မည် မဟုတ်ပါ။