Encontre o fetcher JWKS do Istio antes de definir o proxy dele
Verifique o modo de obtenção do Istio 1.31 e depois configure a rota HTTP Go do istiod ou examine o transporte de chaves remotas do Envoy.
RequestAuthentication.jwksUri não identifica a aplicação como o downloader. O Istio 1.31 documenta estes modos de PILOT_JWT_ENABLE_REMOTE_JWKS:
| Valor | Obtentor |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy com fallback para istiod em servidores externos |
| envoy | Envoy |
Examine a versão implantada e o ambiente real do plano de controle antes de escolher um ramo.
caminho istiod
O resolvedor de chaves usa a descoberta de proxy do ambiente Go. Para o chart Helm do istiod, combine valores como:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Isto é um fragmento de valores do chart, não um recurso. Use o endereço real do serviço do cluster, o sufixo DNS e as exceções internas, e então aplique a implantação gerenciada. Variáveis da aplicação ou um ServiceEntry não podem fornecer o ambiente de outro pod. Se os URLs do JWKS forem públicos e a saída por proxy público for permitida, a lista de proxies HTTP fornece candidatos para o valor HTTPS_PROXY do istiod; mantenha as exceções internas do cluster.
caminho Envoy
Examine o cluster JWKS remoto e a rota de rede. Registrar o destino na malha não acrescenta por si só um salto CONNECT corporativo; as variáveis do istiod não podem configurar o transporte do Envoy.