Vind de Istio JWKS-fetcher voordat je zijn proxy instelt

Controleer de ophaalmodus van Istio 1.31 en stel daarna de Go HTTP-route van istiod in of onderzoek het transport van externe sleutels van Envoy.

RequestAuthentication.jwksUri identificeert de applicatie niet als de downloader. Istio 1.31 documenteert deze PILOT_JWT_ENABLE_REMOTE_JWKS-modi:

WaardeOphaler
istiod / falseistiod
hybrid / trueEnvoy met istiod-terugval voor externe servers
envoyEnvoy

Onderzoek de uitgerolde versie en de werkelijke omgeving van het controlevlak voordat je een tak kiest.

istiod-pad

De sleuteloplosser gebruikt proxyontdekking uit de Go-omgeving. Voor de istiod Helm-chart voeg je waarden samen zoals:

env:
  HTTPS_PROXY: http://proxy.example:8080
  NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1

Dit is een fragment van chartwaarden, geen resource. Gebruik het werkelijke serviceadres van het cluster, het DNS-achtervoegsel en de interne uitzonderingen, en pas daarna de beheerde uitrol toe. Applicatievariabelen of een ServiceEntry kunnen de omgeving van een andere pod niet leveren. Als de JWKS-URL's openbaar zijn en uitgaand verkeer via een openbare proxy is toegestaan, levert de HTTP-proxylijst kandidaten voor de HTTPS_PROXY-waarde van istiod; behoud de interne uitzonderingen van het cluster.

Envoy-pad

Onderzoek zijn externe JWKS-cluster en netwerkroute. Het registreren van de bestemming in de mesh voegt op zichzelf geen zakelijke CONNECT-hop toe; de variabelen van istiod kunnen het transport van Envoy niet configureren.

Gerelateerde artikelen