Găsiți fetcherul JWKS din Istio înainte de a-i seta proxy-ul
Verificați modul de preluare din Istio 1.31, apoi configurați ruta HTTP Go a istiod sau examinați transportul cheilor la distanță din Envoy.
RequestAuthentication.jwksUri nu identifică aplicația drept descărcător. Istio 1.31 documentează aceste moduri PILOT_JWT_ENABLE_REMOTE_JWKS:
| Valoare | Preluator |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy cu revenire la istiod pentru servere externe |
| envoy | Envoy |
Examinați versiunea implementată și mediul real al planului de control înainte de a alege o ramură.
calea istiod
Rezolvitorul său de chei folosește descoperirea proxy din mediul Go. Pentru chart-ul Helm istiod, îmbinați valori precum:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Acesta este un fragment de valori de chart, nu o resursă. Folosiți adresa reală a serviciului din cluster, sufixul DNS și ocolirile interne, apoi aplicați implementarea gestionată. Variabilele aplicației sau un ServiceEntry nu pot furniza mediul altui pod. Dacă adresele JWKS sunt publice și ieșirea prin proxy public este permisă, lista de proxy-uri HTTP oferă candidați pentru valoarea HTTPS_PROXY a istiod; păstrați ocolirile interne ale clusterului.
calea Envoy
Examinați clusterul JWKS la distanță și ruta de rețea. Înregistrarea destinației în mesh nu adaugă prin sine un salt CONNECT corporativ; variabilele istiod nu pot configura transportul Envoy.