Znajdź pobierający JWKS w Istio, zanim ustawisz jego proxy
Sprawdź tryb pobierania w Istio 1.31, następnie ustaw trasę HTTP Go w istiod lub zbadaj transport zdalnych kluczy w Envoy.
RequestAuthentication.jwksUri nie identyfikuje aplikacji jako pobierającego. Istio 1.31 dokumentuje te tryby PILOT_JWT_ENABLE_REMOTE_JWKS:
| Wartość | Pobierający |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy z powrotem do istiod dla serwerów zewnętrznych |
| envoy | Envoy |
Zbadaj wdrożoną wersję i rzeczywiste środowisko warstwy sterowania przed wyborem gałęzi.
ścieżka istiod
Jego resolver kluczy używa wykrywania proxy ze środowiska Go. Dla wykresu Helm istiod połącz wartości takie jak:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1To fragment wartości wykresu, a nie zasób. Użyj rzeczywistego adresu usługi klastra, przyrostka DNS i wewnętrznych obejść, a następnie zastosuj zarządzane wdrożenie. Zmienne aplikacji lub ServiceEntry nie mogą zapewnić środowiska innego poda. Jeśli adresy JWKS są publiczne i dozwolone jest wyjście przez publiczne proxy, lista proxy HTTP dostarcza kandydatów do wartości HTTPS_PROXY w istiod; zachowaj wewnętrzne obejścia klastra.
ścieżka Envoy
Zbadaj jego klaster zdalnego JWKS i trasę sieciową. Zarejestrowanie celu w mesh nie dodaje samo w sobie korporacyjnego skoku CONNECT; zmienne istiod nie mogą skonfigurować transportu Envoy.