Finn Istio JWKS-henteren før du konfigurerer proxyen
Sjekk hentemodusen i Istio 1.31, og sett deretter opp istiods Go HTTP-rute eller undersøk Envoys transport for eksterne nøkler.
RequestAuthentication.jwksUri identifiserer ikke applikasjonen som nedlaster. Istio 1.31 dokumenterer disse PILOT_JWT_ENABLE_REMOTE_JWKS modiene:
| Verdi | Henter |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy med istiod-reserve for eksterne servere |
| envoy | Envoy |
Undersøk den distribuerte versjonen og det faktiske kontrollplanmiljøet før du velger en gren.
istiod-ruten
Nøkkeloppløseren bruker proxy-oppdagelse fra Go-miljøet. For istiod Helm-diagrammet fletter du sammen verdier som:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Dette er et utdrag av diagramverdier, ikke en ressurs. Bruk klyngens faktiske tjenesteadresse, DNS-suffikset og de interne unntakene, og bruk deretter den administrerte utrullingen. Applikasjonsvariabler eller en ServiceEntry kan ikke levere miljøet til en annen pod. Hvis JWKS-URL-ene er offentlige og utgående trafikk via offentlig proxy er tillatt, gir HTTP-proxylisten kandidater for istiods HTTPS_PROXY-verdi; behold klyngens interne unntak.
Envoy-ruten
Undersøk dens eksterne JWKS-klynge og nettverksrute. Å registrere målet i mesh legger ikke i seg selv til et bedrifts-CONNECT-hopp; istiods variabler kan ikke konfigurere Envoys transport.